Le vulnerabilità ad alta gravità hanno iniziato a essere sfruttate attivamente in media tre giorni dopo la divulgazione nel terzo trimestre 2026, secondo i risultati di Rapid7 riportati da SecurityWeek. Il 71% di esse è stato sfruttato entro i primi sette giorni.
Rapid7 ha classificato il 79% delle vulnerabilità sfruttate come falle «holy grail»: debolezze attaccabili da remoto senza credenziali né interazione locale dell'utente. Questa combinazione lascia ai difensori poco tempo per valutare l'esposizione, testare gli aggiornamenti e applicare le protezioni, prima che gli avversari inizino a operare contro i sistemi vulnerabili.
I dati indicano una priorità pratica per i team di sicurezza: i flussi di lavoro di correzione dovrebbero distinguere le vulnerabilità sfruttabili da remoto e senza autenticazione dalle falle che richiedono un punto d'appoggio già esistente o un'azione dell'utente. I sistemi esposti a reti non attendibili meritano la revisione più rapida quando una vulnerabilità appena divulgata soddisfa queste condizioni.
Le rivendicazioni di ransomware si concentrano su servizi, manifattura e sanità
Nel trimestre Rapid7 ha descritto il ransomware come una delle principali minacce globali. Nei suoi dati, i servizi alle imprese, la manifattura e la sanità sono stati i settori più frequentemente presi di mira.
Gli Stati Uniti hanno rappresentato il 60% degli attacchi, seguiti da Germania (7%), Italia (5%) e Canada (5%). Le vittime di ransomware nel settore governativo sono aumentate del 15% rispetto ai tre mesi precedenti, mentre la quota statunitense delle vittime in quel settore è passata dal 33% del secondo trimestre 2026 al 45% del terzo trimestre 2026.
Per numero di incidenti rivendicati, i gruppi ransomware più attivi sono stati:
| Gruppo | Incidenti rivendicati |
|---|---|
| The Gentlemen | 342 |
| Qilin | 339 |
| INC Ransom | 99 |
| DeadLock | 98 |
| Krybit | 95 |
Questi dati rappresentano incidenti rivendicati dagli operatori ransomware. Da soli non stabiliscono il numero di vittime confermate né dimostrano che i dati siano stati sottratti in ogni caso.
Rapid7 ha inoltre osservato un mercato clandestino orientato alla fornitura di accesso iniziale. Su 63 post monitorati, 41 pubblicizzavano accessi RDP o di rete, mentre 14 riguardavano la vendita, lo scambio o la discussione di exploit e zero-day. Le offerte andavano da singoli account compromessi, comprese credenziali bancarie abbinate a dati identificativi «completi» per almeno tre grandi banche statunitensi, fino all'accesso all'interno delle reti aziendali.
L'IA supporta l'esecuzione degli attacchi, ma non sostituisce ancora gli operatori
Nel terzo trimestre 2026, l'intelligenza artificiale è comparsa come componente operativa nell'8% degli incidenti monitorati da Rapid7. Questa percentuale si riferisce all'insieme di incidenti monitorati da Rapid7.
Le osservazioni dell'azienda non confermano uno spostamento generalizzato verso attaccanti autonomi. Douglas McKee, direttore dell'intelligence sulle vulnerabilità di Rapid7, ha dichiarato che la scoperta di vulnerabilità assistita dall'IA sta accelerando, ma i dati del trimestre non mostravano un'ondata corrispondente di sfruttamento guidato dall'IA.
In ogni caso documentato da Rapid7, erano ancora le persone a scegliere il bersaglio e a stabilire l'obiettivo. L'automazione si stava invece diffondendo nella fase tattica intermedia di un'intrusione, come l'azienda la definisce: scelta delle tecniche, selezione dei bersagli e ripresa dopo un passaggio fallito.
Rapid7 ha inoltre segnalato tentativi di aggirare le protezioni dei fornitori di IA suddividendo un obiettivo malevolo su più sessioni. Una richiesta diretta in una sessione può essere bloccata, mentre una sequenza di prompt distribuita su più sessioni può rendere più difficile individuare lo scopo complessivo.
Per i difensori, Rapid7 raccomanda di monitorare l'attività delle API di IA che provengono da host o processi inattesi. Questa telemetria può rivelare l'uso non autorizzato di strumenti o l'automazione eseguita da sistemi che normalmente non comunicano con servizi di IA.
L'azienda ritiene probabili, nei prossimi anni, attacchi completamente automatizzati e assistiti dall'IA, ma presenta questo scenario come una previsione e non come un'attività osservata nel terzo trimestre 2026.
Le operazioni di attori statali introducono nuovi strumenti per Linux
Nel trimestre Rapid7 ha monitorato 15 gruppi distinti sostenuti da stati. I cluster citati comprendevano ENERGETIC BEAR, Void Blizzard e Sandworm, collegati alla Russia; APT31, collegato alla Cina; Lazarus, della Corea del Nord; e Operation C-Major, del Pakistan.
Le organizzazioni governative sono rimaste i bersagli principali. Sono stati presi di mira anche organizzazioni dei settori difesa, trasporti, media, sanità, aerospaziale, finanza, energia e tecnologia.
Rapid7 ha documentato un toolkit per Linux chiamato ted, composto da tre componenti distinti:
- una build di HAProxy trojanizzata;
- un keylogger SSH;
- un remote access trojan basato su curl.
Rapid7 ha attribuito ted ad attori legati alla DPRK e ha dichiarato che è stato usato contro organizzazioni sudcoreane fin dall'inizio del 2025. Il toolkit è l'insieme di malware e capacità; gli operatori legati alla DPRK sono gli attori attribuiti.
Operation C-Major, invece, è attiva dalla metà degli anni 2010, secondo Rapid7. I suoi operatori usano phishing e spyware mobile in operazioni di spionaggio contro personale militare e diplomatico indiano.
Nel complesso di questi risultati, la pressione difensiva immediata deriva dalla velocità: le vulnerabilità che consentono accesso remoto senza autenticazione possono passare dalla divulgazione allo sfruttamento nel giro di giorni, mentre i broker di accesso offrono punti d'appoggio compromessi ad altri operatori. La rapida selezione delle patch e il monitoraggio di usi inattesi delle API di IA riguardano fasi diverse di questa catena di minaccia: l'ingresso iniziale e l'esecuzione automatizzata all'interno dell'ambiente.
