Quattro falle critiche sfruttate contro macOS, SharePoint, VMware vCenter e Windows

CISA aggiorna il catalogo KEV: remediation entro il 21 agosto

CISA ha inserito nel catalogo Known Exploited Vulnerabilities (KEV) quattro vulnerabilità critiche sfruttate attivamente. Le falle riguardano Apple macOS, Microsoft SharePoint Server, VMware vCenter e il servizio Internet Key Exchange di Windows.

L’inserimento nel catalogo è avvenuto il 18 agosto 2026. Per le agenzie civili federali statunitensi soggette agli obblighi FCEB, la scadenza per la remediation è fissata al 21 agosto 2026.

Tutte le vulnerabilità hanno caratteristiche che ne aumentano il rischio operativo: sono sfruttabili via rete, richiedono bassa complessità, non necessitano di privilegi preventivi e non richiedono interazione dell’utente. Tre ricevono un punteggio CVSS 9.8, mentre SharePoint raggiunge 9.1.

Il catalogo KEV conferma lo sfruttamento attivo, ma non indica campagne ransomware note per nessuna delle quattro voci: il relativo campo è “Unknown”. Sono però disponibili dettagli su attività differenti che avrebbero già colpito sistemi esposti.

macOS: autenticazione Screen Sharing aggirabile

La vulnerabilità CVE-2026-65400 interessa Apple macOS ed è classificata come CWE-287, Improper Authentication. Il punteggio CVSS è 9.8, con impatto elevato su confidenzialità, integrità e disponibilità.

Un attaccante presente sulla rete può autenticarsi al servizio Screen Sharing senza possedere credenziali valide. La falla interessa, secondo i dati NVD, le versioni:

apple macos < 14.8.9

Le correzioni indicate sono:

• macOS Sequoia 15.7.9;
• macOS Sonoma 14.8.9;
• macOS Tahoe 26.6.1.

L’intervento risolve il problema attraverso una gestione più corretta dello stato durante l’autenticazione. La vulnerabilità sarebbe già stata sfruttata per distribuire un miner di Monero, trasformando i sistemi compromessi in risorse per attività di calcolo non autorizzato.

Chi amministra Mac con Screen Sharing attivo dovrebbe verificare immediatamente la versione installata, applicare l’aggiornamento e controllare eventuali consumi anomali di CPU, processi sconosciuti e connessioni in uscita. Il miner non è identificato da CISA come indicatore ufficiale associato alla voce KEV; la ricerca deve quindi includere anche altri artefatti sospetti.

SharePoint: bypass di una funzione di sicurezza dopo la pubblicazione del PoC

La falla CVE-2026-55040 riguarda Microsoft SharePoint Server. È una debolezza di autenticazione classificata CWE-1390, con punteggio CVSS 9.1.

Un utente non autorizzato può sfruttarla attraverso la rete per aggirare una funzionalità di sicurezza. Il prodotto interessato è indicato come:

microsoft sharepoint server < 16.0.19725.20434

La vulnerabilità non compromette direttamente la disponibilità secondo il vettore CVSS, ma può avere conseguenze rilevanti su riservatezza e integrità dei dati gestiti dalla piattaforma. SharePoint è spesso integrato con documenti aziendali, identità, workflow e servizi collaborativi: un bypass dei controlli può quindi diventare il punto di partenza per accessi più ampi.

La falla sarebbe stata sfruttata da attori non identificati dopo la diffusione di codice proof-of-concept (PoC). Per i responsabili IT la priorità è verificare che gli aggiornamenti abbiano portato il server oltre la build indicata e controllare i log per richieste anomale, autenticazioni inattese e accessi a risorse da indirizzi non abituali.

La semplice installazione della patch non dimostra che il sistema non sia già stato violato. Un’istanza esposta dovrebbe essere sottoposta anche a verifica forense, soprattutto se presenta account modificati, web shell, nuove attività amministrative o trasferimenti di dati non previsti.

VMware vCenter: path traversal nel server Syslog

CVE-2026-59310 colpisce il server Syslog di VMware vCenter. La vulnerabilità è classificata CWE-22, Path Traversal, e ha un punteggio CVSS 9.8.

Un attaccante con accesso alla rete di vCenter può manipolare i percorsi utilizzati dal servizio e arrivare all’esecuzione di codice arbitrario. Il problema interessa i seguenti prodotti e versioni:

• VMware vCenter Server < 8.0;
• VMware Telco Cloud Infrastructure 3.0;
• VMware Telco Cloud Platform <= 5.2;
• VMware Cloud Foundation;
• VMware vSphere Foundation.

Per VMware Cloud Foundation e VMware vSphere Foundation non è riportato un vincolo di versione preciso. Le organizzazioni devono quindi confrontare l’installazione con le indicazioni correttive del vendor, senza assumere che l’assenza di una build nel catalogo significhi assenza di rischio.

Lo sfruttamento è stato attribuito a un sospetto gruppo APT legato alla Cina. Nelle intrusioni osservate sarebbero state installate una backdoor e componenti denominati reverse_ssh, utili a mantenere un accesso persistente attraverso connessioni SSH inverse. In almeno un caso l’attività avrebbe preceduto l’installazione di ransomware derivato da Babuk.

Gli amministratori dovrebbero cercare processi e file non autorizzati, chiavi SSH aggiunte di recente, connessioni persistenti verso infrastrutture esterne e modifiche nei servizi di logging. Un vCenter compromesso va trattato come un possibile punto di controllo dell’intero ambiente virtualizzato, non come un server isolato.

Microsoft IKE: possibile esecuzione di codice sui sistemi Windows

La quarta vulnerabilità è CVE-2026-33824, una condizione di double free classificata CWE-415 nel servizio Microsoft Internet Key Exchange (IKE) Service Extensions. Il punteggio CVSS è 9.8.

Un attaccante remoto non autenticato può arrivare all’esecuzione di codice attraverso la rete. Le versioni interessate sono:

• Windows 10 1607 < 10.0.14393.9060;
• Windows 10 1809 < 10.0.17763.8644;
• Windows 10 21H2 < 10.0.19044.7184;
• Windows 10 22H2 < 10.0.19045.7184;
• Windows 11 23H2 < 10.0.22631.6936;
• Windows 11 24H2 < 10.0.26100.8246;
• Windows 11 25H2 < 10.0.26200.8246;
• Windows 11 26H1 < 10.0.28000.1836;
• Windows Server 2016 < 10.0.14393.9060;
• Windows Server 2019 < 10.0.17763.8644;
• Windows Server 2022 < 10.0.20348.5020;
• Windows Server 2022 23H2 < 10.0.25398.2274.

L’attività sarebbe stata condotta da un gruppo di lingua cinese. La stessa operazione avrebbe combinato strumenti di hacking autonomo assistiti dall’intelligenza artificiale, incluso DeepSeek, con tecniche manuali basate su vulnerabilità già note.

Per i difensori, l’esposizione dei servizi VPN e delle interfacce IKE deve essere valutata con urgenza. Dopo l’aggiornamento è opportuno esaminare eventi di autenticazione, negoziazioni anomale, processi creati dai servizi di rete e connessioni verso indirizzi non presenti nelle normali liste operative.

Quadro dell’attività e precedenti nel catalogo KEV

Le attività associate alle quattro falle avrebbero coinvolto 361 indirizzi IP vittima unici in 47 Paesi. Le concentrazioni maggiori riguarderebbero Germania, con 55 indirizzi, Stati Uniti con 41, Turchia con 38, Iran con 26 e Francia con 25.

I numeri non indicano necessariamente altrettante organizzazioni: un singolo ente può utilizzare più indirizzi IP, mentre la stessa infrastruttura può ospitare sistemi con ruoli differenti.

L’inserimento simultaneo di prodotti Apple, Microsoft e VMware si colloca inoltre in una sequenza recente di voci KEV riguardanti gli stessi vendor. Negli ultimi 90 giorni sono state aggiunte CVE-2026-50522, CVE-2026-58644, CVE-2026-45659, CVE-2026-11645 e CVE-2026-8398. Tra queste, CVE-2026-45659 è associata a ransomware.

Per Microsoft risultano inoltre nel catalogo CVE-2026-72898, CVE-2026-68820 e CVE-2026-20349. È un contesto che rende meno prudente trattare le nuove quattro vulnerabilità come episodi isolati.

Cosa devono fare le organizzazioni

La priorità è applicare le correzioni dei vendor e verificare che le versioni installate siano effettivamente superiori alle soglie vulnerabili. CISA richiede alle agenzie FCEB di rispettare la BOD 26-04, valutando il rischio e l’esposizione Internet di ogni asset.

Le attività consigliate sono:

1. identificare sistemi macOS, SharePoint, vCenter e Windows esposti;
2. applicare patch o mitigazioni secondo le istruzioni dei rispettivi vendor;
3. eseguire il triage forense prima o contestualmente alla remediation;
4. controllare account, processi, chiavi SSH, log e connessioni recenti;
5. cercare miner, backdoor, binari reverse_ssh e componenti ransomware;
6. interrompere l’uso del prodotto se non sono disponibili mitigazioni praticabili.

La scadenza del 21 agosto 2026 vale per le agenzie civili federali statunitensi. Anche le organizzazioni private dovrebbero però trattare queste quattro CVE come priorità, perché la presenza nel catalogo KEV documenta sfruttamento reale e non soltanto una possibilità teorica.