L'ondata di attacchi zero-day continua a colpire dispositivi di rete critici. Oltre alle vulnerabilità su Citrix NetScaler, nuove falle sono state scoperte e attivamente sfruttate su Cisco Secure Email Gateway, Palo Alto Networks PAN-OS e AhsayCBS, con la CISA che aggiunge queste minacce al suo catalogo di vulnerabilità note e sfruttate.
Le recenti indagini sulla sicurezza informatica hanno messo in luce un'ondata di attacchi che sfruttano vulnerabilità critiche zero-day in dispositivi di rete fondamentali. In particolare, i dispositivi Citrix NetScaler ADC (Application Delivery Controller) e Gateway, così come i Cisco Secure Email Gateway (SEG), sono stati presi di mira da aggressori che cercano di ottenere un accesso persistente e privilegi elevati. A queste si aggiungono ora nuove falle scoperte su Palo Alto Networks PAN-OS e AhsayCBS, che hanno portato la CISA (Cybersecurity and Infrastructure Security Agency) statunitense ad aggiungere queste minacce al suo catalogo di Vulnerabilità Note e Sfruttate (KEV).
Le campagne malevole contro i dispositivi Citrix NetScaler sono iniziate intorno al 24 settembre 2026, prendendo di mira le istanze esposte su Internet. Due vulnerabilità critiche, CVE-2026-88771 e CVE-2026-88772, sono state identificate come vettori d'attacco principali.
La CVE-2026-88771 è una falla di command injection pre-autenticazione. Gli attaccanti possono iniettare comandi shell all'interno di messaggi di crash del motore di pacchetti NSPPE, che vengono poi registrati nei log di NetScaler. Uno script di gestione degli errori vulnerabile processa questi log, permettendo l'esecuzione del payload iniettato, potenzialmente con un ritardo fino a 24 ore.
La CVE-2026-88772, invece, è un problema di memory overflow DTLS pre-autenticazione nel NetScaler Packet Processing Engine. Questa vulnerabilità, che colpisce i sistemi con DTLS (Datagram Transport Layer Security) abilitato (una configurazione di default per i server VPN), si manifesta quando frammenti di handshake DTLS malformati causano un overflow di memoria a causa di un riassemblaggio e copia non sicuri in buffer di dimensione fissa.
Una volta sfruttate queste falle, gli aggressori hanno utilizzato un comando di bootstrap di una sola riga per scaricare e installare un agente modificato del framework di amministrazione remota open-source Platypus. Platypus, scritto in Go, offre funzionalità avanzate come shell remote, gestione file, persistenza e auto-rimozione. Gli attaccanti hanno adattato Platypus per funzionare su FreeBSD, il sistema operativo sottostante ai dispositivi Citrix NetScaler, impacchettandolo come un payload Perl (.pl). L'installazione utilizzava un token univoco per validare l'operazione e identificare il dispositivo compromesso.
Le indagini successive hanno rivelato che gli aggressori hanno agito con rapidità nella preparazione dell'infrastruttura malevola. Hanno creato una versione privata di Platypus, adattata per funzionare sia su FreeBSD che su Windows, mantenendo un unico toolchain Go, una stringa di build comune e una chiave di firma del plugin condivisa per tutti i componenti.
Parallelamente, Cisco ha confermato che attori malevoli stanno attivamente sfruttando una vulnerabilità critica zero-day nel suo Secure Email Gateway (SEG), tracciata come CVE-2026-76519. Questa falla, con un punteggio CVSS di 9.8, consente ad attaccanti remoti non autenticati di eseguire comandi con privilegi di root. La vulnerabilità deriva da una debolezza di relative path traversal nella funzionalità Advanced Malware Protection (AMP) del SEG, causata da una gestione impropria degli allegati email. Inviando un allegato appositamente creato, gli aggressori possono scrivere file arbitrari ed eseguire comandi con privilegi di root sul sistema operativo sottostante. Cisco ha scoperto questa falla durante le proprie scansioni di sicurezza interne ed è venuta a conoscenza degli attacchi nel mese di ottobre. L'azienda ha contattato i clienti del suo servizio gestito Secure Email Cloud che hanno mostrato "indicatori di possibile compromissione". Le mitigazioni sono state rilasciate a partire dal 14 settembre con le versioni AsyncOS 15.5.5-014 e 16.5.0-780, oltre a un aggiornamento dei Content Scanner Tools alla versione 25.3.0.5525 o successive.
La CISA ha inoltre aggiunto al suo catalogo KEV la CVE-2026-0322 (CVSS 8.6), una vulnerabilità di code injection nell'interfaccia di gestione di Palo Alto Networks PAN-OS. Questa falla potrebbe permettere a un attaccante autenticato con accesso di rete e privilegi elevati di eseguire codice arbitrario con privilegi di root su firewall PA-Series, VM-Series e appliance Panorama. Palo Alto Networks ha confermato uno sfruttamento limitato di questa vulnerabilità, consigliando di limitare l'accesso a indirizzi IP interni fidati e di installare gli aggiornamenti di sicurezza pertinenti.
Infine, sono state identificate due vulnerabilità critiche su AhsayCBS, una piattaforma di gestione dei backup:
checkSysPwd dell'API. A partire dal 7 ottobre 2026, gli attaccanti l'hanno utilizzata per bypassare l'autenticazione prima di sfruttare una seconda vulnerabilità./rps/api/json/UpdateReceivers.do, è attivamente sfruttata in natura. Gli attaccanti l'hanno concatenata con la CVE-2026-105133 per ottenere l'esecuzione remota di codice con privilegi elevati, distribuire web shell JSP e installare miner di criptovalute XMRig.Huntress ha segnalato che almeno cinque organizzazioni erano state prese di mira da questi attacchi entro l'8 ottobre 2026.
Questi incidenti evidenziano una tendenza preoccupante: l'utilizzo di strumenti open-source come Platypus o l'abuso di funzionalità legittime dei dispositivi (come AMP nei SEG) per ridurre il tempo tra l'accesso iniziale e il controllo persistente. Gli aggressori non necessitano più di sviluppare malware personalizzato da zero, ma possono adattare progetti esistenti.
Platypus è stato precedentemente associato ad attività malevole legate a gruppi con presunti legami con la Cina, suggerendo un approccio sofisticato e potenzialmente mirato. Cisco, inoltre, ha affrontato diverse altre vulnerabilità critiche sui suoi dispositivi SEG negli ultimi mesi, alcune delle quali sfruttate in attacchi zero-day.
La CISA, in linea con la sua Direttiva Operativa Vincolante (BOD) 22-01, impone alle agenzie federali di risolvere le vulnerabilità identificate entro scadenze specifiche per proteggere le loro reti. Gli esperti raccomandano inoltre alle organizzazioni private di rivedere il catalogo KEV e affrontare le vulnerabilità nelle loro infrastrutture.
Le organizzazioni che utilizzano dispositivi Citrix NetScaler sono fortemente esortate ad applicare immediatamente le patch fornite da Citrix e a rivedere i log di sistema alla ricerca di artefatti sospetti o attività inattese.
Per quanto riguarda i dispositivi Cisco SEG, è fondamentale aggiornare i Content Scanner Tools alla versione 25.3.0.5525 o successiva e monitorare i log di rete per attività insolite. Cisco raccomanda inoltre di rinnovare le credenziali e i materiali crittografici sui dispositivi compromessi e di rafforzare i meccanismi di controllo degli accessi. È importante notare che le versioni AsyncOS 16.0 non sono state corrette per la CVE-2026-76519, pertanto Cisco raccomanda la migrazione a versioni più recenti. Non esiste una soluzione alternativa (workaround) per questa falla; in caso di compromissione di un'appliance virtuale, Cisco consiglia una ricostruzione completa con nuove credenziali.
Per i dispositivi Palo Alto Networks, è essenziale applicare gli aggiornamenti di sicurezza e limitare l'accesso all'interfaccia di gestione. Per AhsayCBS, gli aggiornamenti sono cruciali per mitigare il rischio di esecuzione di comandi remoti.
I team di sicurezza dovrebbero prestare attenzione a esecuzioni sospette di comandi, connessioni TLS in uscita insolite e qualsiasi indicazione di attività di gestione remota non autorizzata. La conservazione dei log e un'analisi rapida sono cruciali, poiché alcuni payload malevoli possono auto-rimuoversi o fallire durante la registrazione, rendendo difficile il rilevamento post-compromissione. Mantenere aggiornate le difese è essenziale per contrastare queste minacce in continua evoluzione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.