Falla di PAN-OS sfruttata dai ransomware Qilin e Settra
Secondo ReliaQuest, una vulnerabilità di PAN-OS viene sfruttata attivamente dai gruppi ransomware Qilin e Settra. CVE-2026-0257 è un authentication bypass, ovvero può consentire a un attaccante di aggirare il normale controllo dell'identità, in PAN-OS GlobalProtect e Prisma Access. La falla è stata divulgata nel maggio 2026. Poiché l'accesso avviene tramite la virtual private network (VPN) dell'organizzazione, le sessioni malevole possono sembrare normali attività di lavoro da remoto mentre gli attaccanti rubano credenziali o dati, si spostano nei sistemi interni o distribuiscono ransomware. ReliaQuest raccomanda di aggiornare i sistemi interessati, disabilitare gli authentication override cookies dove non sono necessari, terminare ogni sessione GlobalProtect attiva dopo l'applicazione della patch e indagare sulle connessioni inattese, comprese le sessioni che usano hostname come “kali”. Installare l'aggiornamento non elimina l'accesso che gli attaccanti potrebbero avere già stabilito.
Anche diversi prodotti web e cloud presentano falle ad alto impatto. Quattro vulnerabilità corrette nella versione cloud di Adobe Experience Manager possono essere concatenate per ottenere remote code execution (RCE) senza autenticazione, ovvero eseguire codice senza prima effettuare l'accesso. La catena usa un DAM bulk import senza autenticazione, stored cross-site scripting, parsing XML non sicuro ed esecuzione Groovy tramite /bin/asynccommand. Samsung ha corretto CVE-2026-110392, una falla critica di command injection in QA-Board causata dalla gestione impropria di dati controllati dall'utente. Potrebbe consentire a un attaccante non autenticato di eseguire shell commands. La vulnerabilità è stata segnalata da Claude Opus 5.5.
È stato segnalato anche lo sfruttamento attivo di CVE-2026-106931 in EG Secure Solutions SiteGuard Server Edition. La vulnerabilità interessa la versione 2.20 o successiva quando le statistiche sono abilitate, come avviene per impostazione predefinita, e può consentire l'esecuzione di comandi del sistema operativo con privilegi root o SYSTEM. Il metodo, gli operatori e gli obiettivi rimangono sconosciuti. Separatamente, Rapid7 ha divulgato CVE-2026-108065, una falla critica di SQL injection in Channel Software WebAlliance eCommerce per la quale non è stata annunciata alcuna patch. La SQL injection manipola le richieste al database di un sito. Gli attaccanti potrebbero leggere informazioni personali e password oppure eseguire comandi di sistema se l'account del database dispone di privilegi di amministratore. Harbor ha corretto GHSA-2phj-cp9f-qq6w, una falla di server-side request forgery che, secondo OX Security, consente a un utente registrato in grado di creare un progetto di indirizzare un webhook verso un cloud metadata endpoint e ottenere le credenziali IAM del server.
Gli operatori delle infrastrutture devono affrontare falle a livello di host, container, virtual machine e DNS. CVE-2026-47595, chiamata anche Bad UVM, interessa NVIDIA GPU Display Driver for Linux perché i permessi della memoria non vengono mantenuti. Un ricercatore ha dimostrato che un utente senza privilegi potrebbe scrivere nella memoria di sola lettura e potenzialmente ottenere accesso root, manomettere dati, divulgare informazioni, causare un denial of service o effettuare un container escape per raggiungere l'host. Xen ha risolto CVE-2026-79610, una grant-table race condition che interessa ogni versione di Xen dalla 4.0 in poi, tramite xsa517.patch. Un guest senza privilegi potrebbe potenzialmente ottenere privilegi sull'host. Le mitigazioni indicate sono gnttab=max-ver:1 per l'hypervisor o max_grant_version=1 per i guest. NSD 4.15.3 o versioni successive correggono quattro vulnerabilità di command execution: CVE-2026-101341, CVE-2026-101339, CVE-2026-101338 e CVE-2026-101337. Quarkslab ha inoltre scoperto che MyReport Updater 2.1.1 può consentire a un normale utente Windows di scegliere un reference server arbitrario. Se il servizio lo raggiunge tramite gRPC sulla porta TCP 9095, è possibile scrivere file con privilegi SYSTEM e caricare una DLL malevola, assumendo potenzialmente il controllo di un server Citrix o di un'altra macchina interessata.
I proprietari di siti web dovrebbero inoltre prestare attenzione a una persistente backdoor di WordPress documentata da Wordfence. Installato come must-use plugin, il malware utilizza diversi meccanismi per ripristinarsi dopo la rimozione. Usa inoltre EtherHiding, che memorizza la posizione dei server controllati dagli attaccanti dietro uno smart contract Ethereum per rendere più difficile disabilitare il command channel. Le sue funzionalità includono la creazione e l'occultamento di un account amministratore, la raccolta delle password degli amministratori, la modifica da remoto del sito, la rimozione di dati e la propagazione ad altre installazioni WordPress presenti nello stesso file system. Questa combinazione rende importante controllare gli account amministratore, i must-use plugin e le installazioni vicine dopo la bonifica.
Anche il DNS viene utilizzato per favorire il furto di criptovalute. Infoblox ha analizzato il kit wallet-drainer Noir, il cui loader interroga record DNS TXT tramite servizi pubblici DNS over HTTPS (DoH) per individuare un backend attivo ospitato su Cloudflare Pages. Il drainer non richiede la seed phrase, la password o la private key della vittima. Prima richiede l'accesso in lettura, adatta i propri contenuti al wallet e poi cerca di ottenere permessi di spesa che possono sembrare meno allarmanti di un trasferimento diretto. Il furto viene successivamente eseguito da un'infrastruttura controllata dagli attaccanti. Infoblox sospetta, ma non ha confermato, che l'intelligenza artificiale abbia contribuito allo sviluppo e alla manutenzione del malware.
Altre campagne malware ampliano i rischi per gli endpoint e gli account degli sviluppatori. Darktrace ha osservato CikaBika Bot, basato su Rust, arrivare tramite un documento-esca contenente un file LNK malevolo e un PDF con un payload incorporato. Utilizza un loader Nim, un PowerShell User Account Control bypass e il DLL search-order hijacking, quindi si affida a Discord per il command and control, o C2, oltre che per la ricognizione e l'esecuzione da remoto. Può acquisire screenshot, trasferire file ed esfiltrare dati tramite ngrok. Point Wild ha descritto BotHelper RAT, un remote access trojan che rileva le caratteristiche di un host Windows, disabilita la validazione dei certificati TLS e scarica payload.bin da easyllms.xyz. Il suo secondo stage si nasconde, viene eseguito ogni 30 minuti tramite uno scheduled task, interferisce con Antimalware Scan Interface e interroga endpoint PHP per ricevere istruzioni.
Group-IB riferisce che KGB RAT viene commercializzato dalla fine del 2025, sebbene un riferimento pubblico alla versione server 0.1 risalga al gennaio 2022. Le funzionalità pubblicizzate combinano controllo del remote desktop, furto di credenziali, keylogging, accesso a videocamera e microfono, persistence, ransomware e funzioni di molestia come jump scare, forti interruzioni visive e crash forzati del sistema. I piani vanno da 150 dollari per un mese a 800 dollari per un anno. Nel frattempo XWorm è passato da 35 a 46 plugin, aggiungendo la raccolta della posizione GPS senza richiesta, l'audio in diretta dal microfono, l'acquisizione dalla webcam e il controllo di sessioni del browser autenticate, in grado di aggirare la multi-factor authentication. Le versioni rilevate dal luglio 2025 includono V6.4, V6.5 “XWorm Reborn,” V7.2 e V7.4.
I malware che rubano credenziali sono sempre più interessati agli strumenti di sviluppo e di intelligenza artificiale. Gen Digital afferma che Warden Stealer, basato su Rust, prende di mira i dati locali e i file di configurazione appartenenti agli assistenti AI e agli strumenti di agentic coding, offrendo inoltre un loader e un cryptocurrency clipper. Symantec afferma che Aoki prende di mira credenziali e file di sessione di Claude, Codex, Cursor, Codeium e Gemini.