Quattro falle critiche già sfruttate: cosa fare subito

Quattro vulnerabilità critiche che colpiscono Apple macOS, Microsoft SharePoint, VMware vCenter e Microsoft IKE sono state inserite il 19 agosto 2026 nel catalogo KEV di CISA, l’elenco delle falle già sfruttate in attacchi reali. Per un’azienda il messaggio è semplice: non si tratta di rischi teorici, ma di problemi già usati dagli aggressori per entrare nei sistemi, installare malware, mantenere accesso persistente e, in alcuni casi, arrivare fino al ransomware.

Se nella tua infrastruttura sono presenti Mac, server SharePoint, ambienti VMware o sistemi Microsoft esposti in rete, il tema ti riguarda subito. Anche quando la patch esiste già, il vero rischio nasce dal ritardo nell’installazione, dalla scarsa visibilità sugli asset e da configurazioni lasciate operative oltre il necessario.

Cosa è successo

Il 19 agosto 2026 CISA, l’agenzia statunitense per la cybersicurezza, ha aggiunto quattro nuove vulnerabilità al proprio catalogo Known Exploited Vulnerabilities (KEV). L’inclusione nel KEV non è un dettaglio amministrativo: significa che esistono evidenze pubbliche di sfruttamento attivo.

Le vulnerabilità segnalate sono:

• CVE-2026-65400 su Apple macOS, con punteggio CVSS 9.8
• CVE-2026-55040 su Microsoft SharePoint, con punteggio CVSS 9.1
• CVE-2026-59310 su Broadcom VMware vCenter, con punteggio CVSS 9.8
• CVE-2026-33824 su Microsoft Internet Key Exchange (IKE) Service Extensions, con punteggio CVSS 9.8

Secondo quanto riportato, tutte e quattro sono già state corrette dai rispettivi fornitori, ma nel frattempo sono finite in campagne di attacco reali. Per le agenzie federali civili degli Stati Uniti, CISA ha fissato al 21 agosto 2026 il termine per aggiornare i sistemi vulnerabili secondo le linee guida di patching BOD 26-04. Anche se quel termine riguarda la pubblica amministrazione americana, il segnale per le aziende private è chiaro: queste correzioni vanno trattate con urgenza massima.

Le quattro vulnerabilità, in pratica

macOS: accesso non autorizzato a Screen Sharing

La CVE-2026-65400 riguarda un problema di autenticazione impropria in macOS. In sintesi, un attaccante presente sulla rete potrebbe autenticarsi a Screen Sharing senza credenziali valide.

Per un’azienda questo scenario è più serio di quanto sembri. Screen Sharing non è solo una funzione comoda per l’assistenza remota: se abusata può diventare una porta di ingresso diretta su postazioni operative, soprattutto in ambienti dove i Mac sono collegati alla stessa rete di ufficio o di filiale. La falla, secondo i report pubblici citati, è stata usata per distribuire un miner di Monero, quindi per sfruttare le macchine compromesse a scopo illecito. Anche un attacco “solo” finalizzato al cryptomining, però, segnala che il sistema è penetrabile e potenzialmente riutilizzabile per obiettivi peggiori.

SharePoint: bypass di una protezione via rete

La CVE-2026-55040 colpisce Microsoft SharePoint e permette a un attaccante non autorizzato di aggirare una funzione di sicurezza attraverso la rete.

Il dato più importante non è solo la gravità tecnica, ma il contesto: la vulnerabilità è stata sfruttata dopo la pubblicazione di un proof-of-concept (PoC). Quando il codice dimostrativo diventa pubblico, i tempi tra divulgazione e attacco tendono ad accorciarsi drasticamente. SharePoint è spesso usato per documenti, workflow, intranet e archivi interni: un problema di questo tipo può trasformarsi in accesso non voluto a dati aziendali, informazioni riservate e credenziali di servizio.

VMware vCenter: dal server di gestione al ransomware

La CVE-2026-59310 interessa VMware vCenter e consiste in una vulnerabilità di path traversal che può consentire l’esecuzione di codice arbitrario a un attaccante con accesso di rete a vCenter.

Questa è probabilmente la più delicata per molte realtà strutturate, perché vCenter è il punto di amministrazione centrale dell’infrastruttura virtuale. Se viene compromesso, il problema non riguarda un solo server ma potenzialmente l’intero ambiente virtualizzato.

Secondo i report pubblici richiamati nella notizia, la falla sarebbe stata sfruttata da un attore APT sospettato di avere legami con la Cina per installare una backdoor e binari reverse_ssh utili a mantenere accesso persistente. In almeno un caso, la campagna ha portato al rilascio di un ransomware derivato da Babuk. L’attività avrebbe compromesso 361 indirizzi IP unici in 47 Paesi, con concentrazioni maggiori in Germania (55), Stati Uniti (41), Turchia (38), Iran (26) e Francia (25).

Per chi gestisce server, ERP, file server o applicazioni gestionali su VMware, è il classico esempio di come una falla nell’amministrazione possa propagare il rischio a tutta la produzione.

Microsoft IKE: esecuzione di codice da remoto

La CVE-2026-33824 riguarda Microsoft Internet Key Exchange (IKE) Service Extensions e può consentire a un attaccante non autorizzato di eseguire codice da remoto via rete, a causa di un problema di double free.

Secondo Palo Alto Networks Unit 42, la vulnerabilità è stata osservata in attacchi attribuiti a un attore di lingua cinese che avrebbe affiancato operazioni manuali tradizionali a una campagna di hacking autonomo supportata da AI tramite DeepSeek. Al di là del nome specifico usato nei report, la tendenza è chiara: gli aggressori stanno combinando automazione e attacco umano per identificare, concatenare e sfruttare più velocemente le debolezze esposte.

Perché questa notizia conta anche per una PMI

Molte piccole e medie imprese leggono notizie come questa pensando che riguardino solo ministeri, multinazionali o data center complessi. In realtà, proprio le PMI sono spesso bersagli più facili perché hanno infrastrutture ibride, patch distribuite in modo non uniforme e pochi controlli continui sugli asset davvero esposti.

Inoltre, i quattro prodotti coinvolti non sono affatto “di nicchia”:

• i Mac sono diffusi in studi professionali, marketing, progettazione e direzione;
• SharePoint è comune nelle aziende che usano l’ecosistema Microsoft 365 o ambienti on-premise;
• vCenter è il cuore di molte sale server aziendali e di numerosi provider IT;
• IKE entra in gioco in scenari di rete, VPN e connettività sicura che spesso restano poco visibili ai non specialisti.

Quando una vulnerabilità finisce nel catalogo KEV, la priorità non è “capire se è grave”, perché la gravità è già confermata dai fatti. La priorità è verificare subito dove il prodotto è presente, se è esposto, se è già stato aggiornato e se ci sono tracce di attività anomala antecedenti alla patch.

Cosa significa per la tua azienda

Per una PMI italiana, l’approccio corretto è operativo e concreto.

1. Fai subito l’inventario dei sistemi coinvolti

Verifica se in azienda sono presenti:

• Mac con Screen Sharing attivo;
• server SharePoint gestiti internamente;
• infrastrutture VMware vCenter;
• sistemi Windows che usano componenti IKE in contesti di rete o VPN.

Senza una mappa aggiornata degli asset, anche la migliore patch rischia di arrivare tardi o nel posto sbagliato.

2. Applica gli aggiornamenti con priorità alta

Le patch esistono già: il punto è distribuirle rapidamente e in modo controllato, documentando data, versione e sistemi interessati. Se la tua organizzazione non ha una procedura chiara di aggiornamento, è il momento di strutturarla con un servizio di gestione continuativa delle postazioni e dei server, ad esempio tramite attività di /servizi/desktop-it-management/.

3. Riduci l’esposizione dei servizi non indispensabili

Se una funzione come Screen Sharing, una console di amministrazione o un servizio di rete non è strettamente necessario dall’esterno, meglio limitarne l’accesso a VPN, segmenti interni o indirizzi autorizzati. Non tutte le falle si possono prevenire, ma molte si possono rendere molto meno sfruttabili.

4. Controlla i log e cerca indicatori di compromissione

Aggiornare è indispensabile, ma non basta se l’attacco è già avvenuto. Serve verificare:

• accessi anomali o fuori orario;
• creazione di utenti inattesi;
• processi sospetti sui Mac;
• modifiche non spiegate in vCenter;
• connessioni o tunnel persistenti non autorizzati.

Sui sistemi virtualizzati o sui server applicativi, questo controllo va fatto con particolare attenzione.

5. Prepara il piano B: backup e ripristino

Nel caso vCenter, la notizia cita esplicitamente un esito ransomware in almeno un caso. Questo rende ancora più importante avere copie di sicurezza affidabili, separate e verificabili. Un sistema di /soluzioni/remote-backup/ ben progettato riduce il rischio che un incidente tecnico o un attacco blocchi l’operatività per giorni.

6. Rivedi le misure di sicurezza e la conformità

Quando un attacco può coinvolgere documenti, sistemi di autenticazione o infrastrutture centrali, il tema non è solo tecnico ma anche organizzativo. Se ci sono dati personali, account dipendenti o informazioni di clienti e fornitori, può essere necessario rivalutare misure, registri, procedure e responsabilità, anche in ottica /servizi/gdpr-2016-679/.

Il punto chiave: velocità, visibilità, continuità

Le quattro vulnerabilità segnalate da CISA raccontano una lezione ormai costante: oggi il valore non sta solo nell’avere strumenti di sicurezza, ma nella capacità di reagire rapidamente quando emerge una falla già sfruttata.

Le aziende più esposte non sono per forza quelle con più tecnologia, ma quelle che non sanno con precisione quali sistemi hanno, quali servizi sono aperti, chi li gestisce e quando sono stati aggiornati l’ultima volta. Un ambiente ordinato, documentato e monitorato riduce molto più rischio di quanto faccia una corsa affannosa all’ultimo minuto.

Per questo la cyber sicurezza, per una PMI, non dovrebbe essere trattata come una somma di emergenze separate. Patch management, controllo degli accessi, backup, segmentazione della rete e procedure di risposta sono parti dello stesso problema. E, di conseguenza, della stessa soluzione.

Domande frequenti

Se abbiamo già installato le patch, siamo al sicuro?

Più sicuri, sì, ma non automaticamente al sicuro. Se lo sfruttamento è avvenuto prima dell’aggiornamento, potrebbe esserci già una persistenza attiva. Serve anche un controllo dei log e dei segnali di compromissione.

Una PMI senza server complessi deve preoccuparsi davvero?

Sì. Anche solo la presenza di Mac in rete o di servizi Microsoft esposti può creare una superficie d’attacco concreta. Inoltre molti servizi critici sono spesso gestiti da fornitori esterni, ma restano responsabilità operative dell’azienda verificarne lo stato.

Qual è la priorità assoluta da fare oggi?

Individuare subito se i sistemi coinvolti sono presenti in azienda e verificare che siano aggiornati. Subito dopo, controllare esposizione in rete, log e stato dei backup.