CISA aggiorna il KEV: 6 falle già sfruttate

CISA, l’agenzia statunitense per la cybersicurezza, ha inserito il 27 agosto 2026 sei nuove vulnerabilità nel catalogo KEV, l’elenco dei difetti software che risultano già sfruttati in attacchi reali. Per le aziende il punto non è solo tecnico: quando una falla entra nel KEV significa che non è più un rischio teorico, ma una porta che qualcuno sta già cercando di usare.

Il caso più urgente riguarda Citrix NetScaler ADC e NetScaler Gateway, ma nell’aggiornamento compaiono anche Microsoft SQL Server, Linux Kernel, Red Hat ABRT, Red Hat libuser e Ajax.NET Professional. Se in azienda usate questi prodotti direttamente o tramite fornitori, è il momento di verificare subito versioni, esposizione e stato delle patch.

Che cos’è il catalogo KEV e perché conta davvero

Il catalogo Known Exploited Vulnerabilities, o KEV, è la lista pubblicata da CISA delle vulnerabilità per cui esistono prove di sfruttamento attivo. Non raccoglie quindi tutti i bug importanti, ma quelli che hanno già superato la soglia più critica: qualcuno li sta usando sul campo.

Per un imprenditore o un responsabile d’ufficio questo cambia le priorità. Una vulnerabilità con punteggio alto ma non sfruttata può restare in coda per qualche giorno, se ben compensata da altre misure. Una vulnerabilità inserita nel KEV, invece, entra nella categoria delle urgenze operative: va controllata, corretta o mitigata in tempi stretti.

Il motivo è semplice. Gli attaccanti non hanno bisogno di inventare ogni volta tecniche nuove: spesso scelgono falle note, su sistemi esposti e non aggiornati. Ed è proprio questo che CISA ha ribadito insieme al nuovo aggiornamento del catalogo.

Le sei vulnerabilità aggiunte da CISA il 27 agosto 2026

Secondo l’aggiornamento del 27 agosto 2026, le sei vulnerabilità aggiunte al KEV sono le seguenti:

• CVE-2019-1068: vulnerabilità di esecuzione di codice da remoto in Microsoft SQL Server. Un attaccante potrebbe eseguire codice nel contesto dell’account di servizio del motore database SQL Server.
• CVE-2026-8452: vulnerabilità di gestione impropria della memoria in Citrix NetScaler ADC e NetScaler Gateway, con possibile impatto di denial-of-service.
• CVE-2022-0995: vulnerabilità di scrittura fuori dai limiti della memoria nel Linux Kernel, sfruttabile da un utente locale per ottenere privilegi elevati o causare un denial-of-service.
• CVE-2015-5287: vulnerabilità di privilege escalation in Red Hat Automatic Bug Reporting Tool (ABRT), sfruttabile tramite attacco con symlink su un file dal nome prevedibile.
• CVE-2015-3246: vulnerabilità di race condition in Red Hat libuser, che può permettere a un utente autenticato locale di corrompere il file /etc/passwd causando denial-of-service o escalation di privilegi.
• CVE-2021-23758: vulnerabilità di deserializzazione di dati non attendibili in Ajax.NET Professional (AjaxPro), con possibile esecuzione di codice da remoto tramite classi .NET arbitrarie.

Questa varietà è significativa: non si parla di un solo produttore o di una singola piattaforma, ma di componenti che possono comparire in infrastrutture ibride, server web, applicazioni interne, database e apparati di accesso remoto.

Il caso NetScaler è quello da guardare subito

Tra le sei falle, CISA evidenzia in particolare CVE-2026-8452 su Citrix NetScaler ADC e NetScaler Gateway. Secondo quanto riportato, ci sono prove di sfruttamento attivo e i ricercatori di Defused Cyber e Previdian hanno osservato attività offensive in corso.

Previdian ha segnalato che gli attaccanti stavano caricando web shell chiamate x.php e z.php, ed eseguendo comandi di ricognizione come id ed echo. La telemetria citata parla di 36 tentativi di sfruttamento negli ultimi 12 giorni, provenienti da 12 indirizzi IP unici localizzati in Svizzera, Germania, Hong Kong, Giappone, Paesi Bassi, Russia, Singapore, Türkiye, Stati Uniti e Vietnam.

Questo non significa che tutti i sistemi NetScaler siano compromessi, ma conferma che esiste una ricerca attiva di bersagli vulnerabili. E NetScaler, per sua natura, è spesso un punto molto sensibile: sta davanti ai servizi, gestisce accessi, pubblicazione di applicazioni e traffico remoto. Un problema su questo perimetro merita un controllo immediato.

Non c’è solo Windows: Linux, Red Hat e componenti applicativi restano nel mirino

L’aggiornamento ricorda anche un punto che molte PMI sottovalutano: non esistono piattaforme “automaticamente al sicuro”. Nel KEV entrano una vulnerabilità del kernel Linux, due componenti Red Hat e una libreria .NET utilizzata in alcune applicazioni web.

L’inserimento di CVE-2022-0995, CVE-2015-5287, CVE-2015-3246 e CVE-2021-23758 segue un rapporto di Cisco Talos su un gruppo cybercriminale cinese identificato come UAT-10147, descritto come attivo contro server web Windows e Linux a livello globale nei settori istruzione, media, tecnologia e gaming.

Per una PMI il messaggio è chiaro: il rischio non riguarda solo il classico PC dell’ufficio. Può coinvolgere server Linux usati per siti, gestionali, middleware, pannelli web o appliance affidate a software house e provider esterni. E può emergere anche da componenti vecchi, presenti da anni in applicazioni interne mai riviste.

Le scadenze indicate da CISA

CISA ha chiesto alle agenzie federali civili statunitensi di applicare le correzioni:

• entro il 29 agosto 2026 per CVE-2019-1068 e CVE-2026-8452;
• entro il 9 settembre 2026 per le altre quattro vulnerabilità.

Queste date valgono per il contesto federale USA, ma sono un riferimento utile anche per le aziende private: indicano il livello di urgenza attribuito dall’agenzia a ciascun caso. In pratica, se un prodotto coinvolto è presente nella vostra infrastruttura, la verifica non va rimandata al “prossimo giro di aggiornamenti”.

Il messaggio più importante di CISA: si sfruttano falle note e difetti ricorrenti

Contestualmente all’aggiornamento del KEV, CISA ha pubblicato anche una nuova analisi sulle cause alla radice del software insicuro e sulle misure pratiche per ridurre le possibilità di sfruttamento.

Due dati meritano attenzione. Analizzando i record CVE del 2024 e del 2025, CISA ha rilevato che le debolezze di tipo injection sono state la categoria più numerosa, con 7.701 CVE nel 2024 e 21.019 CVE nel 2025. Inoltre, nel catalogo KEV risultano sovrarappresentate vulnerabilità legate a memory safety e improper input validation rispetto all’insieme complessivo dei CVE.

Tradotto in linguaggio aziendale: gli attaccanti non cercano per forza la falla più sofisticata, ma quella più sfruttabile, più diffusa e rimasta aperta troppo a lungo. E CISA sottolinea anche che l’intelligenza artificiale viene già usata per automatizzare gli sforzi di sfruttamento. Questo rende ancora più pericolosi i ritardi nel patching e l’assenza di inventari accurati.

Cosa significa per la tua azienda

Per una PMI italiana la priorità non è inseguire ogni notizia, ma trasformarla in un controllo concreto. Ecco cosa conviene fare subito.

1. Verifica se i prodotti coinvolti sono presenti, anche indirettamente. Non limitarti ai server gestiti internamente. Chiedi anche a software house, MSP, provider cloud e fornitori di connettività se usano NetScaler, SQL Server, Linux kernel vulnerabili, componenti Red Hat o AjaxPro nei servizi che erogano.

2. Controlla l’esposizione esterna. Se NetScaler ADC o Gateway pubblicano accessi remoti, portali o applicazioni verso Internet, la verifica è prioritaria. Un apparato perimetrale vulnerabile è più interessante per un attaccante di un sistema confinato in rete interna.

3. Aggiorna e documenta le patch applicate. Non basta “fare gli aggiornamenti”: serve sapere dove sono stati eseguiti, quando e con quale esito. Un processo strutturato di gestione endpoint e server riduce il rischio di dimenticare apparati o macchine secondarie. Se manca una regia centralizzata, può essere utile rafforzare il presidio con servizi di desktop IT management.

4. Cerca indicatori di compromissione sui sistemi esposti. Nel caso NetScaler, la presenza di file sospetti come x.php o z.php, o l’esecuzione di comandi anomali di discovery, merita un controllo immediato. Se c’è il dubbio che un sistema sia già stato toccato, patchare non basta: bisogna verificare integrità, accessi, log e persistenza.

5. Proteggi il ripristino, non solo la prevenzione. Anche con buone pratiche, un incidente può accadere. Backup verificati, separati e recuperabili rapidamente fanno la differenza tra un fermo di poche ore e una crisi operativa prolungata. Qui entrano in gioco soluzioni di remote backup pensate per continuità e recupero.

6. Inserisci il tema nel perimetro della sicurezza aziendale, non solo IT. Se un server applicativo o un database viene compromesso, il problema può coinvolgere dati personali, fermo operativo, contratti con clienti e adempimenti normativi. Per questo il patch management va visto come parte di una strategia più ampia di sicurezza informatica, non come semplice manutenzione tecnica.

E per chi lavora tra Italia e Svizzera

Questa notizia ha un collegamento concreto con la Svizzera perché la telemetria riportata cita anche indirizzi IP provenienti dalla Svizzera tra quelli osservati nei tentativi di sfruttamento contro NetScaler. Non implica responsabilità di operatori svizzeri, ma conferma che le campagne sono internazionali e possono attraversare infrastrutture, hosting e sedi distribuite.

Per le aziende che operano tra Italia e Canton Ticino, o che hanno sedi e fornitori su entrambi i lati del confine, il risvolto pratico è semplice: bisogna allineare il controllo delle vulnerabilità su tutto il perimetro transfrontaliero, non solo sulla sede principale. Se accessi remoti, appliance di pubblicazione o applicazioni sono ospitati in Svizzera o gestiti da partner elvetici, è opportuno verificare rapidamente patching, log e responsabilità contrattuali. In questi contesti è utile avere una visione chiara dei flussi e degli obblighi legati ai dati tra i due Paesi: approfondimento qui su GDPR, nLPD e dati transfrontalieri.

Domande frequenti

Se non uso Citrix NetScaler, posso ignorare la notizia?

No. Nell’aggiornamento compaiono anche SQL Server, Linux Kernel, Red Hat e Ajax.NET Professional. Inoltre la notizia è un promemoria sul fatto che le falle note e non corrette restano tra i bersagli preferiti.

Una vulnerabilità nel KEV significa che sono già stato violato?

No. Significa però che esistono prove di sfruttamento attivo nel mondo reale. Se usi il prodotto coinvolto, devi verificare rapidamente patch, esposizione e possibili tracce di attività anomala.

Basta applicare la patch per essere tranquilli?

Non sempre. Se il sistema era già esposto e qualcuno l’ha compromesso prima dell’aggiornamento, la patch chiude la falla ma non rimuove eventuali accessi persistenti o web shell. Serve anche un controllo di sicurezza post-intervento.