CISA segnala 5 falle già sfruttate: cosa fare subito

CISA, l’agenzia statunitense per la cybersicurezza, ha inserito cinque nuove vulnerabilità nel catalogo KEV, cioè l’elenco dei difetti già sfruttati dagli attaccanti in casi reali. Questa volta riguardano tre tecnologie molto presenti anche nelle aziende italiane: JFrog Artifactory, ConnectWise ScreenConnect e MikroTik RouterOS.

Per un’impresa il punto non è solo tecnico: quando una falla entra nel KEV significa che il rischio non è teorico. Se uno di questi sistemi è in uso, o esposto su Internet, aggiornare non è più una buona pratica “da pianificare”, ma un’attività urgente di riduzione del rischio.

Cosa è successo

Il 12 settembre 2026 The Hacker News ha riportato che CISA ha aggiunto cinque vulnerabilità attivamente sfruttate al proprio catalogo Known Exploited Vulnerabilities. I prodotti coinvolti sono:

• JFrog Artifactory
• ConnectWise ScreenConnect
• MikroTik RouterOS

Le vulnerabilità aggiunte sono queste:

• CVE-2026-42016 in JFrog Artifactory — punteggio CVSS 8.1
• CVE-2026-42018 in JFrog Artifactory — punteggio CVSS 7.5
• CVE-2026-84869 in ConnectWise ScreenConnect — punteggio CVSS 9.9
• CVE-2026-67277 in MikroTik RouterOS — punteggio CVSS 8.8
• CVE-2026-86060 in MikroTik RouterOS — punteggio CVSS 9.2

L’inserimento nel KEV avviene quando esistono evidenze di sfruttamento reale. In altre parole: qualcuno non sta solo studiando il difetto, lo sta già usando per compromettere sistemi vulnerabili.

Perché queste cinque falle sono importanti

Le tre piattaforme colpite hanno un ruolo diverso, ma tutte possono aprire la porta a conseguenze molto serie.

Artifactory è spesso al centro dei processi di sviluppo e distribuzione software. Se viene compromesso, l’attaccante può ottenere privilegi elevati e inserirsi in un punto delicatissimo della filiera interna.

ScreenConnect è uno strumento di accesso remoto. Se un difetto consente trasferimento ed esecuzione di file senza autorizzazione effettiva, il rischio è immediato: usare un canale già fidato dall’azienda per distribuire codice malevolo.

RouterOS governa apparati di rete. Se un router viene preso in mano da un attaccante, il danno può andare oltre il singolo dispositivo: intercettazione del traffico, instabilità, pivot verso altri sistemi interni e perdita di controllo del perimetro.

Non tutte le vulnerabilità sono uguali, ma in questo caso il filo conduttore è chiaro: aggirare controlli, aumentare i privilegi, eseguire azioni non autorizzate o prendere il controllo del dispositivo.

Il caso Artifactory: quando la catena di attacco porta all’amministratore

Per JFrog Artifactory, CISA ha aggiunto due falle:

• CVE-2026-42016: vulnerabilità di autorizzazione non corretta che può portare a escalation di privilegi, perché viene verificata la firma o il mittente del token ma non il suo ambito effettivo.
• CVE-2026-42018: vulnerabilità di autenticazione impropria che, anche con accesso anonimo disabilitato, può restituire a un chiamante non autenticato un token interno dell’utente anonimo, con potenziale esposizione di risorse sensibili.

Secondo quanto riportato, questi difetti sono stati osservati in combinazione con CVE-2026-82329 — già inserita nel KEV all’inizio del mese — per ottenere controllo amministrativo su server self-hosted vulnerabili e installare backdoor tra il 15 agosto e l’8 settembre 2026.

L’elemento più preoccupante non è solo l’accesso iniziale, ma il comportamento successivo degli attaccanti: creazione di account amministrativi persistenti, distribuzione di plugin Groovy malevoli per esecuzione di codice e installazione di backdoor sviluppate in Rust per mantenere la persistenza.

Per un’azienda questo significa che non basta applicare la patch: se il server è rimasto esposto e vulnerabile nel periodo di sfruttamento osservato, serve anche una verifica di compromissione.

ScreenConnect: il rischio passa dal canale di assistenza remota

La falla CVE-2026-84869 riguarda ConnectWise ScreenConnect e ha un punteggio CVSS 9.9. La criticità è alta perché permette, in determinate circostanze, di trasferire ed eseguire file attraverso una sessione remota attiva senza autorizzazione o conferma dell’host.

Un dettaglio importante: il problema, secondo quanto riportato, non impatta i server ScreenConnect, ma il client. Questo cambia il modo in cui valutare il rischio: chi usa lo strumento per supporto remoto deve verificare non solo l’infrastruttura centrale, ma anche gli endpoint su cui è installato il componente host.

Huntress ha collegato lo sfruttamento della vulnerabilità a tre incidenti distinti in cui gli attori malevoli hanno abusato di ScreenConnect per distribuire un payload VBScript verso sistemi appena collegati. ConnectWise ha indicato come versione correttiva la 26.6.5.

Per molte PMI questo è un promemoria importante: gli strumenti di teleassistenza sono preziosi, ma rappresentano anche un asset ad alto impatto. Se compromessi o abusati, consentono agli attaccanti di operare all’interno con un livello di fiducia elevato.

MikroTik RouterOS: quando il bersaglio è il bordo della rete

Le due vulnerabilità in MikroTik RouterOS aggiunte al KEV sono:

• CVE-2026-67277 — assenza di autenticazione per una funzione critica, con possibile esposizione della memoria del kernel e denial-of-service nel servizio btest
• CVE-2026-86060 — neutralizzazione impropria di delimitatori negli argomenti di comando, con possibilità di modificare la policy mask trusted di RouterOS e ottenere escalation di privilegi

L’aggiunta nel KEV segue il rapporto di CERT Polska, che aveva osservato attori sconosciuti sfruttare una catena di due falle per prendere il controllo di dispositivi vulnerabili senza autenticazione. CISA ha dato a questa catena il nome MikroTrick.

Il punto essenziale per le aziende è semplice: un router esposto e non aggiornato non è solo un apparato di connettività, ma può diventare un punto d’ingresso. E poiché questi dispositivi spesso restano in produzione per anni, è facile sottovalutarli rispetto a server e PC.

Le scadenze indicate da CISA

CISA ha fissato per le agenzie federali statunitensi queste date di rimedio:

• 13 settembre 2026 per le vulnerabilità RouterOS
• 14 settembre 2026 per la vulnerabilità ScreenConnect
• 25 settembre 2026 per le vulnerabilità Artifactory

Queste scadenze non si applicano formalmente alle aziende italiane, ma sono un buon indicatore della priorità operativa. Se CISA impone finestre così strette, vuol dire che il rischio di sfruttamento è considerato concreto e immediato.

Cosa significa per la tua azienda

Per una PMI italiana, la lezione è pratica: se usi uno di questi prodotti, devi verificare oggi stesso versione, esposizione e log.

Ecco le priorità consigliate:

1. Fai l’inventario dei sistemi coinvolti
   Verifica se in azienda, presso il tuo fornitore IT o nei data center esterni sono presenti JFrog Artifactory, ScreenConnect o apparati MikroTik. Spesso il problema è non sapere con precisione cosa è installato.

2. Aggiorna prima i sistemi esposti su Internet
   Router, console remote e piattaforme self-hosted pubblicate online hanno priorità assoluta. Se l’aggiornamento non è immediato, valuta misure temporanee di contenimento: limitazione degli accessi, restrizioni IP, disattivazione dei servizi non necessari.

3. Per Artifactory, non fermarti alla patch
   Se il server è self-hosted ed è rimasto vulnerabile nelle ultime settimane, controlla account amministrativi creati di recente, plugin Groovy non autorizzati, processi anomali e persistenze sospette.

4. Per ScreenConnect, aggiorna il client host
   Non dare per scontato che basti mettere mano al server centrale. Il problema riguarda il lato host: serve verificare che i client siano alla versione corretta indicata dal produttore.

5. Per MikroTik, tratta il router come un sistema critico
   Controlla firmware, servizi esposti e configurazioni non indispensabili. Un router compromesso può avere effetti su tutta la rete aziendale.

6. Verifica backup e capacità di ripristino
   Se un attacco porta a manomissione di sistemi o configurazioni, il tempo di ripartenza dipende dalla qualità delle copie e delle procedure. Se vuoi rafforzare questo aspetto, ha senso valutare soluzioni di remote backup.

7. Rivedi il processo di patch management
   Le vulnerabilità KEV mostrano sempre lo stesso problema organizzativo: aggiornamenti rimandati, apparati dimenticati, assenza di controllo centralizzato. Per molte aziende è utile introdurre un presidio continuativo di sicurezza informatica e gestione operativa dei dispositivi.

8. Coinvolgi il partner IT, non solo l’ufficio interno
   Se parte dell’infrastruttura è gestita da consulenti o MSP, chiarisci subito responsabilità, tempi di aggiornamento e verifiche post-intervento. In questi casi un contratto chiaro di assistenza informatica riduce ritardi e zone grigie.

In sintesi: questa notizia non riguarda solo chi gestisce grandi data center. Riguarda anche l’azienda con una teleassistenza attiva, un repository software interno o un router professionale installato anni fa e mai più rivisto.

Domande frequenti

Se non uso direttamente questi prodotti, posso ignorare la notizia?

No. Potrebbero usarli il tuo fornitore IT, il software house che ti segue o una sede esterna. Vale la pena verificare almeno l’inventario dei sistemi gestiti da terzi.

Aggiornare basta a mettermi al sicuro?

Non sempre. Nel caso di Artifactory, se il sistema è rimasto esposto durante il periodo di sfruttamento osservato, è prudente controllare anche eventuali segni di compromissione.

I router vanno gestiti come server critici?

Sì. Se un apparato di rete viene compromesso, può diventare un punto d’accesso all’intera infrastruttura. Firmware, servizi esposti e configurazione meritano controlli regolari.