Tre fornitori, una settimana, lo stesso vuoto di patch

Un responsabile IT controlla tre log di patch prima di pranzo

Un responsabile IT di un'azienda logistica di medie dimensioni apre tre schede prima di pranzo il 2 settembre: la console di amministrazione di SonicWall, la dashboard di Switchvox e l'istanza di Artifactory che custodisce gli artefatti di build dell'azienda. Nessuno dei tre fornitori ha relazioni con gli altri. Uno vende gateway VPN, un altro centralini telefonici, il terzo repository software. Eppure tutte e tre le schede sono aperte per lo stesso motivo: ogni fornitore ha confermato lo sfruttamento attivo di una falla nelle ultime settantadue ore.

Non è una brutta settimana per una sola azienda. Sono tre incidenti separati e simultanei contro tre prodotti non correlati, scoperti e divulgati a pochi giorni di distanza all'inizio di settembre 2026. Letto singolarmente, ciascuno è un avviso di routine. Letti insieme, descrivono uno schema che conta più di qualsiasi singolo numero CVE.

SonicWall SMA1000 affronta uno zero-day di gravità massima

SonicWall ha confermato l'1 e il 2 settembre 2026 che alcuni attaccanti stanno sfruttando attivamente due vulnerabilità prima non divulgate nei suoi apparati di accesso remoto SMA1000, sui modelli 6210, 7210 e 8200v. CVE-2026-83548 è una vulnerabilità SSRF pre-autenticazione nell'interfaccia Appliance Work Place, con un punteggio CVSS di 10.0, il massimo possibile. CVE-2026-83549 è un'iniezione di comandi del sistema operativo nella Appliance Management Console che permette a un amministratore autenticato di eseguire codice da remoto.

Le versioni firmware inferiori a 12.4.3-03526 e 12.5.0-02952 sono vulnerabili. Al momento della conferma degli attacchi non esisteva alcuna patch, il che rende questo un vero zero-day: non c'è stata alcuna finestra in cui un difensore avrebbe potuto chiudere la falla applicando un aggiornamento, perché nessun aggiornamento era disponibile. È anche il terzo incidente di sicurezza SMA1000 di quest'anno, dopo un furto di seed MFA nel luglio 2026 che avevamo trattato separatamente all'epoca.

Switchvox e Artifactory raccontano due storie diverse di vuoto di patch

Sangoma Switchvox SMB Edition 8.3 presenta una falla di iniezione SQL non autenticata, CVE-2026-9586, con punteggio CVSS di 9.3. Permette a un attaccante di installare una reverse shell senza alcuna credenziale, attraverso l'endpoint "/pa" del prodotto. Sangoma l'ha corretta il 14 luglio 2026 con la versione 8.4.0.2. I tentativi di sfruttamento sono iniziati il 30 agosto 2026, secondo la telemetria degli honeypot, un vuoto di sei settimane tra la disponibilità della correzione e il suo effettivo utilizzo da parte degli attaccanti. Circa 4.000 istanze Switchvox restano oggi esposte su internet pubblico.

JFrog Artifactory racconta una storia più veloce. Una falla di bypass dell'autenticazione con CVSS 9.8, CVE-2026-82329, colpisce Artifactory self-hosted nella configurazione predefinita e permette a un attaccante non autenticato di generare token amministrativi. JFrog l'ha corretta il 28 agosto 2026 nelle versioni 7.111.21, 7.117.28, 7.125.20 e 7.133.29. Gli attaccanti hanno iniziato a sfruttarla entro pochi giorni. La rete di honeypot di Watchtowr ha osservato un'enumerazione automatizzata di utenti, credenziali e topologie di accesso federato quasi subito dopo il rilascio della patch. Si tratta di una vulnerabilità diversa e più recente rispetto al problema di configurazione errata di Artifactory trattato a luglio 2026 con il titolo "controlla un'impostazione prima di correggere Artifactory": quella era una falla separata, e le due non vanno confuse.

Oltre i titoli: patchato non è la stessa parola di protetto

Tre fornitori non correlati, tre categorie di prodotto non correlate: un gateway VPN, un centralino VoIP e un repository di artefatti software. Lo stesso schema emerge in tutti e tre. Si osservi il vuoto tra il momento in cui una correzione esiste e il momento in cui gli attaccanti sfruttano davvero la falla che quella correzione chiude. Per Artifactory, quel vuoto è stato di giorni. Per Switchvox, sei settimane, pur con la patch disponibile per tutto quel tempo. Per SonicWall non c'è stato alcun vuoto, perché non esisteva ancora una patch attorno a cui potesse formarsi un vuoto.

Riteniamo che la vera storia di esposizione per le aziende europee e britanniche non sia una singola CVE. È che l'esistenza di una patch e la protezione effettiva di un sistema sono due fatti distinti, e la differenza tra i due è esattamente l'azienda che non ha applicato l'aggiornamento nelle sei settimane in cui era disponibile. Il dispositivo edge di scala PMI esposto a internet - la scatola VPN, il centralino telefonico, il server di artefatti in un angolo della rete - è il punto d'ingresso affidabile proprio perché è ciò che nessuno ricontrolla dopo l'installazione iniziale.

Questo non è un'ipotesi. Circa 4.000 apparati Switchvox e un numero sconosciuto ma reale di istanze SonicWall e Artifactory sono esposti su internet pubblico proprio ora, mentre questo viene scritto. The Register solleva una domanda distinta e genuinamente aperta: se la velocità dello sfruttamento di Artifactory, enumerazione automatizzata entro pochi giorni dal rilascio della patch, rifletta strumenti d'attacco guidati da agenti IA piuttosto che operatori umani che lavorano gli honeypot a mano. Non abbiamo ancora una risposta a questo, e per ora nessun altro ce l'ha pubblicamente.

Cosa aggiunge l'avviso NCSC al quadro

Il 27 agosto 2026, il National Cyber Security Centre britannico ha pubblicato un avviso che segnala la crescente presa di mira di tecnologia operativa e dispositivi edge esposti a internet in tutti i settori. Il suo messaggio centrale è semplice: non si dia per scontato che un sistema sia inaccessibile da internet senza verificarlo. Quell'avviso è arrivato cinque giorni prima che tutti e tre questi incidenti diventassero pubblici, e si legge meno come una coincidenza e più come se l'NCSC stesse vedendo crescere la stessa categoria di esposizione prima che un singolo fornitore confermasse un attacco attivo.

Per un'azienda che utilizza uno qualsiasi di questi tre prodotti, o prodotti simili, la domanda pratica non è se le CVE specifiche di questa settimana si applichino. È se esista un processo permanente che verifichi, con una cadenza regolare, se ogni dispositivo edge esposto a internet stia effettivamente eseguendo il livello di patch che dovrebbe eseguire, e non solo se una patch sia stata applicata una volta.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.

Da leggere ora: Il Ransomware Gunra Sfrutta Falle Fortinet del 2025  |  I Mac più vecchi hanno richiesto sette tentativi