☕ CYBERBRIEFING — Mercoledì 16 settembre 2026
Il tuo riassunto quotidiano di cybersecurity da leggere con il caffè.
🔴 IN PRIMO PIANO
Patch Tuesday di settembre: record di falle corrette, due zero-day già sotto attacco
Microsoft ha rilasciato l'aggiornamento mensile più corposo di sempre, correggendo 973 vulnerabilità (113 classificate critiche), un nuovo record che supera le 664 di luglio. Tra queste spiccano due falle di elevazione dei privilegi già sfruttate attivamente in attacchi reali: CVE-2026-81963, che colpisce il Windows Update Stack su Windows 11 e Windows Server 2025, e CVE-2026-85880, che riguarda il meccanismo ALPC di Windows, usato per passare da un ambiente sandboxato (AppContainer) ai privilegi di SYSTEM. Chi gestisce sistemi Windows dovrebbe installare gli aggiornamenti quanto prima, dando priorità alle macchine esposte in rete.
📰 LE NOTIZIE DI OGGI
1. Tre falle critiche RCE nei server Windows: Skype for Business, MSMQ e RRAS
Nello stesso pacchetto di patch di settembre, Microsoft ha corretto tre vulnerabilità da esecuzione di codice remoto con punteggio CVSS 9.8, la gravità massima: CVE-2026-66302 in Skype for Business Server, CVE-2026-69579 in Microsoft Message Queuing (MSMQ) e CVE-2026-69590 nel servizio RRAS di Windows Server 2016/2019/2022/2025. In tutti e tre i casi un attaccante non autenticato può inviare pacchetti di rete appositamente creati per eseguire codice arbitrario: chi ha questi servizi esposti dovrebbe aggiornare o isolarli subito.
2. Falla critica in Acronis Backup per cPanel/Plesk: già sfruttata sui server di hosting
Acronis ha reso nota CVE-2026-87886, una vulnerabilità di elevazione dei privilegi locale su Linux (CVSS 7.8) che colpisce i plugin di backup per cPanel & WHM e Plesk, causata da permessi dei file troppo permissivi. Acronis conferma che lo sfruttamento è già stato rilevato "in attacchi mirati e limitati": chi amministra server di hosting multi-tenant dovrebbe aggiornare ai plugin corretti (cPanel 1.9.3.1021+, Plesk 1.8.11.638+) senza attendere.
3. Chrome corregge oltre 200 falle: una zero-day già sfruttata nel mondo reale
Google ha pubblicato un aggiornamento di sicurezza per Chrome che risolve un numero molto elevato di vulnerabilità, tra cui 5 classificate critiche. Tra queste, CVE-2026-87491 risulta già sfruttata attivamente: basta una pagina HTML appositamente creata per eseguire codice all'interno della sandbox del browser. Chi usa Chrome dovrebbe verificare di essere sulla versione 153.0.8010.36 o successiva (controllo da chrome://settings/help).
4. Nuova truffa bancaria: "conto svuotato in pochi istanti" con SMS e telefonata
Sta circolando in Italia uno schema di phishing in due fasi: un SMS che finge di provenire dalla banca crea un falso allarme, seguito da una telefonata di un presunto operatore che convince la vittima a fornire le credenziali di accesso. A Frigento (Avellino) un uomo ha perso 7.000 euro, l'intero saldo del conto, in pochi minuti; le indagini hanno portato all'arresto di un 26enne napoletano per frode informatica e furto aggravato. Ricorda: nessuna banca chiede credenziali per SMS o telefono.
5. Il gruppo ransomware Cinder rivendica tre nuove vittime in poche ore
Il gruppo ransomware Cinder ha aggiunto nella notte tra il 15 e il 16 settembre tre nuovi nomi al proprio sito di leak: l'azienda di packaging ProAmpac, l'organizzazione Marvin e la società Acima. Gli analisti di ThreatMon ricordano che le rivendicazioni sui portali di estorsione vanno trattate come indicatori di intelligence da verificare, non come conferme automatiche di violazione: il gruppo è noto per tecniche di phishing, raccolta di credenziali email ed esfiltrazione di dati da ambienti cloud.
6. Data breach in Italia: il costo medio sale a 3,55 milioni di euro
Secondo il Cost of a Data Breach Report 2026 di IBM, il costo medio di una violazione dati in Italia è salito a 3,55 milioni di euro, contro i 3,31 milioni dell'anno precedente. I settori più colpiti dal punto di vista economico sono energia (4,65 milioni), finanza (4,5 milioni) e tecnologia (4,43 milioni); supply chain e social engineering restano tra le cause principali degli incidenti. Una nota positiva: le aziende che usano intensivamente IA e automazione riducono i tempi medi di rilevamento da 145 a 123 giorni.
🛡️ CONSIGLIO DEL GIORNO
Vista la truffa "SMS + telefonata" in circolazione oggi: se ricevi un messaggio o una chiamata che sembra della tua banca e ti chiede codici, password o di confermare un pagamento, riaggancia e richiama tu stesso il numero ufficiale riportato sull'app o sul retro della carta. Nessun operatore bancario legittimo chiederà mai queste informazioni per telefono o via SMS.
Cyberbriefing Mattutino è una newsletter indipendente di cybersecurity in italiano.