☕ CYBERBRIEFING — Lunedì 28 settembre 2026
Il tuo riassunto quotidiano di cybersecurity da leggere con il caffè.
🔴 IN PRIMO PIANO
SharePoint sotto attacco attivo: CISA impone la patch entro oggi
Microsoft ha confermato lo sfruttamento attivo della vulnerabilità CVE-2026-65660, un bug di esecuzione di codice remoto in SharePoint Server 2016, 2019 ed Edition in abbonamento (CVSS 8.8). Un utente autenticato con privilegi bassi può eseguire codice arbitrario senza bisogno di alcuna interazione da parte della vittima; combinata con un secondo bypass dell'autenticazione, la falla permette anche attacchi non autenticati. I ricercatori hanno osservato i primi tentativi di sfruttamento già dal 24 settembre, con l'installazione di webshell come backdoor dal giorno successivo. CISA l'ha inserita nel catalogo delle vulnerabilità note sfruttate (KEV) fissando come scadenza per le agenzie federali americane proprio la giornata di oggi, 28 settembre. Chi gestisce installazioni SharePoint on-premise dovrebbe verificare di aver applicato la patch di agosto 2026 e controllare la presenza di file sospetti sui propri server.
🔗 UNDERCODE NEWS · SecurityWeek
📰 LE NOTIZIE DI OGGI
1. Ransomware ferma prenotazioni e pagamenti del gruppo giapponese Keio
Il colosso ferroviario e turistico giapponese Keio Group ha subito un attacco ransomware rilevato il 26 settembre, che ha bloccato le prenotazioni degli hotel del gruppo e i pagamenti con carta di credito. I treni continuano a circolare normalmente, perché i sistemi di sicurezza e controllo ferroviario girano su reti isolate da quella colpita. L'azienda ha coinvolto la polizia e specialisti esterni per capire se siano stati sottratti dati dei clienti: si parla di circa 60.000 indirizzi email potenzialmente esposti, ma la conferma richiederà tempo.
🔗 UNDERCODE NEWS · RusTourismNews
2. Patch Tuesday record: quasi mille falle Microsoft, due già sfruttate
Il Patch Tuesday di settembre di Microsoft ha corretto 972-974 vulnerabilità, il numero più alto di sempre, di cui oltre cento classificate come critiche. Tra queste, due zero-day già usate in attacchi reali (CVE-2026-85880 e CVE-2026-81963, entrambe legate a Windows) permettono di scalare i privilegi fino a SYSTEM. Ci sono inoltre venti bug "wormable", cioè sfruttabili da remoto senza interazione dell'utente e potenzialmente capaci di propagarsi automaticamente come accadde con WannaCry. Per le PMI italiane rientranti nel perimetro NIS2, aggiornare rapidamente non è solo prudenza ma anche un obbligo normativo da documentare.
3. Torna il phishing dei "falsi rimborsi": 46 campagne in una settimana
Il CERT-AGID segnala una nuova ondata di phishing a tema fiscale in Italia: solo tra il 12 e il 18 settembre sono state individuate 46 campagne che promettono falsi rimborsi da Agenzia delle Entrate, INPS o PagoPA. L'esempio più recente, rilevato il 16 settembre, riproduce fedelmente la grafica dell'Agenzia delle Entrate per un finto "Bonus Vacanze". Il meccanismo è sempre lo stesso: un messaggio urgente promette del denaro da riscuotere e porta a un sito clone che chiede dati personali o di pagamento.
🔗 Agenzia delle Entrate · Punto Magazine
4. Azienda texana di noleggio attrezzature nel mirino del gruppo Emperador
Il gruppo ransomware Emperador rivendica un attacco a SitePro Rentals, società statunitense di noleggio di attrezzature per l'edilizia, chiedendo un riscatto di 150.000 dollari. I criminali sostengono di aver sottratto dati dei dipendenti, incluse informazioni previdenziali e buste paga. Come sempre in questi casi, le rivendicazioni pubblicate dai gruppi ransomware vanno considerate indicative fino a una verifica indipendente da parte dell'azienda colpita.
5. Il gruppo INC Ransom aggiunge due nuove vittime alla sua lista
Il ransomware INC Ransom (noto anche come Incransom) ha inserito nel proprio sito di estorsione due nuovi nomi: AHEAD, fornitore statunitense di servizi tecnologici, e il North Slope Borough School District, distretto scolastico dell'Alaska. Per la scuola il rischio riguarda dati amministrativi e informazioni sugli studenti, mentre per AHEAD sono potenzialmente esposte credenziali e dati di clienti business. Anche qui vale la stessa cautela: la comparsa nella lista delle vittime è un segnale di intelligence, non una prova definitiva di violazione dei dati.
🛡️ CONSIGLIO DEL GIORNO
Prima di cliccare su un link che promette un "rimborso" o una "multa da pagare", fermati un attimo: chiudi il messaggio e accedi direttamente al sito ufficiale dell'ente (Agenzia delle Entrate, INPS, PagoPA) digitando l'indirizzo a mano o usando la app istituzionale. Le comunicazioni urgenti che promettono soldi facili sono quasi sempre una truffa.
Cyberbriefing Mattutino è una newsletter indipendente di cybersecurity in italiano.