Uno zero-day è una falla software che gli aggressori stanno già sfruttando prima che chi produce il software abbia rilasciato una correzione. Il nome deriva dalla posizione di chi si difende: quando inizia l'attacco, il produttore ha avuto zero giorni per proteggere i propri clienti. Agosto 2026 ha ricordato chiaramente come si svolgono questi attacchi, con una falla di Windows sfruttata da un gruppo sostenuto da uno Stato e un server di gestione della stampa dirottato da aggressori non autenticati nello stesso mese.
Questo articolo spiega cosa è successo, chi è stato colpito e le misure pratiche che riducono la Sua esposizione al prossimo zero-day, quello che nessuno può correggere in anticipo.
Cosa è successo ad agosto
Windows: CVE-2026-68820, sfruttata dal gruppo Lazarus
L'11 agosto l'aggiornamento di sicurezza mensile di Microsoft ha corretto circa 400 vulnerabilità. Una di queste, CVE-2026-68820, era già sfruttata. Si tratta di una falla di tipo use-after-free in afd.sys, il driver di Windows alla base dello stack di rete WinSock. Un aggressore che abbia già un punto d'appoggio su un computer, anche con un account con pochi privilegi, può usarla per ottenere il pieno controllo come SYSTEM.
I ricercatori di Check Point, che hanno segnalato la falla, ne hanno collegato l'uso a Lazarus, il gruppo sponsorizzato dallo Stato nordcoreano. Lazarus l'ha usata per installare una nuova versione di FudModule, il suo rootkit a livello di kernel, progettato per disattivare gli strumenti di sicurezza dal cuore del sistema operativo. L'agenzia statunitense per la cybersecurity e la sicurezza delle infrastrutture (CISA) ha aggiunto la falla al proprio catalogo delle vulnerabilità sfruttate note il giorno stesso, dando alle agenzie federali statunitensi tempo fino al 25 agosto per applicare la patch.
Lo stesso aggiornamento ha corretto altre due falle i cui dettagli erano stati pubblicati prima che esistesse una correzione: CVE-2026-62832 nel servizio Profili utente di Windows, che può consentire a un utente locale di ottenere diritti di amministratore, e CVE-2026-72971 in un driver di filtro dei container di Windows. Per nessuna delle due è stato confermato lo sfruttamento, ma i dettagli pubblici accorciano il tempo prima che gli aggressori inizino a usarle.
PaperCut: presa di controllo dei server di stampa senza autenticazione
Il 27 agosto PaperCut ha avvertito che degli aggressori stavano sfruttando una falla fino ad allora sconosciuta in PaperCut NG e MF, software di gestione della stampa molto diffuso in scuole, università, enti locali e aziende. La vulnerabilità, poi catalogata come CVE-2026-81578 e CVE-2026-82078, permetteva a un aggressore senza credenziali di modificare la configurazione del server e poi eseguirvi il proprio codice.
La società di sicurezza Huntress ha confermato lo sfruttamento negli ambienti di due clienti. In uno, l'intera intrusione è durata meno di due minuti: l'aggressore ha eseguito comandi di ricognizione per profilare il server, ha depositato un piccolo payload Java, ha raccolto ciò che ha trovato e poi ha cancellato i propri file e il log dell'applicazione per coprire le tracce. Huntress ha inoltre rilevato che circa il 47% delle circa 2.500 installazioni di PaperCut che monitora usava la versione 23 o precedenti, per cui inizialmente non era disponibile alcuna correzione.
PaperCut ha subito rilasciato versioni d'emergenza per le versioni 25 e 26, ed esteso le correzioni alla versione 24 il giorno successivo.
Perché gli zero-day riguardano tutte le organizzazioni
Si è tentati di pensare che gli zero-day riguardino solo governi e grandi aziende. Agosto ha dimostrato il contrario:
- I bersagli erano software di uso quotidiano. Windows e un server di stampa si trovano in quasi tutti gli uffici. Gli aggressori vanno dove c'è la base installata.
- Le interfacce di amministrazione esposte sono la porta d'ingresso. Gli attacchi a PaperCut hanno funzionato solo contro i server la cui interfaccia web era raggiungibile da internet. Molte organizzazioni non si rendono conto di quanti pannelli di amministrazione espongono.
- L'escalation dei privilegi trasforma una piccola violazione in una grande. La falla di Windows richiede un punto d'appoggio iniziale, che di solito arriva da un'email di phishing o da una password rubata. Una volta dentro, lo zero-day trasforma un account limitato in un controllo totale.
- Gli aggressori cancellano le proprie tracce. Se i log vengono cancellati, senza un monitoraggio indipendente la vittima potrebbe non sapere mai cosa è stato sottratto.
Come proteggersi prima del prossimo
Per definizione, non si può correggere uno zero-day prima che esista la correzione. Si può però ridurre il numero di vie d'accesso, rendere meno dannoso un attacco riuscito e accorciare il tempo tra la comparsa di una correzione e la sua installazione.
1. Applichi subito le correzioni appena disponibili
La maggior parte dei danni reali si verifica nei giorni e nelle settimane successivi al rilascio di una correzione, quando gli aggressori analizzano la patch a ritroso. Attivi gli aggiornamenti automatici per Windows, i browser e i telefoni. Per server e applicazioni aziendali, si dia un obiettivo: correzioni critiche per i sistemi esposti su internet entro 48 ore, tutto il resto entro 14 giorni. Si iscriva agli avvisi di sicurezza dei principali fornitori e all'elenco delle vulnerabilità sfruttate note della CISA.
2. Tolga le interfacce di amministrazione da internet
Server di stampa, strumenti di accesso remoto, firewall, router, videosorveglianza e pannelli di controllo dei siti web non dovrebbero essere raggiungibili da chiunque su internet. Li metta dietro una VPN o li limiti a indirizzi IP noti. Questa sola misura avrebbe bloccato completamente gli attacchi a PaperCut.
3. Sappia cosa ha installato
Tenga un elenco aggiornato dei Suoi sistemi e delle versioni software, compresi quelli a cui nessuno pensa, come la gestione della stampa, gli impianti dell'edificio e i vecchi server. Non si può correggere ciò che non si sa di avere.
4. Rimuova i diritti di amministratore locale
Gli account d'uso quotidiano non dovrebbero essere amministratori. Insieme all'autenticazione a più fattori su posta e accesso remoto, questo rende molto più difficile ottenere il punto d'appoggio iniziale da cui dipendono gli zero-day di escalation dei privilegi.
5. Rilevi, non si limiti a prevenire
Usi soluzioni di rilevamento e risposta sugli endpoint (EDR) su portatili e server, e invii i log a un sistema separato che l'aggressore non possa cancellare facilmente. Presti attenzione ai segnali d'allarme visti ad agosto: software del server che apre interpreti di comandi, file inattesi nelle cartelle delle applicazioni e log che spariscono all'improvviso.
6. Si prepari al giorno peggiore
Mantenga backup offline o immutabili e verifichi di poterli ripristinare. Metta per iscritto chi chiamerà e come isolerà i sistemi, prima che serva. Un piano di risposta breve e provato vale più di uno lungo mai testato.
Se pensa di essere stato colpito
Se usa PaperCut NG o MF e la sua interfaccia web era raggiungibile da internet ad agosto, non si limiti ad aggiornare e passare oltre. Conservi prima i log e la configurazione del server, poi cerchi file .class inattesi nella cartella lib del server e file di log mancanti o troncati. Aggiornare o riavviare può distruggere prove che Le serviranno per capire cosa è successo.
Per Windows, verifichi che gli aggiornamenti di agosto siano installati su tutti i computer, non solo sulla maggior parte. Basta un server non aggiornato.
Il nostro team di risposta agli incidenti può aiutarLa a cercare segni di compromissione, conservare correttamente le prove e colmare le lacune. Ci contatti o chiami il +44 7520 644325 a qualsiasi ora.
Fonti
- BleepingComputer: il Patch Tuesday di agosto 2026 di Microsoft corregge 400 falle, di cui 3 zero-day
- Help Net Security: Microsoft corregge oltre 400 vulnerabilità, una delle quali zero-day sotto attacco
- Huntress: zero-day in PaperCut, sfruttamento attivo ed esecuzione di codice remoto senza autenticazione