Recap settimanale di cybersecurity: Chrome 0-day, UniFi, macOS e supply chain

Se usi Chrome, VPN, servizi cloud o software installati da repository e store ufficiali, questa settimana merita attenzione. Aggiorna subito i sistemi esposti, controlla i software non più mantenuti e verifica che gli utenti non abbiano installato versioni fasulle di programmi popolari.

Le segnalazioni più importanti riguardano un Chrome 0-day sfruttato attivamente, una falla critica nei prodotti Check Point VPN, un zero-day in Oracle PeopleSoft, compromissioni nella Arch User Repository, campagne di phishing legate all’AI e diverse operazioni malware distribuite via pacchetti npm e PyPI.

La minaccia più importante della settimana

Google ha rilasciato un aggiornamento di sicurezza per 74 vulnerabilità di Chrome, inclusa una falla ad alta gravità già sfruttata in ambiente reale. Il problema, identificato come CVE-2026-11645, riguarda un accesso fuori dai limiti di memoria nel motore V8 e ha un punteggio CVSS 8.8. Il fatto che l’exploit sia già circolato rende la correzione una priorità immediata per utenti e amministratori.

Google ha inoltre corretto complessivamente cinque zero-day di Chrome sfruttati dall’inizio dell’anno, segno che il browser continua a essere un obiettivo primario per gli attaccanti.

Le notizie principali

• Il gruppo ShinyHunters ha sfruttato una vulnerabilità critica in Oracle PeopleSoft per entrare in reti aziendali, con attività osservate tra fine maggio e inizio giugno. Dopo il compromesso, gli operatori hanno eseguito ricognizione interna, movimento laterale ed esfiltrazione di dati.
• Centinaia di pacchetti quasi abbandonati nell’Arch User Repository sono stati modificati per scaricare un componente malevolo chiamato atomic-lockfile, collegato a furto di credenziali, stealth e possibile esfiltrazione.
• L’FBI ha smantellato domini collegati a Outsider, un kit di phishing-as-a-service che ha favorito furto di carte e perdite economiche su larga scala.
• Check Point ha confermato lo sfruttamento attivo di una falla critica nei prodotti Remote Access VPN e Mobile Access quando configurati con IKEv1 deprecato.
• Il ransomware The Gentlemen continua a crescere e ha rivendicato centinaia di vittime, mostrando una struttura evoluta da affiliate a operatore RaaS.

Perché questi incidenti contano

Il filo conduttore della settimana è semplice: molte campagne non partono da tecniche esotiche, ma da software obsoleto, configurazioni deboli, pacchetti dimenticati e fiducia mal riposta in strumenti legittimi. Gli attori malevoli stanno sfruttando sempre più spesso la stessa superficie d’attacco che le aziende trascurano per mesi: browser non aggiornati, VPN legacy, repository pubblici, installatori contraffatti e servizi cloud configurati male.

Per i team IT e security, la priorità non è solo applicare patch, ma anche verificare dove l’organizzazione dipende ancora da componenti deprecati o da processi manuali che rallentano la risposta.

Campagne da tenere d’occhio

AI usata come esca

Microsoft ha segnalato più campagne che usano marchi e temi legati all’intelligenza artificiale per attirare le vittime. Le tecniche includono phishing, malvertising e attacchi basati su SEO, con esiti che vanno dal furto di credenziali al malware.

Tra gli esempi citati ci sono finte pagine a tema ChatGPT e Claude, installatori falsi di presunti plugin AI e pacchetti che distribuiscono stealer come Vidar. Il punto chiave non è il nome usato, ma la leva psicologica: il marchio AI funziona bene come esca perché le persone si fidano di ciò che percepiscono come moderno, utile e diffuso.

macOS sotto pressione

Gli utenti macOS sono stati bersaglio di installatori fasulli distribuiti tramite SEO poisoning, link compromessi e forum di software pirata. Questi file puntano a eludere le protezioni di Apple Gatekeeper e a installare informazioni rubate dal sistema.

Il dato più preoccupante è che gran parte del malware macOS emerso di recente rientra nella categoria degli infostealer, quindi mira soprattutto a credenziali, sessioni e dati sensibili invece che a distruzione o cifratura.

Store mobili e app legittime compromesse

Una nuova famiglia di trojan Android, MagicAd, è riuscita a mostrare pubblicità in background aggirando le restrizioni del sistema. La campagna è stata distribuita tramite app presenti in cataloghi ufficiali come GetApps e in alcuni casi anche tramite Samsung Galaxy Store.

Questo tipo di abuso è rilevante perché mostra come la fiducia negli store non basti da sola: anche i canali ufficiali possono ospitare software malevolo o app contaminate da integrazioni dannose.

Supply chain e repository: il fronte più fragile

La settimana ha confermato che la supply chain software resta uno dei punti più delicati dell’intero panorama difensivo.

• Nell’ecosistema Arch Linux, centinaia di pacchetti abbandonati sono stati compromessi con script preinstallazione malevoli.
• Nel mondo npm e PyPI, sono stati individuati pacchetti che rubano wallet, chiavi SSH, token cloud e segreti di ambiente.
• In un caso separato, versioni infette del pacchetto dbmux sono state considerate un compromesso completo della macchina, con raccomandazione di ruotare tutte le chiavi da un sistema pulito.

Per i team di sviluppo, questo significa che la sicurezza della pipeline non può limitarsi ai controlli del codice sorgente interno. È necessario verificare la provenienza delle dipendenze, monitorare gli aggiornamenti e mettere in quarantena i pacchetti con segnali anomali.

Attacchi mirati contro infrastrutture e servizi critici

Diversi report hanno evidenziato tecniche pensate per colpire ambienti enterprise e sistemi ad alta disponibilità.

• Un problema critico nei prodotti Check Point VPN ha consentito a un attaccante remoto non autenticato di aggirare l’autenticazione in configurazioni basate su IKEv1.
• Una catena di vulnerabilità in UniFi OS Server è stata collegata a esecuzione di codice come root e all’installazione di malware commodity.
• Un bug grave in Oracle PeopleSoft è stato usato contro organizzazioni, in particolare nel settore dell’istruzione superiore.
• Alcuni gruppi stanno studiando anche i servizi di cloud logging per alterare, disabilitare o deviare i log e ottenere visibilità continua sugli ambienti bersaglio.

Questi casi mostrano una tendenza chiara: gli attaccanti non cercano sempre il punto più rumoroso, ma il punto più utile. Se riescono a manipolare il logging o a compromettere un componente di accesso remoto, il resto della rete diventa molto più semplice da esplorare.

Phishing e ransomware restano centrali

Il phishing continua a evolversi in forme più convincenti e più facili da acquistare. Il kit Outsider è un buon esempio di industrializzazione del crimine: template pronti, prezzi accessibili e capacità di rubare credenziali e codici MFA in tempo reale.

Sul fronte ransomware, il gruppo The Gentlemen conferma il passaggio da operazioni opportunistiche a strutture organizzate, con rivendicazioni multiple e un ecosistema che combina affiliate, accessi iniziali e strumenti di post-exploitation.

Un altro caso interessante è l’uso di servizi di upload file come Easyupload.io per esfiltrare dati prima della cifratura. In questi scenari, gli aggressori sfruttano piattaforme legittime per confondersi nel traffico normale e rendere più difficile l’individuazione.

Cosa fare subito

• Aggiorna Chrome e tutti i browser basati su Chromium.
• Verifica la presenza di patch per Check Point, Oracle PeopleSoft e UniFi.
• Elimina o sostituisci software non mantenuti e pacchetti abbandonati.
• Controlla repository e dipendenze per eventuali pacchetti malevoli.
• Rivedi i controlli su MFA, log cloud e VPN legacy.
• Avvisa gli utenti sui falsi installatori e sulle esche a tema AI.

Strumenti di sicurezza utili

Due strumenti menzionati questa settimana possono essere utili per il lavoro quotidiano dei difensori:

• SpooNMAP: uno strumento in Python che semplifica scansioni di porte e servizi combinando Nmap e Masscan.
• CVE MCP Server: un connettore che aiuta gli analisti a interrogare fonti di intelligence sulla vulnerabilità, cercare PoC, controllare lo stato EPSS e CISA KEV, e produrre report di rischio.

Technical Deep Dive

Chrome 0-day e memoria fuori dai limiti

La vulnerabilità CVE-2026-11645 interessa il motore V8, cioè il componente di Chrome che esegue JavaScript e WebAssembly. Un errore di out-of-bounds memory access in questo contesto può portare a letture o scritture oltre i confini previsti, aprendo la strada a crash, corruzione della memoria e potenziale esecuzione di codice.

Dal punto di vista operativo, il valore difensivo è chiaro: i browser moderni sono ambienti ad alta complessità e rappresentano spesso il primo punto di contatto con contenuti malevoli. In contesti enterprise, la gestione centralizzata degli aggiornamenti del browser resta una delle difese più efficaci contro lo sfruttamento iniziale.

Check Point VPN e IKEv1

La falla CVE-2026-50751 colpisce installazioni configurate con IKEv1, un protocollo ormai superato. Il problema riguarda una weakness nella validazione dei certificati e consente a un attaccante remoto non autenticato di aggirare il flusso di autenticazione.

Il dettaglio architetturale è importante: l’uso di protocolli deprecati spesso espande la superficie d’attacco oltre il necessario. Quando un’organizzazione conserva compatibilità storiche per non interrompere flussi vecchi, finisce spesso per mantenere anche percorsi di bypass che i team difensivi non monitorano abbastanza.

PeopleSoft e compromissione degli endpoint PSEMHUB

Nel caso Oracle PeopleSoft, l’attività osservata ha preso di mira gli endpoint PSEMHUB. Dopo l’accesso iniziale, gli operatori hanno usato strumenti come MeshCentral per ricognizione e movimento laterale. Questa sequenza è coerente con un attacco orientato all’esfiltrazione più che alla distruzione: entrare, espandersi, identificare asset sensibili e uscire con i dati.

Supply chain su Arch e npm

La campagna contro i pacchetti dell’AUR dimostra quanto sia rischioso il riuso di software abbandonato. Un pacchetto apparentemente legittimo ma poco mantenuto può essere il candidato perfetto per l’inserimento di script preinstallazione malevoli, perché gli utenti tendono a fidarsi del nome del pacchetto più che della sua manutenzione reale.

Nel mondo npm e PyPI, il problema è simile ma più ampio: gli attaccanti sfruttano nomi plausibili, dipendenze trasversali e aggiornamenti frequenti per raggiungere sviluppatori e ambienti CI/CD. Quando un pacchetto compromesso ha accesso a chiavi, token o variabili d’ambiente, il danno si estende rapidamente a cloud, repository e infrastrutture di build.

Cloud logging come bersaglio

L’idea che il logging sia solo un controllo difensivo non è più sufficiente. Se un attaccante riesce a manipolare il servizio di logging, può creare una zona cieca, falsare i segnali di allarme o addirittura mantenere visibilità continua sull’ambiente della vittima. Questo rende essenziale separare i privilegi di amministrazione dei log dai privilegi operativi normali e proteggere i canali di esportazione verso sistemi esterni.

Malware distribuito via browser, store e falsi installer

Le campagne contro macOS, Android e i browser seguono lo stesso schema: intercettare la ricerca dell’utente, offrire un download credibile e far eseguire un payload progettato per rubare informazioni o mantenere persistenza. Il fattore decisivo non è solo il malware, ma l’ingegneria sociale che precede l’installazione.

La difesa più efficace è combinare verifica delle fonti, controlli sugli installatori, blocco dei domini sospetti e policy che impediscano agli utenti di installare software da siti non verificati o da archivi non autorizzati.

Fonte: https://thehackernews.com/2026/06/weekly-recap-chrome-0-day-unifi.html