Questo CSIRT ha recentemente rilevato la diffusione di un dataset riconducibile a una campagna denominata “FortiBleed”, contenente informazioni associate a dispositivi Fortinet/FortiGate esposti su Internet e utilizzati per l’accesso remoto tramite SSL-VPN.
Questo CSIRT ha rilevato, nel contesto nazionale, molteplici compromissioni di sistemi Zimbra Collaboration Suite esposti su rete pubblica, ascrivibili in larga parte allo sfruttamento della vulnerabilità CVE-2026-73570 e, in misura minore, di ulteriori falle note su istanze non aggiornate o obsolete. I vettori analizzati evidenziano l'esecuzione remota di codice con i privilegi dell'utenza applicativa e il mantenimento dell'accesso mediante webshell e attività pianificate. Le conseguenze accertate indicano finalità operative eterogenee: la cifratura di file mediante ransomware, l'abuso delle risorse computazionali per attività di cryptomining, l'esfiltrazione della base dati LDAP e degli hash delle credenziali, la reimpostazione forzata delle credenziali di accesso alle caselle di posta e l'impiego dei server compromessi per condurre scansioni e attacchi di brute forcing verso infrastrutture terze. La quasi totalità dei sistemi impattati risultava priva delle patch di sicurezza applicabili o attestata su rami software obsoleti e non più supportati, con una ricorrenza specifica di installazioni dotate del pacchetto opzionale Zimbra-SNMP. Non sono emerse evidenze di intrusioni riuscite a carico di istanze regolarmente aggiornate.
Questo CSIRT ha recentemente registrato, nel contesto nazionale, un aumento significativo di sfruttamenti attivi dellaCVE-2026-48907– già sanata dal vendor e trattata nell’ambito dell’AL02/260615/CSIRT-ITA– ai danni di server web esposti. Tale vulnerabilità interessa il plugin Joomla Content Editor (JCE), estensione per il noto Content Management System (CMS) Joomla!. L’analisi degli incidenti osservati evidenzia come, nella quasi totalità dei casi, lo sfruttamento della CVE-2026-48907 risulti finalizzato alla distribuzione di webshell, successivamente utilizzate per attività di defacement dei siti web compromessi.
Rilevata una campagna su larga scala di compromissione della supply chain nell'ecosistema npm, denominata "Mini Shai-Hulud". L'attacco sfrutta un malware di tipowormper infiltrarsi negli ambienti di sviluppo e nelle pipeline di Continuous Integration/Continuous Deployment (CI/CD). L'obiettivo primario è l'esfiltrazione di credenziali sensibili e la successiva propagazione automatizzata attraverso la pubblicazione di versioni malevole di pacchetti legittimi. Tra i soggetti colpiti figurano framework ad ampia diffusione come TanStack e SDK ufficiali di Mistral AI.
Questo CSIRT ha recentemente rilevato una campagna di phishing, veicolata tramite mail, finalizzata a indurre le potenziali vittime ad inserire i propri dati aziendali in un portale che utilizza impropriamente il nome e i loghi del Registro Imprese e delle Camere di Commercio, al fine di carpirli alla vittima.
Questo CSIRT ha recentemente rilevato una campagna di smishing, veicolata tramite messaggi SMS, finalizzata a indurre le potenziali vittime a prenotare nuovamente una presunta consegna non andata a buon fine e a inserire i dati personali e della propria carta di pagamento.
Ricercatori di sicurezza hanno recentemente identificato una campagna di compromissione della supply chain software presente nell’ecosistema npm - denominata “ChainDrop” - che ha interessato oltre 400 pacchetti appartenenti a maintainer e organizzazioni differenti. La minaccia si caratterizza per la presenza di un malware auto-propagante in grado di compromettere workstation di sviluppo e ambienti CI/CD, esfiltrare credenziali e riutilizzarle per pubblicare ulteriori versioni malevole di pacchetti legittimi. Tra i pacchetti coinvolti figurano componenti ampiamente utilizzati nell’ecosistema JavaScript, comekeyv,flat-cache,file-entry-cacheecache-manager.
Ricercatori di sicurezza hanno recentemente documentato la diffusione di due nuovi toolkit Phishing-as-a-Service (PhaaS), denominatiTokenLover, precedentemente noto comeTokenVault // 2026, eYaksaLover, noto anche comeYakhub* o *Yaksha.
Questo CSIRT ha recentemente rilevato una campagna di phishing malevola veicolata tramite messaggi PEC, verosimilmente provenienti da caselle compromesse, contenenti allegati compressi in formato ZIP al cui interno è presente una pagina HTML malevola a tema “Fattura Elettronica”.
Il team di analisti del Google Threat Intelligence ha documentato una recente campagna di cyber-spionaggio condotta da un attore malevolo avanzato. La minaccia risulta indirizzata verso istituti di ricerca medica e strutture del settore sanitario, sia pubbliche che private. L'attività ostile sembrerebbe sfruttare l'esposizione sulla rete pubblica di server che eseguono l'applicazione web REDCap (Research Electronic Data Capture). Sebbene i casi analizzati riguardino prevalentemente il contesto nordamericano, evidenze indicano la presenza di molteplici istanze esposte sul territorio europeo e nazionale.
È stata recentemente rilevata una compromissione della catena di approvvigionamento (supply chain attack) che ha interessato il namespace pubblico npm @redhat-cloud-services diRed Hat, nota azienda produttrice di soluzioni software open source per il mercato enterprise.
Dall’inizio del 2026 ad oggi, questo CSIRT ha registrato, nel contesto nazionale, un numero significativo di attacchi ransomware attribuibili al gruppo Qilin, prevalentemente rivolti a PMI, tra cui figurano tuttavia anche importanti fornitori di servizi cloud.
CSIRT Toscana