Cybersecurity a ottobre 2026: cosa è successo e cosa controllare subito

A ottobre sono state sfruttate falle in firewall, accessi remoti VPN e in un software di backup. Un avviso di CISA, FBI e altre autorità ha descritto come agisce il gruppo ransomware SafePay. E in Italia l’ACN ha contato più eventi cyber a settembre che ad agosto.

Nelle fonti ricorrono gli stessi punti: dispositivi esposti a internet, credenziali e posta elettronica. In questo articolo trovi i fatti verificati sulle fonti ufficiali. Alla fine, sei controlli che consigliamo noi.

Cosa è successo a ottobre?

Tre cose, documentate da fonti ufficiali. Primo: firewall e accessi remoti di produttori molto diffusi hanno avuto falle già sfruttate. Secondo: autorità americane, britanniche e tedesche hanno pubblicato un avviso su un gruppo ransomware attivo. Terzo: l’ACN ha diffuso i dati italiani di settembre.

Sono fonti diverse. Il collegamento tra loro è una nostra lettura, e la spieghiamo più sotto.

Quali prodotti hanno avuto falle sfruttate?

Soprattutto firewall e apparati di accesso remoto (Citrix, Ivanti, Palo Alto, Cisco), poi un software di backup (Ahsay) e Windows. I casi arrivano dal catalogo KEV di CISA, l’agenzia americana per la sicurezza informatica. KEV sta per «Known Exploited Vulnerabilities»: è l’elenco delle vulnerabilità per cui CISA ha evidenza di sfruttamento reale. Il codice CVE identifica ogni vulnerabilità.

Fonte: catalogo KEV di CISA, consultato il 2 novembre 2026. Selezione nostra: dispositivi di rete, software di backup e Windows. Citiamo i prodotti perché compaiono nelle fonti ufficiali, non per un giudizio sui produttori. Il termine vale per le agenzie federali americane.

Il catalogo indica che le due falle Ivanti del 30 ottobre si possono concatenare con quella del 13 ottobre, cioè usare una dopo l’altra. La falla del 13 ottobre (CVE-2026-104935) non richiede credenziali. Le due del 30 ottobre richiedono un utente autenticato. Lo stesso vale per le due falle di AhsayCBS: una aggira l’autenticazione, l’altra permette di eseguire comandi. AhsayCBS è un software di backup: chi lo controlla può arrivare alle copie che gestisce, se non sono immutabili o fuori rete.

Per otto delle nove vulnerabilità in tabella CISA ha dato alle agenzie federali americane tre giorni per aggiornare. Per una delle falle Ivanti del 30 ottobre il termine è il 13 novembre. Non è un obbligo per te. Mostra che CISA le ha trattate come urgenti, perché già sfruttate.

Come è entrato il gruppo SafePay, secondo CISA e FBI?

Secondo l’avviso, in modi diversi: credenziali esposte, tentativi a forza bruta, accessi VPN e vulnerabilità note. Il 20 ottobre autorità americane, britanniche e la polizia criminale tedesca della Renania-Palatinato hanno pubblicato l’avviso AA26-293A sul ransomware SafePay. Il gruppo ha colpito almeno 600 organizzazioni in più settori di infrastrutture critiche.

L’avviso descrive questi ingressi:

• credenziali esposte, cioè già finite in mano ad altri;
• tentativi a forza bruta: provare automaticamente moltissime password finché una funziona;
• accessi VPN, la connessione remota alla rete aziendale. Usano profili account ottenuti con il phishing e indirizzi di un servizio VPN commerciale;
• vulnerabilità note di dispositivi di rete e di software come Veeam (CVE-2023-27532, CVE-2024-40711) e SonicWall (CVE-2024-40766). Sono falle del 2023 e del 2024: il catalogo KEV le segna come usate in campagne ransomware.

Una volta dentro, secondo l’avviso, il gruppo crea nuovi account o prende il controllo di quelli esistenti. Di solito disattiva il software di sicurezza. In alcuni casi cambia le password degli utenti di sistema, al punto da rendere impossibili gli accessi validi. Installa anche programmi di assistenza remota legittimi, come AnyDesk o TeamViewer, per portare dentro altri software.

Poi copia i dati e cifra i file. Se la vittima non paga, pubblica i dati copiati. È la «doppia estorsione».

Perché gli attaccanti colpiscono i backup?

Per impedire il ripristino: nell’avviso il gruppo agisce sui backup per ostacolare i tentativi di recupero. Senza copie funzionanti la vittima ha meno alternative al pagamento del riscatto. Questa conseguenza è una nostra lettura.

Nell’avviso SafePay ferma il servizio delle copie ombra di Windows, cioè le versioni precedenti dei file che il sistema conserva per recuperarli. Poi riporta ai valori di fabbrica i NAS, i dischi di rete dell’ufficio, che contengono i backup.

Per questo un NAS raggiungibile dalla rete con le stesse credenziali non basta come unica copia. CISA raccomanda backup cifrati e immutabili, cioè non modificabili né cancellabili durante il periodo di conservazione impostato, che coprano tutta l’infrastruttura. Raccomanda anche più copie, tenute in un luogo fisicamente separato.

È la regola del backup 3-2-1-1-0: tre copie su due supporti, una fuori sede, una immutabile e ripristini senza errori. Il ripristino provato conta quanto la copia: lo spieghiamo nella guida al disaster recovery.

E in Italia cosa dicono i dati?

Gli eventi sono aumentati rispetto ad agosto e l’ACN indica i vettori di ingresso più comuni. Il 23 ottobre l’ACN ha pubblicato l’Operational Summary di settembre 2026:

• 485 eventi cyber, il 57% in più dei 309 di agosto;
• 235 incidenti, contro i 196 del mese prima;
• l’aumento è dovuto soprattutto ad attacchi DDoS di gruppi hacktivisti (attivisti informatici) e a defacement, cioè alterazioni di siti web. Questi ultimi sfruttano vulnerabilità dei CMS, i programmi per gestire i siti. L’ACN precisa che non c’è stato un impatto significativo sui servizi;
• le minacce più rilevate sono DDoS, compromissione di account email e phishing;
• il ransomware rimane la minaccia con l’impatto operativo maggiore, in particolare dopo gli attacchi a due strutture sanitarie;
• i settori più colpiti sono tecnologia, sanità e manifattura.

I principali vettori di ingresso di settembre sono tre. Il primo è lo sfruttamento di vulnerabilità. Il secondo è la posta elettronica, con phishing e spear-phishing, cioè phishing mirato su una persona precisa. Il terzo sono le credenziali già compromesse.

Il monitoraggio dell’ACN ha individuato 8.213 sistemi e servizi a rischio, 908 in meno di agosto. Ha individuato anche 253 account istituzionali compromessi, e i loro titolari sono stati avvisati. Il CSIRT Italia ha inviato 10.839 alert a pubbliche amministrazioni e imprese, 2.457 in più del mese precedente.

Sono dati di settembre e riguardano l’intero Paese. Alcuni ingressi tornano anche nell’avviso americano: credenziali compromesse, phishing, vulnerabilità non corrette.

Cosa ne ricaviamo per una PMI?

Una lettura nostra, non delle fonti: gli ingressi ricorrenti sono dispositivi esposti, credenziali e posta elettronica, e almeno un gruppo ransomware colpisce anche i backup. Le fonti non distinguono per dimensione dell’azienda, ma questi ingressi esistono anche in uno studio di dieci persone. Tre leve:

• Dispositivi esposti: firewall, VPN e apparati di accesso remoto sono tra i prodotti colpiti dalle falle di ottobre. Stanno su internet e sono il passaggio verso la rete interna.
• Credenziali: password riusate, rubate o indovinate aprono la porta anche senza falle. Vedi la guida a password e autenticazione a due fattori.
• Backup: se l’attaccante li raggiunge, evitare il riscatto diventa molto più difficile.

Come ti aiuta Aeon Lab con la sicurezza

Con il servizio di cybersecurity e il monitoraggio NOC e SOC, come MSP e MSSP di Roma seguiamo aggiornamenti e accessi dei clienti:

• Inventario dei dispositivi esposti e verifica delle versioni rispetto agli avvisi dei produttori.
• Aggiornamenti dei dispositivi di rete pianificati e controllati, con segnalazione di quelli senza più supporto.
• MFA e controllo degli accessi amministrativi e remoti.
• Backup immutabili e prove di ripristino, con il servizio di backup e disaster recovery.
• Controllo dei registri degli accessi (i log) per accorgersi di accessi e modifiche anomale.

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Verifica i tuoi accessi esposti, consulenza gratuita →

Domande frequenti

Come faccio a sapere se il mio firewall o la mia VPN ha una di queste falle?

Controlla modello e versione del software sul dispositivo, oppure chiedilo al tecnico che lo gestisce. Poi confrontali con l’avviso del produttore e con il catalogo KEV. Se il prodotto non è più supportato, non riceverà la correzione: va sostituito.

Basta aggiornare il dispositivo per essere al sicuro?

L’aggiornamento chiude la falla, ma non cancella un accesso già ottenuto. Dopo l’aggiornamento controlla gli account amministratori, le sessioni aperte e i registri degli accessi. Nell’avviso su SafePay il gruppo crea nuovi account e cambia le password.

La pagina di amministrazione del firewall deve essere raggiungibile da internet?

Di regola no. Rendila accessibile solo da indirizzi interni fidati, o tramite una VPN con MFA. È un consiglio nostro: una pagina di amministrazione esposta offre un punto in più da attaccare.

Il backup sul NAS in ufficio è sufficiente?

Non da solo. Nell’avviso SafePay riporta ai valori di fabbrica i NAS che contengono i backup. Se il tuo è raggiungibile dalla rete con le credenziali rubate, può subire lo stesso. Serve almeno una copia fuori dalla rete, immutabile, e un ripristino provato.

Questi attacchi riguardano anche le piccole aziende?

Le fonti non distinguono per dimensione. Ma gli ingressi che citano sono presenti anche in una piccola azienda: credenziali compromesse, posta elettronica con phishing, dispositivi con falle non corrette. Il rischio dipende da come sono configurati e aggiornati.

In breve

A ottobre le fonti ufficiali indicano ingressi ricorrenti: dispositivi esposti con falle, credenziali compromesse e posta elettronica. Il gruppo SafePay colpisce anche i backup. Servono dispositivi aggiornati appena il produttore rilascia la correzione, MFA su ogni accesso remoto e una copia dei dati fuori dalla rete. Parti dall’elenco di ciò che è esposto a internet. Altri termini tecnici sono nel glossario IT. Per i controlli di base c’è la checklist dei 12 controlli; per gli aggiornamenti del sito, la guida alle falle PHP2Shell.

Pubblicato il 2 novembre 2026. Ultimo aggiornamento: 2 novembre 2026.

Fonti

• CISA, Known Exploited Vulnerabilities Catalog, voci aggiunte dal 4 al 30 ottobre 2026 (consultato il 2 novembre 2026).
• FBI, CISA e altre autorità, #StopRansomware: SafePay Ransomware (AA26-293A), 20 ottobre 2026.
• Agenzia per la Cybersicurezza Nazionale, Operational Summary di settembre 2026, 23 ottobre 2026.