Recap settimanale: Atlassian CVE-2026-21589 sfruttata, arresto ShinyHunters, ccTLD dirottati

• Atlassian Data Center: CVE-2026-21589 (CVSS 9.3) sfruttata due ore dopo i dettagli tecnici
• FBI: terzo arresto legato a ShinyHunters dopo il caso FBIjobs.gov
• Google: certificati HTTPS non autorizzati dopo il dirottamento dei ccTLD .gh, .as e .sl
• Ransomware: 2.627 attacchi nel Q3 2026, +29% sul trimestre precedente

La settimana si è aperta con un dato che pesa sulla gestione delle patch: gli attaccanti hanno iniziato a sfruttare la vulnerabilità CVE-2026-21589 (CVSS 9.3) di Atlassian Data Center circa due ore dopo la pubblicazione di ulteriori dettagli tecnici da parte di watchTowr. L’attività è stata rilevata sulla honeypot di watchTowr, una rete di sistemi esca.

La falla Atlassian

Si tratta di una vulnerabilità di accesso arbitrario ai file, che in determinate condizioni consente di raggiungere file sensibili. Colpisce Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible e Fisheye.

ShinyHunters, terzo arresto

L’FBI ha annunciato il terzo arresto legato a ShinyHunters, gruppo ritenuto responsabile dell’incidente su FBIjobs.gov, avvenuto su una piattaforma gestita da un fornitore terzo. Il direttore Kash Patel non ha reso noto il nome. Secondo atti giudiziari, POLITICO e il giornalista Brian Krebs si tratterebbe di Edward Dubrovsky, 54 anni, dirigente e investitore di Toronto. È accusato di cospirazione per minacciare di compromettere la riservatezza di informazioni a scopo di estorsione e di interferenza con il commercio mediante minacce. In un post su Telegram il gruppo ha dichiarato che non resterà attivo a lungo sulla piattaforma.

Certificati HTTPS e ccTLD

Google ha riferito che attori non identificati hanno ottenuto certificati HTTPS non autorizzati per diversi domini Google. Hanno dirottato domini dei ccTLD di Ghana (.gh), Samoa Americane (.as) e Sierra Leone (.sl), dopo aver compromesso operatori terzi e modificato i record DNS autorevoli. I dati dei log di Certificate Transparency hanno mostrato altre organizzazioni coinvolte, tra cui grandi marchi globali. Chrome ha bloccato i certificati tramite CRLSets.

Altre minacce

• DarkSword P7: nuova variante dell’exploit kit per iOS, ora in grado di estrarre dati del Keychain e portafogli crypto direttamente sul dispositivo e di comunicare in modo bidirezionale con il C2. Rende inefficaci gli IOC precedenti. Sarebbe distribuita tramite pubblicità malevole in attacchi watering hole.
• MATCHBOIL: il gruppo UAC-0099, allineato alla Russia, ha evoluto il downloader, che ora viene eseguito ogni due minuti per scaricare payload nuovi o aggiornati.
• Flax Typhoon: FBI e DoJ hanno neutralizzato gli strumenti Microscan (ricognizione e scansione) e FishHub (spear-phishing e payload successivi), attribuiti al gruppo APT legato alla Cina. Chris Butera (CISA) ha detto che gli hacker cinesi continuano a posizionarsi nelle reti di infrastrutture critiche, anche OT.
• GoBalance: una falla nello strumento di load balancing usato da molti siti darknet permette di recuperare la chiave di firma principale e dirottare i siti .onion. Tra il 5 e il 7 ottobre i due indirizzi del forum Dread sono stati reindirizzati verso Conclave, secondo Searchlight Cyber.
• MonsterCloud: Zohar Pinhasi, titolare della società della Florida, è accusato di frode telematica. Avrebbe sostenuto di recuperare i dati senza pagare, mentre pagava i riscatti e addebitava alle vittime cifre molto superiori.

Dati e quadro generale

Secondo Comparitech, il terzo trimestre 2026 ha registrato 2.627 attacchi ransomware: +29% sul secondo trimestre (2.030) e +61% sul terzo trimestre 2025 (1.636). Il riscatto mediano è di 150.000 dollari, la media di 602.400. I gruppi più attivi sono Qilin e The Gentlemen.

Let’s Encrypt ridurrà la durata predefinita dei certificati TLS da 90 a 64 giorni da febbraio 2027, in vista dei 45 giorni previsti per il 2028. Satya Nadella ha chiesto di trattare i modelli di AI avanzati come potenzialmente compromessi, con sistemi di contenimento e la possibilità di fermarli a metà compito.

Vulnerabilità da verificare

La rassegna segnala tra le altre falle in Dell System Update, Google Chrome, SonicWall SMA 1000, Elasticsearch, Apache Struts, Veeam Backup & Replication, Next.js, Cisco, Splunk, Microsoft Exchange Server, LiteLLM (CVE-2026-93355) e nel plugin WordPress Bricksforge (CVE-2026-85097). Si raccomanda di applicare le patch dei vendor, partendo dai prodotti già sfruttati.

Fonte: The Hacker News · Foto: The Hacker News