CSIRT Italia, settembre 2026: 485 eventi (+57%), ransomware su due strutture sanitarie

• Settembre 2026: 485 eventi (+57%) e 235 incidenti, in aumento su agosto
• Ransomware su due strutture sanitarie; DDoS filorussi soprattutto sulla PA locale
• 15.074 nuove CVE nel mese, oltre 77.000 da inizio anno; 25 sfruttate attivamente
• Alert AL08/260922/CSIRT-ITA su F5 BIG-IP, CVE-2026-94127: verificare e mitigare

Il CSIRT Italia ha pubblicato l’Operational Summary di settembre 2026. Nel mese sono stati registrati 485 eventi cyber, il 57% in più rispetto ai 309 di agosto. Gli incidenti sono stati 235, contro i 196 del mese precedente.

Cosa ha fatto crescere gli eventi

L’aumento è legato soprattutto a due fenomeni. Il primo è la ripresa dei DDoS di matrice hacktivista, che hanno colpito perlopiù siti di pubbliche amministrazioni locali e di imprese, senza impatti significativi. Il secondo è lo sfruttamento di vulnerabilità in campagne di defacement, che hanno usato in modo opportunistico falle in plugin e altri componenti dei CMS (le piattaforme per gestire i contenuti dei siti). Il CSIRT Italia ha segnalato con un bollettino lo sfruttamento di CVE-2026-48907 nel componente Joomla Content Editor.

Il defacement è stata la minaccia con il maggiore incremento percentuale rispetto alla media. Le minacce più frequenti sono state DDoS, compromissione di caselle email e phishing.

Settori e ransomware

I settori con più vittime sono stati Tecnologico, Sanitario e Manifatturiero. Nel primo prevalgono sfruttamento di vulnerabilità e guasti. Nel Sanitario domina l’esposizione di dati. Nel Manifatturiero il defacement.

Il ransomware resta la minaccia con gli impatti operativi più rilevanti, anche per gli attacchi a due strutture sanitarie. Gli attacchi hanno riguardato soprattutto i settori Tecnologico, Commercio all’ingrosso e al dettaglio e Manifatturiero. Gli accessi iniziali più frequenti sono stati:

• sfruttamento di vulnerabilità;
• uso di credenziali valide già compromesse;
• compromissione di servizi di accesso remoto.

L’incidente più grave ha colpito un polo ospedaliero con due sedi. La compromissione dell’infrastruttura virtualizzata e dei sistemi di archiviazione ha causato la chiusura temporanea di una struttura e limitazioni nella gestione dei pazienti nell’altra. Le analisi indicano come possibile ingresso lo sfruttamento di vulnerabilità in un apparato perimetrale.

Il CSIRT Italia ha inoltre individuato, monitorando le piattaforme di scambio illecito di dati, una raccolta di indirizzi email con credenziali riferibili in maggioranza a organizzazioni sanitarie.

DDoS hacktivisti

L’attività DDoS è ripresa dopo l’assenza osservata tra giugno e agosto. Ha riguardato soprattutto la PA locale. Solo nell’8,3% dei casi sono stati accertati impatti, comunque limitati. Gli attacchi sono stati rivendicati da un gruppo filorusso, che ha citato come motivo il sostegno militare italiano all’Ucraina e un nuovo pacchetto di aiuti.

Vulnerabilità in forte crescita

Il programma CVE ha pubblicato 15.074 nuovi record (+2.355 su agosto). Di questi, 341 hanno almeno un Proof of Concept (+53) e per 25 è stato rilevato sfruttamento attivo (+12). Il CSIRT ha lanciato campagne di allertamento su prodotti molto diffusi per gestione server, posta elettronica e accesso remoto sicuro.

Nei primi nove mesi del 2026 le CVE registrate superano le 77.000, una crescita senza precedenti. Secondo il report, l’accelerazione coincide con l’uso crescente di modelli AI di frontiera, che riducono i tempi di analisi del codice, vulnerability research e generazione di PoC.

Superficie esposta e alert

Il monitoraggio ha individuato 8.213 sistemi e servizi a rischio, 908 in meno rispetto ad agosto. Sono stati rilevati numerosi servizi F5 BIG-IP potenzialmente vulnerabili a CVE-2026-94127, oggetto dell’alert AL08/260922/CSIRT-ITA. I soggetti interessati sono stati avvisati per le verifiche e le mitigazioni.

L’analisi dei dati degli infostealer ha portato a identificare 253 account compromessi di soggetti istituzionali, subito allertati. In totale le comunicazioni del CSIRT Italia su compromissioni o fattori di rischio, anche ai sensi dell’art. 2, comma 1, della Legge n. 90/2024, sono state 10.839 (+2.457 su agosto).

Indicatori di compromissione (IoC)

CVE-2026-94127
CVE-2026-48907
AL08/260922/CSIRT-ITA

Fonte: ACN