Lo zero-day Cisco SD-WAN apre le porte ai privilegi root, mentre GitHub blinda le sue Actions

🛡️ Executive Summary

• Uno zero-day in Cisco Catalyst SD-WAN è stato sfruttato per ottenere privilegi root attraverso una sofisticata catena di compromissione.
• GitHub introduce nuove protezioni in actions/checkout mentre oltre 300 repository risultano vulnerabili agli attacchi Cordyceps.
• Le nuove campagne confermano l’aumento degli attacchi contro infrastrutture enterprise, pipeline CI/CD e piattaforme di orchestrazione.

Le minacce rivolte alle infrastrutture enterprise e alla supply chain software continuano ad aumentare sia in complessità sia in impatto operativo. Nel mese di giugno 2026 ricercatori e vendor hanno documentato una serie di incidenti che coinvolgono ambienti Cisco SD-WAN, repository GitHub, pipeline CI/CD e piattaforme di orchestrazione. Tra gli eventi più rilevanti emerge lo sfruttamento attivo dello zero-day CVE-2026-20245 contro Cisco Catalyst SD-WAN, utilizzato per ottenere privilegi root all’interno dell’infrastruttura di un importante provider di comunicazioni. Parallelamente GitHub ha rafforzato il comportamento di actions/checkout introducendo protezioni automatiche contro i cosiddetti attacchi pwn request, mentre i ricercatori di Novee Security hanno identificato una nuova classe di vulnerabilità denominata Cordyceps, capace di compromettere centinaia di repository open source. A completare il quadro figurano il nuovo avviso di sicurezza pubblicato da Cisco in vista del rilascio degli advisory del 1° luglio 2026 e l’analisi di Trend Micro sullo sfruttamento della vulnerabilità CVE-2026-33017 in Langflow per distribuire cryptominer destinati al mining di Monero.

Lo zero-day CVE-2026-20245 compromette Cisco Catalyst SD-WAN

La vulnerabilità CVE-2026-20245 interessa Cisco Catalyst SD-WAN Manager (vManage), vSmart e vBond ed è classificata come una falla di command injection ad alta gravità provocata da una validazione insufficiente degli input. Il difetto permette a un utente autenticato con accesso locale di eseguire comandi arbitrari con privilegi root, compromettendo completamente il dispositivo. I ricercatori di Mandiant hanno individuato lo sfruttamento della vulnerabilità durante un’indagine condotta presso un provider di servizi di comunicazione, notificando immediatamente il problema a Cisco prima della divulgazione pubblica. Gli attaccanti hanno inizialmente stabilito connessioni di peering SD-WAN non autorizzate, ottenendo l’accesso mediante l’account vmanage-admin. Dopo avere modificato temporaneamente la password dell’account amministrativo predefinito, hanno esportato la configurazione della fabric SD-WAN e sfruttato la funzionalità tenant-upload caricando un file CSV malevolo denominato evil_tenant.csv. Il payload ha eseguito il backup dei file critici /etc/passwd e /etc/shadow, creato un nuovo account nascosto chiamato troot con privilegi completi e consentito l’accesso diretto come root mediante il comando su, garantendo così il controllo totale dell’infrastruttura compromessa.

Gli attaccanti hanno utilizzato sofisticate tecniche anti-forensi

L’attività osservata da Mandiant evidenzia un livello elevato di preparazione operativa. Dopo avere ottenuto i privilegi amministrativi, gli attori hanno sistematicamente eliminato ogni traccia dell’intrusione eseguendo backup e ripristino dei file modificati, cancellando il file evil_tenant.csv, rimuovendo i file temporanei e ripristinando la password originale dell’account amministrativo per ridurre il rischio di rilevamento. Ogni modifica veniva seguita dall’esecuzione di script di verifica destinati a confermare la rimozione degli indicatori di compromissione. Secondo gli investigatori l’attività si è sviluppata in almeno due fasi distinte: una prima tra la fine del 2025 e l’inizio del 2026, caratterizzata dall’instaurazione di connessioni SD-WAN non autorizzate, e una seconda nel marzo 2026 durante la quale sono state effettuate l’esfiltrazione delle configurazioni della fabric e l’esecuzione del payload zero-day. Cisco ha successivamente distribuito gli aggiornamenti correttivi e raccomandato ai clienti di verificare la presenza di peering anomali, raccogliere dati diagnostici e confrontare gli indicatori di compromissione pubblicati da Mandiant.

GitHub rafforza actions/checkout contro gli attacchi pwn request

Sul fronte della supply chain software, GitHub ha introdotto importanti modifiche nel componente actions/checkout per ridurre il rischio di compromissione dei workflow GitHub Actions. A partire dal 18 giugno 2026, la versione aggiornata impedisce automaticamente il checkout di codice proveniente da fork quando il workflow utilizza gli eventi pull_request_target oppure workflow_run associati a pull request. La protezione nasce per contrastare la tecnica nota come pwn request, nella quale un attaccante sfrutta workflow privilegiati per eseguire codice arbitrario, sottrarre il GITHUB_TOKEN o altri secret e compromettere l’intera pipeline di sviluppo. Gli sviluppatori possono disabilitare volontariamente il controllo mediante il parametro allow-unsafe-pr-checkout, ma la protezione risulta attiva per impostazione predefinita. La decisione arriva dopo numerosi incidenti che hanno coinvolto progetti come Nx, PostHog, TanStack e il pacchetto kubernetes-el per Emacs, dimostrando quanto il checkout di codice non fidato in contesti privilegiati rappresenti uno dei principali vettori di compromissione della supply chain moderna.

Cordyceps espone centinaia di repository GitHub agli attacchi supply chain

I ricercatori di Novee Security hanno identificato una nuova categoria di vulnerabilità denominata Cordyceps, progettata per descrivere configurazioni insicure delle pipeline CI/CD piuttosto che singoli bug software. Le analisi hanno riguardato circa 30.000 repository GitHub ad alto impatto e hanno individuato oltre 300 progetti completamente sfruttabili. Il problema nasce dalla possibilità di consentire a pull request provenienti da utenti non fidati di attivare workflow con privilegi elevati, rompendo i confini di fiducia previsti dall’architettura di GitHub Actions. In numerosi scenari un semplice commento a una pull request oppure un branch opportunamente costruito permette di eseguire codice arbitrario sui runner CI, ottenere token con privilegi di scrittura ed effettuare modifiche persistenti alla supply chain del progetto. Tra gli esempi documentati figurano repository appartenenti a Microsoft Azure Sentinel, Google AI Agent Development Kit, Apache Doris, Cloudflare Workers SDK e al progetto Black della Python Software Foundation. Dopo la disclosure responsabile, le organizzazioni coinvolte hanno implementato misure di hardening e corretto le configurazioni vulnerabili.

Cisco prepara nuovi advisory di sicurezza per luglio 2026

Il 24 giugno 2026 Cisco ha pubblicato un avviso preliminare che anticipa il rilascio di una nuova serie di security advisory previsto per il 1° luglio 2026. Gli aggiornamenti interesseranno principalmente Cisco Catalyst Center e i Secure Endpoint Connector destinati ai sistemi Linux, macOS e Windows. L’azienda raccomanda ai clienti di pianificare rapidamente l’installazione delle nuove versioni software per ottenere la completa mitigazione delle vulnerabilità identificate e ha reso disponibile anche il file CSAF per facilitare l’integrazione automatizzata nei sistemi di vulnerability management. Cisco collega inoltre questa nuova strategia di comunicazione all’aumento della velocità con cui le vulnerabilità vengono individuate grazie all’impiego crescente di strumenti basati sull’intelligenza artificiale, rendendo necessario accelerare sia la disclosure sia la distribuzione delle patch.

CVE-2026-33017 in Langflow viene sfruttata per distribuire cryptominer

Parallelamente alle vulnerabilità che interessano infrastrutture di rete e piattaforme di sviluppo, Trend Micro ha analizzato una campagna che sfrutta CVE-2026-33017 nella piattaforma Langflow. Gli attaccanti utilizzano la vulnerabilità per distribuire un cryptominer dedicato al mining della criptovaluta Monero, trasformando rapidamente server vulnerabili in risorse computazionali destinate alla generazione di profitti illeciti. L’analisi tecnica mostra come piattaforme di orchestrazione e automazione basate sull’intelligenza artificiale stiano diventando bersagli sempre più appetibili per gruppi criminali interessati a campagne opportunistiche di cryptojacking. Una volta compromesso il sistema, il malware installa il miner, configura la persistenza e avvia automaticamente le attività di mining, consumando risorse hardware e riducendo le prestazioni dei server compromessi.

Gli attacchi mostrano la convergenza tra infrastrutture enterprise e supply chain

L’insieme degli incidenti osservati nel mese di giugno 2026 evidenzia una chiara evoluzione delle strategie offensive adottate dai gruppi cybercriminali. Da un lato lo sfruttamento dello zero-day CVE-2026-20245 dimostra come le infrastrutture SD-WAN rappresentino ormai bersagli strategici per ottenere accesso privilegiato alle reti enterprise; dall’altro le nuove protezioni introdotte da GitHub e la scoperta delle debolezze Cordyceps confermano che la supply chain software continua a rappresentare uno dei principali fronti di rischio per aziende e sviluppatori. L’aggiunta delle campagne contro Langflow dimostra inoltre come qualsiasi piattaforma di automazione possa essere rapidamente trasformata in un vettore di compromissione finalizzato al profitto economico. L’adozione tempestiva delle patch, il rafforzamento delle pipeline CI/CD, il controllo rigoroso dei privilegi e il monitoraggio continuo delle infrastrutture rimangono quindi elementi essenziali per ridurre la superficie di attacco in uno scenario caratterizzato da minacce sempre più integrate e sofisticate.