Ransomware e supply chain sfruttano SharePoint, SonicWall, ClamAV e WordPress

🛡️ Executive Summary

• CISA conferma che CVE-2026-45659 in SharePoint e due falle SonicWall SMA1000 vengono ora sfruttate anche in operazioni ransomware.
• Cisco corregge sette vulnerabilità ClamAV; per CVE-2026-20337 e CVE-2026-20338 sono già disponibili exploit proof-of-concept pubblici.
• La compromissione dell’infrastruttura BdThemes trasforma un feed JSON remoto in codice capace di creare amministratori WordPress nascosti e installare web shell.

Quattro sviluppi concentrati tra il 7 e l’11 agosto mostrano quanto rapidamente una vulnerabilità possa trasformarsi da problema tecnico a strumento operativo per ransomware, persistenza e compromissioni su larga scala. CISA ha aggiornato il catalogo KEV indicando che una falla RCE di Microsoft SharePoint e due vulnerabilità delle appliance SonicWall SMA1000 vengono utilizzate anche in attacchi ransomware. Cisco ha contemporaneamente corretto una nuova serie di vulnerabilità in ClamAV, due delle quali dispongono già di exploit proof-of-concept pubblici, mentre nell’ecosistema WordPress la compromissione dell’infrastruttura di BdThemes ha trasformato un feed promozionale remoto in una supply chain capace di creare account amministrativi nascosti senza distribuire alcun aggiornamento malevolo ai plugin.

SharePoint passa dallo sfruttamento attivo alle campagne ransomware

La vulnerabilità CVE-2026-45659 interessa Microsoft SharePoint Server on-premises e deriva dalla deserializzazione di dati non attendibili. Un attaccante con privilegi ridotti può sfruttarla da remoto per eseguire codice arbitrario sui server vulnerabili con una complessità di attacco limitata. Microsoft aveva corretto la falla negli aggiornamenti di sicurezza pubblicati a maggio, ma CISA l’aveva già inserita nel Known Exploited Vulnerabilities Catalog il 1° luglio dopo avere rilevato sfruttamento attivo. L’aggiornamento dell’11 agosto introduce un elemento ulteriore: nel catalogo KEV la vulnerabilità viene ora indicata come “Known To Be Used in Ransomware Campaigns”, confermando che la stessa debolezza è entrata nelle catene operative degli estorsori. La scheda ufficiale Microsoft dedicata a CVE-2026-45659 rimane il riferimento per versioni e patch, mentre CISA aveva già pubblicato una specifica allerta sull’hardening dei server SharePoint chiedendo aggiornamenti immediati, verifica dell’effettiva installazione delle correzioni e controllo degli indicatori di compromissione. Il nuovo passaggio completa una tendenza già visibile con SharePoint inserito nel KEV insieme ad altre piattaforme collaborative e con il più recente attacco che ha compromesso circa 200 account della Confederazione svizzera attraverso SharePoint.

Patchare SharePoint non basta se l’attaccante è già entrato

Il problema operativo dei server SharePoint compromessi è che l’applicazione della patch interrompe il vettore iniziale ma non rimuove necessariamente persistenza, credenziali sottratte o componenti installati in precedenza. CISA raccomanda di abilitare e verificare l’integrazione Antimalware Scan Interface, utilizzare protezioni endpoint adeguate, analizzare i server alla ricerca di anomalie e ridurre i tempi tra pubblicazione della correzione e deployment. Microsoft ha già mostrato quanto SharePoint possa diventare strategico nelle operazioni ransomware: le sue indagini su Storm-2603 hanno documentato web shell, creazione di account amministrativi, dumping delle credenziali, movimento laterale e distribuzione di ransomware attraverso Group Policy. La presenza di CVE-2026-45659 nelle campagne ransomware rafforza quindi la necessità di trattare un server Internet-facing compromesso come un incidente potenzialmente esteso all’intero dominio. La stessa logica è alla base della guida di Matrice Digitale al catalogo CISA KEV, che distingue la semplice disponibilità di una CVE dalla situazione molto più urgente in cui lo sfruttamento reale è già confermato.

SonicWall SMA1000 entra definitivamente nel ciclo ransomware

Una dinamica analoga riguarda SonicWall SMA1000. Le vulnerabilità CVE-2026-15409 e CVE-2026-15410, corrette a metà luglio dopo essere state sfruttate come zero-day, risultano ora segnalate da CISA anche come utilizzate nelle campagne ransomware. La prima è una Server-Side Request Forgery di gravità massima nella WorkPlace interface che permette a un attaccante remoto non autenticato di raggiungere servizi interni attraverso l’appliance; la seconda consente invece una code injection che può portare all’esecuzione di codice con privilegi elevati. SonicWall aveva già confermato pubblicamente casi di sfruttamento attivo nel proprio bollettino PSIRT SNWLID-2026-0008 e aveva chiesto agli amministratori di installare immediatamente l’hotfix. La situazione era stata ricostruita da Matrice Digitale già il 15 luglio, quando SonicWall aveva confermato l’abuso della SSRF e della code injection sulle appliance SMA1000, e successivamente con l’analisi delle operazioni INC ransomware contro SMA1000.

Gli attacchi SonicWall installano malware direttamente sul gateway VPN

Il rischio delle SMA1000 deriva dalla loro posizione: sono gateway di accesso remoto enterprise utilizzati per collegare personale, amministratori e fornitori alle applicazioni interne. Compromettere l’appliance significa quindi ottenere un punto di osservazione e persistenza collocato prima dei normali controlli endpoint della rete aziendale. Le attività osservate durante la fase zero-day hanno portato all’installazione di malware personalizzati come KNUCKLEBALL, Sou5, ROOTRUN e ORANGETAIL, utilizzati per mantenere accesso, eseguire comandi e sopravvivere alle normali operazioni di remediation. CISA ha aggiunto CVE-2026-15409 e CVE-2026-15410 al KEV il 14 luglio, imponendo alle agenzie federali tempi estremamente ridotti per la mitigazione; l’indicazione successiva relativa al ransomware mostra che la monetizzazione criminale è arrivata rapidamente dopo la prima fase di exploitation. Per questa ragione il semplice aggiornamento firmware non è sufficiente quando esistono evidenze di compromissione precedente: occorre controllare integrità dell’appliance, account, configurazioni, log, accessi amministrativi e possibili collegamenti laterali verso l’infrastruttura interna. È lo stesso problema già emerso con le VPN Fortinet e le vulnerabilità sfruttate su apparati perimetrali.

ClamAV corregge sette vulnerabilità nei parser dei file

Sul fronte ClamAV, Cisco ha pubblicato il 7 agosto un advisory che riunisce sette vulnerabilità nei parser utilizzati dal motore antivirus open source. Le falle coinvolgono archivi ZIP, PESpin, tabelle GPT, PDF, Mach-O e XAR e possono principalmente provocare denial of service, crash del processo di scansione o corruzione della memoria attraverso file appositamente costruiti. Il bollettino Cisco “ClamAV Vulnerabilities Affecting Cisco Products: August 2026” classifica l’insieme come High severity e precisa che non esistono workaround. Il problema interessa anche Cisco Secure Endpoint Connector, che integra ClamAV nel proprio processo di scansione, e assume un impatto maggiore sui sistemi Windows perché il motore opera in un contesto di sicurezza privilegiato. Matrice Digitale aveva già seguito a luglio una precedente serie di vulnerabilità ClamAV che esponevano Cisco Secure Endpoint a memory corruption e DoS e, pochi giorni fa, il nuovo ciclo di patch ClamAV insieme alle falle WordPress, Linux e AWS.

Due falle ClamAV hanno già exploit pubblici

Le due vulnerabilità che richiedono maggiore attenzione sono CVE-2026-20337 e CVE-2026-20338, entrambe localizzate nel parser ZIP. Cisco conferma che per entrambe è già disponibile proof-of-concept exploit code pubblico, pur precisando di non avere evidenze di sfruttamento malevolo in produzione. CVE-2026-20337 deriva da controlli insufficienti sui limiti dei dati processati, mentre CVE-2026-20338 riguarda una gestione impropria della memoria; in entrambi i casi un attaccante remoto non autenticato può inviare un archivio ZIP costruito in modo da provocare la terminazione del processo ClamAV e interrompere le scansioni. La distinzione rispetto a SharePoint e SonicWall è quindi importante: esiste codice di exploit pubblico, ma non è confermato lo sfruttamento in-the-wild. Il progetto ClamAV ha corretto le vulnerabilità con le versioni 1.5.4 e 1.4.6 pubblicate il 7 agosto, che intervengono anche su bug nei parser GPT, PESpin, PDF, Mach-O e XAR, sulla libreria UnRAR e su problemi di thread safety nel comando STATS di clamd. La disponibilità di PoC accorcia tuttavia la distanza tra disclosure e possibile weaponization, soprattutto nei servizi che espongono automaticamente al motore file ricevuti da utenti esterni.

BdThemes viene compromessa senza distribuire plugin malevoli

La compromissione di BdThemes segue un modello completamente diverso. L’attaccante non ha pubblicato una nuova versione malevola dei plugin e non ha modificato direttamente i file installati nei siti WordPress. Ha invece ottenuto accesso in scrittura a un bucket di storage del vendor utilizzato per fornire un feed JSON remoto a un componente promozionale presente nell’area amministrativa. Secondo la ricerca originale di Wordfence sulla supply chain BdThemes, il feed viene elaborato dalla Biggop Library attraverso il componente Biggopti e contiene un parametro display_id non correttamente sottoposto a escaping. L’errore crea una vulnerabilità Cross-Site Scripting che normalmente richiederebbe il controllo dell’API remota; una volta compromessa proprio quell’infrastruttura upstream, l’attaccante ha potuto trasformare la vulnerabilità teorica in una catena supply chain distribuita automaticamente ai browser degli amministratori.

Basta aprire wp-admin per creare un amministratore nascosto

L’aspetto più insidioso della campagna BdThemes è l’assenza di una normale azione di aggiornamento. Quando un amministratore autenticato apre una pagina di wp-admin, il plugin recupera il JSON avvelenato dall’infrastruttura del produttore e il JavaScript malevolo viene eseguito con il contesto della sessione già autenticata. Il payload utilizza quindi le API WordPress per creare un nuovo account amministrativo, successivamente nascosto dalla normale lista degli utenti attraverso manipolazioni delle query del database. Un secondo payload, indicato come w2.js, installa un falso plugin contenente la web shell emer-run.php, creando una forma di persistenza indipendente dal feed remoto iniziale. Wordfence ha osservato gli attacchi dal 7 agosto e, analizzando i log disponibili, considera il 23 giugno la prima data potenziale di attività. I plugin coinvolti comprendono prodotti molto diffusi come Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery e Ultimate Store Kit; l’intero ecosistema BdThemes dichiara oltre 350.000 installazioni attive, mentre Element Pack da solo supera le 100.000. La tecnica richiama altre compromissioni della supply chain WordPress capaci di creare amministratori nascosti e backdoor persistenti e i casi in cui plugin premium compromessi hanno distribuito codice malevolo direttamente ai siti.

La supply chain BdThemes aggira anche il normale controllo delle versioni

La particolarità tecnica della campagna è che un sito può essere compromesso pur eseguendo la stessa versione del plugin installata prima dell’incidente. Non esiste necessariamente un hash differente del pacchetto, un aggiornamento sospetto o una nuova release da confrontare. La parte malevola viene caricata dinamicamente dal servizio remoto del vendor e si attiva soltanto quando un amministratore apre il backend. Questo rende insufficienti controlli tradizionali concentrati esclusivamente sull’integrità del pacchetto WordPress e impone di verificare account amministrativi, plugin sconosciuti, web shell, richieste verso gli endpoint BdThemes e cronologia degli accessi wp-admin. Al momento della divulgazione, tutti i plugin interessati risultavano temporaneamente chiusi nel repository WordPress.org in attesa di revisione e due endpoint avvelenati erano già tornati a fornire JSON pulito; BdThemes non aveva però ancora pubblicato una dichiarazione ufficiale sull’incidente. Il caso prosegue una tendenza già osservata con PixelSmash e i plugin WordPress compromessi nella supply chain e dimostra che anche una semplice funzione promozionale caricata da remoto può diventare parte del perimetro di sicurezza di centinaia di migliaia di siti.

Exploit attivi, PoC e compromissioni upstream richiedono priorità diverse

I quattro casi non devono essere trattati allo stesso modo. SharePoint CVE-2026-45659 e SonicWall CVE-2026-15409/CVE-2026-15410 sono vulnerabilità con sfruttamento confermato e oggi associate da CISA anche a campagne ransomware: richiedono patching prioritario e verifica forense dei sistemi già esposti. ClamAV CVE-2026-20337 e CVE-2026-20338 dispongono invece di PoC pubblici ma, secondo Cisco, non risultano ancora sfruttate attivamente; aggiornare a ClamAV 1.5.4 o 1.4.6 riduce il rischio prima che la disponibilità dell’exploit si trasformi in una campagna reale. La compromissione BdThemes rappresenta infine un terzo modello: l’attacco è già avvenuto, ma non dipende dalla presenza di una versione malevola del plugin bensì dalla fiducia attribuita a una risorsa remota controllata dal produttore. Questa distinzione è centrale nella gestione delle vulnerabilità informatiche tra CVE, exploit, zero-day e patch, perché la gravità nominale di una falla descrive soltanto una parte del rischio operativo.

Il punto debole comune è la fiducia nei componenti intermedi

SharePoint, SonicWall, ClamAV e BdThemes appartengono a livelli completamente differenti dell’infrastruttura, ma condividono un elemento: sono componenti ai quali altri sistemi affidano implicitamente una funzione di fiducia. SharePoint gestisce contenuti e identità aziendali, SMA1000 governa l’accesso remoto, ClamAV decide se un file può essere considerato sicuro e un plugin WordPress esegue codice con i privilegi dell’amministratore del sito. Quando uno di questi elementi viene compromesso, l’attaccante non deve necessariamente forzare direttamente l’asset finale: può utilizzare il componente fidato come ponte. Nel ransomware questo significa trasformare una RCE o un gateway VPN in movimento laterale e cifratura; nella supply chain significa far eseguire codice malevolo al browser dell’amministratore perché proviene da un endpoint considerato legittimo. La crescita di questi incidenti conferma quindi che la difesa non può limitarsi a chiedere se un software sia aggiornato: deve verificare quali privilegi possiede, quali risorse remote consulta, quali sistemi può raggiungere e cosa accade se la sua fiducia viene abusata.