VMware vCenter sfruttata per accessi SSH dopo la falla CVE-2026-59310

🛡️ Executive Summary

• CVE-2026-59310 viene sfruttata contro VMware vCenter, mentre tentativi contro CVE-2026-71362 puntano al controllo degli account Adobe Commerce e Magento.
• City-Forum estrae dati da Salesforce Experience Cloud e ServiceNow sfruttando permessi guest troppo ampi, senza vulnerabilità confermate nelle due piattaforme.
• Microsoft corregge LegacyHive come CVE-2026-62832; Broadcom e Adobe richiedono aggiornamenti immediati, mentre Salesforce e ServiceNow necessitano verifiche delle configurazioni anonime.

Una serie di sviluppi concentra l’attenzione sulle superfici enterprise esposte a Internet, dove vulnerabilità critiche e configurazioni troppo permissive stanno producendo conseguenze operative differenti. VMware vCenter viene sfruttata attraverso CVE-2026-59310 per installare un reverse SSH, mentre Adobe Commerce e Magento registrano tentativi di abuso della nuova CVE-2026-71362, capace di compromettere gli account dei clienti senza autenticazione. Parallelamente, la campagna City-Forum sottrae informazioni rese accessibili agli utenti guest attraverso Salesforce Experience Cloud e ServiceNow, senza sfruttare vulnerabilità delle piattaforme. Sul fronte Windows, Microsoft ha infine corretto LegacyHive, ora identificata come CVE-2026-62832, dopo la pubblicazione del proof-of-concept a luglio.

VMware vCenter sfruttata cinque giorni dopo la patch

La criticità più immediata riguarda VMware vCenter Server, dove CVE-2026-59310, vulnerabilità di directory traversal con punteggio CVSS 9.8, permette a un attaccante non autenticato con accesso di rete al servizio di eseguire codice arbitrario attraverso il componente Syslog. Broadcom aveva pubblicato il fix il 29 luglio 2026 all’interno dell’advisory VMSA-2026-0006.1, insieme ad altre quattro vulnerabilità che coinvolgono vCenter, ESX, Workstation e Fusion, indicando esplicitamente l’assenza di workaround. La finestra utile per gli attaccanti è stata però estremamente breve: secondo l’attività ricostruita da QUIRSO, i primi sistemi compromessi hanno iniziato a comunicare con infrastrutture controllate dall’attaccante il 3 agosto, appena cinque giorni dopo la divulgazione e la distribuzione dell’aggiornamento. Entro il 7 agosto i ricercatori avevano identificato 361 indirizzi IP vittima in 47 Paesi, con una forte presenza in Germania, Stati Uniti, Turchia, Iran e Francia. Dopo l’accesso iniziale viene installato reverse_ssh, framework open source che crea un canale SSH inverso dal server compromesso verso l’infrastruttura esterna: il traffico outbound facilita il superamento di firewall e controlli pensati soprattutto per bloccare connessioni in ingresso e permette all’operatore di mantenere accesso remoto persistente. QUIRSO ha pubblicato anche una regola YARA per individuare i binari standard del client, avvertendo però che il tool è dual use e che una corrispondenza deve essere valutata insieme alla telemetria del sistema. L’incidente modifica quindi il quadro descritto a fine luglio nell’analisi di Matrice Digitale sulle tre vulnerabilità critiche corrette da VMware: al momento del bollettino Broadcom non segnalava sfruttamento attivo, mentre pochi giorni dopo CVE-2026-59310 era già entrata in una campagna reale. Le versioni correttive indicate dal produttore comprendono vCenter 9.1.0.0300, 9.0.2.0100, 8.0 U3k e 8.0 U2f, con procedure separate per VMware Cloud Foundation e le piattaforme Telco.

Adobe Commerce espone gli account dei clienti senza autenticazione

Un secondo fronte riguarda Adobe Commerce e Magento Open Source, aggiornati l’11 agosto con il bollettino APSB26-92. Tra le sette vulnerabilità corrette spicca CVE-2026-71362, problema di incorrect authorization valutato CVSS 9.1 e sfruttabile da remoto senza credenziali, privilegi amministrativi o interazione dell’utente. Adobe descrive formalmente l’impatto come una privilege escalation con accesso a risorse sensibili, mentre l’analisi del team di Sansec chiarisce la conseguenza pratica per gli ecommerce: il difetto nella gestione dell’identità associata alla sessione del cliente consentirebbe di spostare una sessione verso l’account di un altro utente, ottenendo accesso ai dati privati di quest’ultimo. Il quadro presenta inoltre una discrepanza temporale significativa. Adobe dichiara nel bollettino di non essere a conoscenza di exploit in-the-wild contro le vulnerabilità risolte, ma Sansec afferma nella propria analisi tecnica della CVE-2026-71362 che il proprio WAF sta già bloccando tentativi di sfruttamento. Questo non equivale necessariamente alla conferma di compromissioni riuscite, ma indica che la vulnerabilità è già oggetto di attività offensiva. APSB26-92 corregge anche stored XSS e ulteriori errori di autorizzazione, tra cui CVE-2026-48413, CVE-2026-48414, CVE-2026-48415 e CVE-2026-48416. Adobe distribuisce in questo ciclo fix mensili isolati invece di una nuova release di sicurezza completa: gli amministratori devono quindi verificare di utilizzare l’ultima release -p supportata del proprio ramo e successivamente applicare la patch corrispondente. Il rischio è particolarmente rilevante per installazioni ecommerce esposte pubblicamente, dove una compromissione degli account può incidere contemporaneamente su dati personali, cronologia degli ordini e processi commerciali. Matrice Digitale aveva già seguito l’evoluzione della superficie Magento nell’approfondimento sulle patch critiche che coinvolgevano Magento e altre piattaforme enterprise, confermando come la rapidità di patching sia ormai decisiva per gli store Internet-facing.

City-Forum ruba dati esposti dai portali Salesforce e ServiceNow

La campagna City-Forum presenta invece un modello completamente diverso perché, secondo la ricerca di Reco, non sfrutta una vulnerabilità di Salesforce o ServiceNow. L’operatore cerca organizzazioni che abbiano configurato in modo troppo permissivo gli account guest e utilizza API legittime per enumerare e scaricare informazioni che il sistema considera accessibili agli utenti anonimi. L’attività è ricondotta all’indirizzo 158.220.87.79, ospitato presso Contabo e associato al dominio city-forum.com, infrastruttura rimasta sullo stesso IP almeno dal marzo 2025. Le richieste impiegano prevalentemente lo user agent predefinito Go-http-client/1.1, indizio di un tool automatizzato sviluppato specificamente per la campagna. Su Salesforce Experience Cloud, gli attaccanti interrogano sia il framework Aura sia il più recente Lightning Web Runtime: nel primo caso usano endpoint /aura per individuare oggetti disponibili al profilo guest e recuperare record, mentre su LWR interrogano la UI API attraverso GraphQL, percorrendo differenti versioni dell’API. In uno degli ambienti analizzati Reco ha osservato più di 560.000 eventi riconducibili all’IP della campagna. L’operatore verifica anche la presenza di funzioni di self-registration, che potrebbero consentire di passare da guest a utente esterno autenticato con permessi più ampi. La stessa infrastruttura colpisce ServiceNow Service Portal attraverso l’endpoint nativo /api/now/sp/search, inviando ricerche automatizzate per estrarre informazioni restituite dalle search source configurate come accessibili agli anonimi. ServiceNow ha precisato che non vi è stata una compromissione del proprio ambiente e che il rischio deriva dalla configurazione dei singoli portali. Per Salesforce la mitigazione passa dalla revisione di sharing rule, permessi sugli oggetti e sui campi, file access, self-registration e accesso guest alle API pubbliche; su ServiceNow devono invece essere controllate le search source associate ai portali pubblici e le relative regole di accesso. La dinamica si inserisce nello stesso problema di esposizione delle identità guest già emerso nelle precedenti campagne ShinyHunters contro Salesforce Experience Cloud, ma Reco non attribuisce City-Forum a ShinyHunters e sottolinea l’assenza di elementi sufficienti per collegare le due operazioni.

Microsoft chiude LegacyHive con CVE-2026-62832

Sul fronte Windows, il Patch Tuesday di agosto chiude invece la vicenda LegacyHive, vulnerabilità resa pubblica poche ore dopo gli aggiornamenti di luglio e ora registrata da Microsoft come CVE-2026-62832 nel Security Update Guide. Il problema interessa il Windows User Profile Service e deriva da una gestione impropria della risoluzione dei collegamenti prima dell’accesso ai file. Un attaccante locale autenticato, in possesso anche delle credenziali di un altro account presente sulla macchina, può eseguire un’applicazione appositamente predisposta per caricare l’hive del registro appartenente a un altro utente, modificarne i dati e ottenere in determinate condizioni privilegi amministrativi. La vulnerabilità era stata pubblicata con il nome LegacyHive dal ricercatore pseudonimo Nightmare Eclipse, che aveva diffuso un proof-of-concept subito dopo il Patch Tuesday di luglio. Le verifiche successive avevano mostrato come un utente senza privilegi amministrativi potesse alterare il classes registry hive in modo da ottenere esecuzione automatica di codice quando l’amministratore accedeva successivamente al sistema. Il requisito aggiuntivo delle credenziali di un secondo account rende l’exploit meno immediato rispetto ad altre escalation locali, ma non elimina il rischio nei sistemi già parzialmente compromessi, dove il controllo di credenziali multiple è uno scenario comune. La correzione arriva dopo che ACROS Security aveva distribuito a luglio una micropatch non ufficiale per diversi sistemi Windows in attesa dell’intervento Microsoft. LegacyHive era stata già ricostruita da Matrice Digitale quando il difetto era ancora privo di CVE e patch ufficiale, nell’analisi sulla zero-day LegacyHive e la manipolazione degli hive del registro Windows. Con CVE-2026-62832 Microsoft formalizza quindi il difetto e sposta la mitigazione dalla difesa temporanea all’installazione degli aggiornamenti ufficiali, chiudendo una finestra durata circa un mese tra disclosure pubblica, disponibilità del PoC e patch definitiva.