Cyber insurance: gli eventi della settimana dal 17 al 24 ottobre 2026

Cinque eventi cyber della settimana dal 17 al 24 ottobre 2026, quattro legati alla supply chain: PHP2Shell, ConnectWise, LiteLLM e Railway, n0n e Capcom. Con l'impatto assicurativo e le domande da portare nei rinnovi.

Settimana dal 17 al 24 ottobre 2026

La settimana dal 17 al 24 ottobre 2026 conferma che il rischio cyber viaggia sempre più attraverso la supply chain. Quattro dei cinque eventi selezionati non nascono da un attacco diretto alla vittima, ma da un fornitore, una libreria o un software usato da migliaia di aziende. Per chi sottoscrive, l'analisi del singolo assicurato non basta più: contano le dipendenze comuni del portafoglio.

In sintesi

PHP2Shell: due vulnerabilità critiche nel motore PHP, sfruttate su larga scala a poche ore dalla patch.
ConnectWise Cloud Backup: un'applicazione multi-tenant compromessa apre l'accesso ai tenant Microsoft 365 dei clienti degli MSP. Microsoft attribuisce l'attacco a un attore allineato allo Stato cinese.
LiteLLM e Railway: la supply chain dell'intelligenza artificiale diventa un canale per il furto di credenziali.
n0n e il settore marittimo: un fornitore IT compromesso porta il ransomware in oltre 40 aziende di 18 Paesi.
Capcom: 11,7 milioni di record esposti, un data breach di massa ma a bassa severità per record.

Gli attacchi della settimana

1. PHP2Shell: una vulnerabilità nel cuore del web

Due falle nel motore PHP (CVE-2026-109618 e CVE-2026-109619) permettono l'esecuzione di codice da remoto senza autenticazione. Colpiscono quasi tutte le versioni dalla 5.4 in poi e consentono anche di leggere la memoria del processo, dove possono trovarsi credenziali e chiavi API (SecurityWeek).

La divulgazione era prevista per il 22 ottobre, ma i dettagli sono trapelati online il 20. La PHP Foundation ha anticipato le patch di un giorno e lo sfruttamento su larga scala è iniziato poche ore dopo. Secondo AWS, alcuni attacchi erano già in corso prima della divulgazione pubblica (Risky Bulletin).

Il perimetro è enorme: PHP gira su circa il 70% dei siti web e quasi la metà di questi usa versioni non più supportate (Island). Diverse agenzie di sicurezza hanno consigliato di spegnere i server PHP fino all'aggiornamento. Il paragone con Log4Shell del 2021 è inevitabile (Dark Reading).

2. ConnectWise Cloud Backup: l'MSP come moltiplicatore

Una credenziale applicativa di ConnectWise Cloud Backup (ex SkyKick), servizio di backup per Microsoft 365 usato dagli MSP, è stata compromessa. Dal 15 ottobre l'attaccante l'ha usata per entrare nei tenant dei clienti, sfruttando la fiducia già concessa all'applicazione. Le stime parlano di almeno 173 tenant compromessi (Rescana).

ConnectWise ha sospeso il servizio il 17 ottobre e il giorno dopo anche SaaS Security e Cloud Management. Al 19 ottobre i clienti non potevano né eseguire backup né ripristinare dati (Help Net Security).

Il 21 ottobre Microsoft ha attribuito l'attacco a Storm-0940, attore allineato allo Stato cinese. Il gruppo ha usato un framework di agenti IA, ARTEX, per tentare l'accesso a oltre 2.250 tenant; in alcuni casi è arrivato ad accessi privilegiati in meno di tre ore (Microsoft).

3. LiteLLM e Railway: la supply chain dell'intelligenza artificiale

Il 21 ottobre la pipeline di rilascio di LiteLLM, libreria Python che collega le applicazioni a diversi modelli linguistici, è stata compromessa. La versione 1.107.0 pubblicata su PyPI e Docker conteneva un malware che ruba credenziali (LiteLLM). È rimasta disponibile per circa due ore, su un pacchetto da circa 23 milioni di download settimanali; è il secondo incidente di questo tipo per LiteLLM nel 2026 (Datadog).

Il giorno dopo la piattaforma cloud Railway ha comunicato che gli attaccanti hanno avuto accesso alle variabili d'ambiente cifrate di alcuni clienti, decifrandone una parte. Ha chiesto a tutti gli utenti di ruotare chiavi API e credenziali cloud. Secondo Railway l'attacco rientra in una campagna più ampia contro i fornitori di servizi di IA (TechCrunch).

4. n0n: ransomware via fornitore nel settore marittimo

Il gruppo ransomware n0n è passato dalla rete di un fornitore IT del settore marittimo a oltre 40 autorità portuali, compagnie di navigazione e operatori logistici in 18 Paesi. Gli indizi puntano sulla sudcoreana CyberLogitec, di cui metà delle vittime risultano clienti. Le richieste di riscatto pubblicate sul sito del gruppo ammontano in totale a 1,2 miliardi di dollari (Risky Bulletin).

La scadenza per il pagamento era il 19 ottobre e la maggior parte delle vittime non ha pagato, con conseguente pubblicazione dei dati. È uno dei più gravi attacchi al settore marittimo dai tempi di NotPetya.

5. Capcom: il data breach di massa

Capcom ha rilevato il 19 ottobre un accesso non autorizzato ai dati degli account CAPCOM ID. Sono esposti 11.774.247 record con indirizzo email e dati tecnici dell'account; non risultano coinvolti dati di pagamento (Help Net Security). Il rischio principale per gli interessati è il phishing mirato.

Altri eventi da segnalare

Quest Diagnostics (Sanità): Violazione dell'applicazione per ordini ed esiti, comunicata alla SEC
Iwai Cosmo Securities (Finanza): Accesso al sistema di trading online, ordini non autorizzati su almeno 7 conti
Onamae Desktop Cloud (Cloud / VPS): Malware installato su oltre 26.700 server virtuali
Richmond Public Schools (Istruzione): Ransomware su tutti i 53 istituti del distretto
ETS / California (Istruzione): Dati di milioni di studenti sottratti da un server SFTP del fornitore

Impatto assicurativo

I cinque eventi toccano coperture diverse, ma tre hanno un tratto comune: possono generare sinistri correlati su molti assicurati dello stesso portafoglio.

PHP2Shell. Coperture potenzialmente attivate: Incident response, data breach, interruzione d'attività, eventuale spegnimento volontario dei sistemi. Potenziale di accumulo: Alto: stessa vulnerabilità su gran parte del web. Nodo contrattuale: Definizione di evento unico e aggregazione dei sinistri.
ConnectWise. Coperture potenzialmente attivate: Interruzione d'attività del fornitore, ripristino dati, data breach; tech E&O per MSP e fornitore. Potenziale di accumulo: Alto: un'applicazione, centinaia di tenant. Nodo contrattuale: Attribuzione statale ed esclusione state-backed.
LiteLLM / Railway. Coperture potenzialmente attivate: Data breach, furto di credenziali, sinistri a manifestazione ritardata; tech E&O per i fornitori. Potenziale di accumulo: Medio-alto: concentrato su aziende tecnologiche e di IA. Nodo contrattuale: Data di scoperta e periodo di copertura.
n0n marittimo. Coperture potenzialmente attivate: Cyber estorsione, interruzione d'attività dipendente, data breach. Potenziale di accumulo: Medio-alto: oltre 40 vittime nello stesso settore. Nodo contrattuale: Coordinamento tra polizza cyber e coperture marine.
Capcom. Coperture potenzialmente attivate: Notifica, gestione crisi, responsabilità privacy. Potenziale di accumulo: Basso: evento singolo. Nodo contrattuale: Costi per record e quadro regolatorio applicabile.

L'attribuzione non basta per escludere. Il caso ConnectWise riapre il tema degli attacchi riconducibili a uno Stato. Dal 31 marzo 2023 Lloyd's impone nelle polizze cyber standalone un'esclusione per gli attacchi state-backed, in aggiunta all'esclusione di guerra (Lloyd's, Market Bulletin Y5381). Il bulletin però collega l'esclusione a una soglia d'impatto: l'attacco deve compromettere in modo significativo il funzionamento o la sicurezza di uno Stato (Simmons & Simmons). Un'operazione di spionaggio e furto dati come quella di Storm-0940 difficilmente raggiunge quella soglia. L'esito dipenderà dalla clausola LMA adottata e dal meccanismo di attribuzione previsto dal testo.

Il fornitore come punto di accumulo. ConnectWise, CyberLogitec e LiteLLM mostrano lo stesso schema: un solo fornitore compromesso, molte vittime a valle. Per la copertura di interruzione d'attività del fornitore conta come la polizza definisce il fornitore (IT o non IT, nominato o generico) e quali sottolimiti applica.

Lo spegnimento preventivo. Con PHP2Shell diverse agenzie hanno raccomandato di spegnere i server non aggiornati. È il caso tipico in cui verificare se la polizza copre l'interruzione volontaria decisa per contenere un rischio, anche senza compromissione effettiva.

Cosa portare nei rinnovi

Gli eventi della settimana suggeriscono alcune domande concrete da inserire nei questionari e nelle call di sottoscrizione:

Gestione delle patch critiche. In quanto tempo l'assicurato applica una patch critica sui sistemi esposti a internet? Esiste un inventario delle versioni PHP in uso, comprese quelle non più supportate?
Applicazioni di terze parti con privilegi. Quali applicazioni esterne hanno accesso al tenant Microsoft 365 o Google Workspace, e con quali permessi? Esiste una revisione periodica dei consensi OAuth?
Dipendenza dall'MSP. L'assicurato affida a un MSP la gestione IT o i backup? Il backup è indipendente dal fornitore e testato nel ripristino?
Sicurezza della pipeline software. Per le aziende tecnologiche: le versioni delle dipendenze sono fissate? Le credenziali di rilascio sono protette e ruotate?
Gestione dei segreti. Chiavi API e credenziali cloud sono archiviate in un sistema dedicato e ruotabili rapidamente dopo un incidente?
Fornitori critici di settore. Per settori come quello marittimo o logistico: quali piattaforme IT condivise usa l'assicurato, e quanti altri clienti del portafoglio dipendono dalle stesse?

Sul lato portafoglio, vale la pena mappare l'esposizione a ConnectWise, LiteLLM e ai principali fornitori IT del settore marittimo. Sono i primi indicatori per stimare un possibile accumulo prima che i sinistri arrivino.