Threat intelligence: vulnerabilità e ransomware dal 30 ottobre al 5 novembre 2026

Dal 30 ottobre al 5 novembre 2026 le rivendicazioni ransomware sui leak site sono state 277, il 21% sopra la media delle quattro settimane precedenti, e CISA ha aggiunto al catalogo KEV due nuove falle di Ivanti Connect Secure. Il bollettino riassume vulnerabilità sfruttate, gruppi e settori più colpiti, avvisi italiani ed europei e le domande da porre ai proponenti.

Threat intelligence dal 30 ottobre al 5 novembre 2026 · di cybercoverinsurance

In sintesi

Le rivendicazioni ransomware pubblicate sui leak site sono state 277, contro una media di 228 nelle quattro settimane precedenti. Il gruppo The Gentlemen ne ha 50, tutte registrate il 31 ottobre 2026 (ransomware.live).
CISA ha aggiunto al catalogo delle vulnerabilità sfruttate (KEV) quattro voci, contro una media di 8 a settimana. Due riguardano Ivanti Connect Secure, la VPN già colpita a ottobre da una catena di falle che porta all'esecuzione di codice come root senza autenticazione (CISA KEV).
Il 4 novembre 2026 Commissione europea, ENISA, Europol e la rete dei CSIRT dell'UE hanno segnalato incidenti su impianti di refrigerazione commerciale in più Stati membri, con una nuova ondata l'1 e il 2 novembre (ENISA).

Vulnerabilità sfruttate

Ivanti Connect Secure: due falle che completano una catena già sfruttata

Il 30 ottobre 2026 CISA ha inserito nel KEV CVE-2026-111357 e CVE-2026-118527 (CISA KEV). La prima permette a un utente già presente sull'appliance di ottenere i privilegi di root (CVSS 3.1: 7,0). La seconda permette a un attaccante autenticato di caricare file con contenuto a sua scelta in una posizione nota del disco (CVSS 3.1: 4,3) (NVD).

Prese da sole, le due falle hanno punteggi medi. Il rischio nasce dalla combinazione con CVE-2026-104935, il bypass dell'autenticazione inserito nel KEV il 13 ottobre 2026. Secondo Volexity la catena dà esecuzione di codice come root senza credenziali, è stata sfruttata dal 3 ottobre 2026 e funzionava anche su appliance aggiornate alla versione 22.8R2.4 (Volexity). La correzione dell'escalation di privilegi è uscita il 29 ottobre 2026 (Ivanti).

Due dettagli contano per la valutazione. Volexity segnala che l'Integrity Checker di Ivanti può non rilevare la compromissione, perché l'attaccante modifica il codice in memoria e ripristina la configurazione. La scadenza fissata da CISA per le agenzie federali USA era il 2 novembre 2026 per CVE-2026-111357 e il 13 novembre 2026 per CVE-2026-118527. EPSS stima per entrambe una probabilità di sfruttamento sotto l'1% nei prossimi 30 giorni, un valore che non tiene conto dello sfruttamento già documentato (FIRST EPSS).

WordPress: esecuzione di codice durante l'aggiornamento

Il 3 novembre 2026 CISA ha inserito nel KEV CVE-2026-119977, che riguarda WordPress dalla versione 4.7 alla 7.1.3. Durante un aggiornamento completo del core, WordPress usa percorsi temporanei prevedibili e raggiungibili dal web: in quella finestra un attaccante senza credenziali può eseguire codice sul server (CVSS 3.1: 8,1) (NVD). La versione correttiva 7.1.4 è uscita il 28 ottobre 2026, con correzioni riportate anche sui rami precedenti fino alla 4.7, e si installa da sola sui siti con gli aggiornamenti automatici attivi (WordPress). La scadenza CISA per le agenzie federali USA è il 6 novembre 2026.

Altre voci

CVE-2024-27834, Apple iOS, iPadOS, macOS, Safari, tvOS e watchOS: permette di aggirare la Pointer Authentication a chi può già leggere e scrivere in memoria (CVSS 3.1: 5,5). La falla è corretta dal maggio 2024, ma è stata inserita nel KEV solo il 4 novembre 2026: CISA non pubblica dettagli sullo sfruttamento, che riguarda quindi dispositivi rimasti senza aggiornamenti (CISA KEV, Apple).
Nessuna delle quattro voci risulta usata in campagne ransomware secondo CISA. Tutte e quattro compaiono anche nel database europeo delle vulnerabilità di ENISA (EUVD).

Ransomware

Dal 30 ottobre al 5 novembre 2026 ransomware.live ha registrato 277 rivendicazioni sui leak site dei gruppi criminali, contro una media di 228 nelle quattro settimane precedenti. Sono dichiarazioni dei gruppi, non incidenti verificati (ransomware.live).

Gruppi. The Gentlemen è il più attivo con 50 rivendicazioni, contro una media di 22, tutte registrate il 31 ottobre 2026. Seguono Qilin (24), N0n (22), SafePay e MedusaLocker (18 ciascuno). SafePay e MedusaLocker erano quasi assenti nelle quattro settimane precedenti, con una media di 3 e di 0,5.
Settori. Manifattura 41 (media 31), servizi professionali 33, tecnologia 27, sanità 20, finanza 14. Per 68 rivendicazioni il settore non è indicato.
Paesi. Stati Uniti 97, Germania 18, Regno Unito 9, Messico 8. Per 45 rivendicazioni il paese non è indicato.

Italia ed Europa

Rivendicazioni in Italia. Quattro: una nei servizi professionali (gruppo Emperador), una nell'ospitalità e una non classificata (The Gentlemen), una non classificata (PixelLeaks) (ransomware.live).
Phishing. Nella settimana dal 24 al 30 ottobre 2026 il CERT-AGID ha contato 121 campagne, 76 con obiettivo italiano. Il tema più usato è quello delle multe (25 campagne, con i marchi PagoPA, SEND e ACI), il malware più diffuso è Remcos. Gli indicatori di compromissione condivisi con gli enti accreditati sono 965 (CERT-AGID).
Modelli di AI. Il 4 novembre 2026 il CERT-AGID ha pubblicato uno studio su come un modello open-weight possa imparare un comportamento nascosto che si attiva solo in presenza di uno specifico server MCP, generando richieste verso siti esterni. Il rischio cresce quando gli strumenti collegati al modello cambiano nel tempo, perché i controlli iniziali non bastano (CERT-AGID).
Refrigerazione commerciale. La dichiarazione congiunta del 4 novembre 2026 parla di incidenti dall'11 ottobre 2026 su impianti di refrigerazione commerciale in più Stati membri, senza nominarli, e chiede agli operatori di ridurre subito l'esposizione dei sistemi e di seguire gli avvisi dei CSIRT nazionali (ENISA). Il caso dei supermercati francesi è stato analizzato su questo sito il 14 ottobre 2026 (CyberCoverInsight).

Per gli assicuratori

Impatto per gli assicuratoriMedio

Le rivendicazioni ransomware sono salite del 21% e la VPN Ivanti resta esposta a una catena già sfruttata, ma le nuove vulnerabilità nel KEV sono la metà della media e nessuna è legata a campagne ransomware.

Una catena sfruttata senza credenziali su una VPN aziendale è un segnale di cumulo: conviene verificare quanti assicurati del portafoglio usano Ivanti Connect Secure. Lo stesso vale per gli impianti di refrigerazione colpiti in più paesi dell'UE nello stesso periodo.