Threat intelligence: vulnerabilità e ransomware dal 6 al 12 novembre 2026

Dal 6 al 12 novembre 2026 le rivendicazioni ransomware sui leak site sono state 374, il 47% sopra la media delle quattro settimane precedenti, e CISA ha aggiunto al catalogo KEV 11 vulnerabilità sfruttate, tra cui un gateway di posta Barracuda e la VPN di SonicWall. Il bollettino riassume vulnerabilità, gruppi e settori più colpiti, avvisi italiani ed europei e le domande da porre ai proponenti.

Threat intelligence dal 6 al 12 novembre 2026 · di cybercoverinsurance

In sintesi

Le rivendicazioni ransomware pubblicate sui leak site sono state 374, contro una media di 254 nelle quattro settimane precedenti. Gran parte dell'aumento viene da due pubblicazioni in blocco: 67 rivendicazioni del gruppo N0n il 9 novembre e una cinquantina di INC Ransom il 12 novembre (ransomware.live).
CISA ha aggiunto al catalogo delle vulnerabilità sfruttate (KEV) 11 voci, contro una media di 7 a settimana. Due riguardano prodotti di perimetro: il gateway di posta Barracuda Email Security Gateway e la VPN SSL di SonicWall (CISA KEV).
In Italia il CERT-AGID ha contato 187 campagne malevole con obiettivo italiano nella settimana dal 31 ottobre al 6 novembre 2026, 98 delle quali a tema multe (CERT-AGID).

Vulnerabilità sfruttate

Barracuda Email Security Gateway: due falle in catena

Il 10 novembre 2026 CISA ha inserito nel KEV CVE-2026-116606 e CVE-2026-111560 (CISA KEV). La prima, solo sull'Email Security Gateway (ESG), permette a un attaccante senza credenziali che raggiunge l'interfaccia di amministrazione di importare una configurazione modificata (CVSS 4.0: 9,3). La seconda permette a un amministratore di eseguire comandi come root e riguarda anche Load Balancer ADC, Message Archiver, Web Application Firewall, WAF Control Center e Web Security Gateway (CVSS 4.0: 8,6). Insieme, le due falle permettono di ottenere l'accesso root all'apparato (Barracuda, Mandiant).

Barracuda ha pubblicato l'avviso il 2 novembre 2026 e il 9 novembre ha aggiunto di aver osservato sfruttamento contro un piccolo numero di organizzazioni. Le patch possono non essere state applicate in automatico: Barracuda chiede di verificare ogni apparato, applicare a mano le patch mancanti e togliere l'interfaccia di amministrazione dalla rete internet. EPSS stima per CVE-2026-116606 una probabilità di sfruttamento del 10,9% nei prossimi 30 giorni, nel 4% più alto delle vulnerabilità note (FIRST EPSS).

SonicWall SSL VPN: aggirabile l'autenticazione SAML e l'MFA

Il 6 novembre 2026 CISA ha inserito nel KEV CVE-2026-19868. Sulla VPN SSL di SonicOS, un utente con credenziali valide per un metodo di autenticazione alternativo può aggirare il controllo SAML e, con esso, l'autenticazione a più fattori imposta tramite SAML (CVSS 3.1: 7,5). Sono interessate le versioni SonicOS Gen7 fino alla 7.3.3-7015 e Gen8 fino alla 8.2.2-8015 (NVD, SonicWall). La scadenza CISA per le agenzie federali USA è il 20 novembre 2026.

OpenSSH su alcuni sistemi Linux

Il 9 novembre 2026 CISA ha inserito nel KEV CVE-2026-123158, un aggiramento dell'autenticazione di OpenSSH su Linux (CISA KEV). Secondo le note di rilascio, riguarda l'autenticazione con password su sistemi compilati senza PAM, come quelli basati sulla libreria musl, ed è corretto nella versione 10.6p2 del 5 novembre 2026 (OpenSSH). EPSS stima una probabilità di sfruttamento del 18,9%. Il punteggio CVSS non era disponibile su NVD al momento della raccolta.

Altre voci

CVE-2026-123218, IBM Aspera Faspex, software di trasferimento file: un utente autenticato può aumentare i propri privilegi (CVSS 3.1: 9,8) (IBM).
CVE-2026-124194, Microsoft Outlook: permette lo spoofing in rete senza avvisare l'utente di un'azione rischiosa (CVSS 3.1: 6,5) (Microsoft).
CVE-2026-125350, Google Chromium: esecuzione di codice nel sandbox tramite una pagina web, con effetti anche su Edge e Opera (CVSS 3.1: 8,8) (Google).
CVE-2026-20320, Cisco BroadWorks: lettura di configurazioni riservate senza credenziali (CVSS 3.1: 7,5) (Cisco).
CVE-2026-116779, SignalWire FreeSwitch, centralini VoIP: esecuzione di comandi e accesso alle credenziali (GitHub).
CVE-2026-102895, GPUStack, gestione di modelli di AI: accesso da amministratore senza credenziali (CVSS 3.1: 9,8) (GitHub).
CVE-2026-111793, Openwave Webtop Media Transcoder: conversione di tipi di documento non previsti da parte di un utente autenticato (CVSS 3.1: 4,3).
Nessuna delle 11 voci risulta usata in campagne ransomware secondo CISA.

Ransomware

Dal 6 al 12 novembre 2026 ransomware.live ha registrato 374 rivendicazioni sui leak site dei gruppi criminali, contro una media di 254 nelle quattro settimane precedenti. Sono dichiarazioni dei gruppi, non incidenti verificati (ransomware.live).

Gruppi. N0n è il più attivo con 98 rivendicazioni, contro una media di 26: 67 sono state pubblicate il 9 novembre e 75 riguardano aziende statunitensi (61) e canadesi (14) (ransomware.live). INC Ransom ne ha 46 nel conteggio settimanale, contro una media di 5, quasi tutte pubblicate il 12 novembre (ransomware.live). Seguono The Gentlemen (22), Climax Inc (17) e Qilin (16).
Settori. Manifattura 40, sanità 35, servizi professionali 35, tecnologia 32, commercio al dettaglio 29 (media 15). Per 105 rivendicazioni il settore non è indicato.
Paesi. Stati Uniti 166 (media 86), Canada 25 (media 7), Germania 14, Regno Unito 12.

Italia ed Europa

Rivendicazioni in Italia. Cinque: una nella sanità e una non classificata (N0n), una nell'energia (Settra), una nei servizi professionali (Nightspire), una non classificata (Shiba) (ransomware.live).
Phishing. Nella settimana dal 31 ottobre al 6 novembre 2026 il CERT-AGID ha contato 217 campagne, 187 con obiettivo italiano: la settimana precedente erano 121, di cui 76 con obiettivo italiano. Il tema multe ne conta 98, quasi tutte con il marchio SEND. I malware più diffusi sono AgentTesla e Remcos, gli indicatori di compromissione condivisi 1.097 (CERT-AGID).
Falso sito INPS. L'11 novembre 2026 il CERT-AGID ha segnalato un falso sito dell'INPS, diffuso via SMS, che invita a scaricare una finta app «INPS Mobile» per Android fuori dagli store ufficiali. Il file al momento non era dannoso, ma il sistema permette di sostituirlo in qualsiasi momento con un'app malevola (CERT-AGID).
ENISA. Nessuna notizia pubblicata nel periodo.

Per gli assicuratori

Impatto per gli assicuratoriMedio

Le rivendicazioni ransomware sono salite del 47% e due prodotti di perimetro hanno falle sfruttate, ma l'aumento delle rivendicazioni viene in gran parte da due pubblicazioni in blocco e nessuna delle nuove vulnerabilità è legata a campagne ransomware.

Con falle sfruttate su un gateway di posta e su una VPN nella stessa settimana, conviene verificare quanti assicurati del portafoglio usano Barracuda e SonicWall: un attacco su larga scala a uno di questi prodotti colpirebbe molti di loro insieme (cumulo).