Una settimana fa avevo parlato della falla critica che ha colpito SharePoint e dell'escalation preoccupante degli attacchi rilevati nella seconda settimana di luglio. A distanza di pochi giorni, il panorama delle minacce ha continuato ad evolversi, mostrando quanto sia urgente un cambio di passo nella gestione delle patch e nella sicurezza delle infrastrutture esposte. In questo approfondimento raccolgo i principali zero-day di fine luglio 2025, con tutti i dettagli tecnici, lo stato delle patch, e le implicazioni per chi gestisce ambienti vulnerabili.
Il caso SharePoint merita una ripresa aggiornata. Parliamo delle vulnerabilità CVE-2025-53770 e CVE-2025-53771, classificate con un punteggio CVSS pari a 9.8. Gli attaccanti sfruttano un caricamento di script ASPX (tipicamente denominato "spinstall0.aspx") per esfiltrare le chiavi ASP.NET MachineKey dai server SharePoint non patchati. Ciò consente di generare token di autenticazione validi e mantenere accessi persistenti anche dopo l'applicazione superficiale di patch, se non si provvede alla rigenerazione delle chiavi. Il payload più diffuso è denominato "ToolShell", ed è stato osservato in combinazione con ondate di ransomware Warlock, spesso preceduto da un movimento laterale tra ambienti SharePoint on-prem e Active Directory. Gli attacchi hanno preso di mira infrastrutture critiche, tra cui enti governativi, sanità e centri universitari. Microsoft ha rilasciato una patch il 19 luglio per SharePoint Server Subscription Edition e 2019, ma la patch per SharePoint 2016 risulta ancora in arrivo. Il numero di organizzazioni colpite supera le 400, con oltre 460 server compromessi secondo le rilevazioni Check Point e Recorded Future. Si consiglia l'abilitazione del modulo AMSI su SharePoint, l'uso di antivirus Microsoft Defender con motore aggiornato, e la rotazione completa delle MachineKey. Alcuni gruppi APT legati alla Cina, come Linen Typhoon e Storm-2603, sembrano coinvolti nella prima ondata.
Altra vulnerabilità degna di nota è la CVE-2025-6558, scoperta da Google Threat Analysis Group e legata a una catena di exploit su browser Chrome con WebKit su piattaforma Apple. L'exploit, attivo a partire da giugno ma osservato in modo più sistematico a luglio, consente un sandbox escape tramite l'abuso del modulo ANGLE e del contesto GPU. Una volta sfruttato, permette l'esecuzione di codice fuori dal contesto del browser, aggirando i meccanismi di sandboxing di Safari/Chrome. Apple ha corretto il bug il 30 luglio con una serie di patch per iOS 18.6, iPadOS, macOS Sequoia e Safari 18. Le campagne rilevate sono altamente mirate, verosimilmente di tipo statale, e non risultano ancora disponibili PoC pubblici. Tuttavia, l'esistenza di attacchi reali suggerisce l'urgenza di aggiornare tutti i dispositivi Apple interessati.
Sul fronte server e file transfer, un altro exploit attivo ha colpito CrushFTP: CVE-2025-54309. La vulnerabilità interessa versioni precedenti alla 10.8.5 (serie 10) e 11.3.4_23 (serie 11) e consente privilege escalation tramite una falla nella gestione del proxy DMZ. Gli attaccanti possono ottenere privilegi amministrativi da remoto, eludendo l'isolamento tra frontend e backend. La patch è disponibile già da inizio luglio, ma oltre 1.000 server risultavano ancora vulnerabili alla data del 20 luglio. Gli attacchi hanno preso di mira principalmente organizzazioni che utilizzano CrushFTP come backend per la gestione di file sensibili (settori finanziario, legale, cloud storage privato). Le raccomandazioni includono aggiornamento immediato e verifica dell'integrità degli utenti amministrativi.
In sintesi, fine luglio 2025 si è rivelato uno dei periodi più intensi dell'anno sul fronte delle vulnerabilità zero-day attivamente sfruttate. I vettori di attacco spaziano dall'abuso dei servizi Microsoft esposti in rete, alle vulnerabilità nei sandbox dei browser, fino agli exploit nei software di file transfer aziendali. In tutti i casi, la velocità di patching è risultata determinante nel limitare i danni. Dove la risposta è stata lenta o incompleta, gli attaccanti hanno trovato terreno fertile per persistenziare l'accesso e lanciare ransomware in modo mirato. Occorre quindi rafforzare il ciclo di aggiornamento continuo e abbandonare il modello reattivo che, ancora oggi, caratterizza molte realtà IT.
Commenti
Posta un commento