Il 16 settembre 2026 la Cybersecurity and Infrastructure Security Agency americana ha aggiunto al suo catalogo Known Exploited Vulnerabilities una falla che tocca un pezzo di infrastruttura raramente sotto i riflettori: i plugin di backup di Acronis per i pannelli di hosting più diffusi al mondo, cPanel & WHM, Plesk e DirectAdmin. La vulnerabilità, identificata come CVE-2026-87886, ha una scadenza di rientro fissata al 19 settembre 2026 per le agenzie federali statunitensi: domani, rispetto alla data di pubblicazione di questo articolo. Per chi gestisce hosting condiviso in Italia e in Europa, la finestra per reagire è già quasi chiusa.
Non è una RCE plateale con CVSS 10.0 come quelle che hanno riempito le pagine di cronaca cyber nelle ultime settimane. È un’escalation di privilegi locale, CVSS 7,8, causata da permessi di file impostati male di default. Ma proprio la sua natura defilata la rende interessante: colpisce il software che dovrebbe essere l’ultima linea di difesa quando tutto il resto fallisce, cioè il backup. E la storia recente della sicurezza informatica insegna che gli attaccanti, in particolare i gruppi ransomware, hanno imparato a colpire prima i backup e poi il resto.
Cosa dice esattamente CVE-2026-87886
CISA classifica la falla sotto la sigla CWE-276, “Incorrect Default Permissions”. In pratica, i plugin di backup Acronis per gli ambienti hosting Linux installano file e directory con permessi troppo permissivi. Un utente autenticato ma con privilegi bassi sul server, ad esempio un cliente di hosting condiviso con un proprio account cPanel, può sfruttare quei permessi sbagliati per scalare i propri privilegi ed espandere il controllo sul sistema, senza bisogno di alcuna interazione da parte di un amministratore.
Il punteggio CVSS 3.1 assegnato è 7,8, alto ma non critico: il vettore riflette un attacco locale, a bassa complessità, che richiede privilegi bassi e nessuna interazione utente. Non è una vulnerabilità sfruttabile da remoto senza un accesso preesistente al server, ma su un ambiente di hosting condiviso, dove decine o centinaia di clienti diversi hanno già un accesso autenticato, quella barriera è più bassa di quanto sembri.
I prodotti coinvolti, secondo l’advisory ufficiale Acronis, sono tre integrazioni distinte per altrettanti pannelli di controllo hosting Linux:
- Plugin Acronis Backup per cPanel & WHM, nelle versioni precedenti alla build 1.9.3.1021 (fix nella 1.9.3 HF3)
- Estensione Acronis Backup per Plesk, nelle versioni precedenti alla build 1.8.11.638 (fix nella 1.8.11)
- Plugin Acronis Backup per DirectAdmin, nelle versioni precedenti alla build 1.2.3.238
Acronis ha reso pubblico l’advisory dopo aver rilevato lo sfruttamento della falla in attacchi mirati contro server di hosting. È questo il dettaglio che ha spinto CISA a inserire CVE-2026-87886 nel catalogo KEV: l’agenzia americana aggiunge una voce solo quando esiste evidenza concreta di sfruttamento attivo, non sulla base di un rischio teorico. Un tracker indipendente di vulnerabilità segna il campo “utilizzo da parte di ransomware” come “sconosciuto”: nessuna fonte pubblica ha finora attribuito lo sfruttamento a un gruppo ransomware specifico o a un attore statale nominato, ma la finestra di attacco resta aperta e l’attribuzione potrebbe arrivare nelle prossime settimane.
La scadenza CISA e la direttiva BOD 26-04
Le agenzie del ramo esecutivo civile federale americano (FCEB) devono correggere le vulnerabilità nel catalogo Known Exploited Vulnerabilities entro scadenze fissate caso per caso, in base alla gravità e al contesto di sfruttamento. Per CVE-2026-87886 la scadenza è il 19 settembre 2026, appena tre giorni dopo l’inserimento nel catalogo. È un intervallo breve, coerente con l’inasprimento delle tempistiche introdotto dalla direttiva vincolante BOD 26-04, che ha ridotto sensibilmente le finestre di remediation rispetto alle direttive precedenti, la BOD 22-01 del 2021 che aveva istituito il catalogo KEV.
Va detto con chiarezza: la scadenza CISA è vincolante solo per le agenzie federali statunitensi. In Italia e nel resto d’Europa non esiste un obbligo legale equivalente legato a quella specifica data. Ma il catalogo KEV è diventato negli anni un riferimento de facto anche fuori dagli Stati Uniti, perché segnala in modo affidabile quali vulnerabilità sono già usate in attacchi reali, non solo teoricamente sfruttabili. Molti CISO europei, e diversi requisiti di conformità NIS2, usano il KEV come base minima per definire le priorità di patching.
Nello stesso batch di aggiornamento del 16 settembre, CISA ha aggiunto anche una vulnerabilità in Cisco ISE, la CVE-2026-76460, con identica scadenza al 19 settembre. Due sistemi amministrativi molto diversi tra loro, uno di identity management per reti aziendali e uno di backup per hosting, finiti nella stessa coda di urgenza nello spazio di un solo bollettino: un segnale di quanto sia diventato ampio lo spettro di superfici che CISA considera a rischio immediato in questa fase.
Perché i backup sono diventati un bersaglio primario
Fino a qualche anno fa il software di backup veniva considerato un’infrastruttura secondaria dal punto di vista della sicurezza: importante per la continuità operativa, ma non un vettore di attacco primario. I gruppi ransomware hanno ribaltato questa gerarchia. Colpire prima i sistemi di backup, cifrarli o cancellarli, significa togliere alla vittima l’opzione di ripristinare i dati senza pagare il riscatto. È una tattica ormai standard nei playbook delle famiglie ransomware più organizzate.
Il precedente più citato in questo campo riguarda Veeam Backup & Replication. Nel marzo 2023 Veeam ha corretto la CVE-2023-27532, una falla che permetteva di estrarre le credenziali cifrate memorizzate nel database di configurazione del prodotto. Nel giro di poche settimane un proof-of-concept pubblico ha iniziato a circolare, e CISA ha aggiunto la vulnerabilità al catalogo KEV nell’agosto 2023, poco dopo che il gruppo ransomware Cuba era stato osservato sfruttarla attivamente. Da allora la vulnerabilità Veeam è diventata un caso di scuola citato in decine di report di threat intelligence: la dimostrazione empirica che compromettere il backup prima di lanciare la cifratura è una strategia efficace e ripetibile.
CVE-2026-87886 non è tecnicamente paragonabile a quella falla Veeam: qui non c’è esfiltrazione diretta di credenziali di backup, ma un’escalation di privilegi locale su un pannello hosting. Il rischio pratico però converge nello stesso punto. Un attaccante che ottiene un accesso autenticato a basso privilegio, magari tramite un account cliente compromesso su un server di hosting condiviso, può usare CVE-2026-87886 per elevare i propri permessi e da lì raggiungere l’integrazione di backup, potenzialmente manomettendo le copie di sicurezza di altri tenant ospitati sullo stesso server.
L’esposizione degli ambienti di hosting condiviso
I tre pannelli coinvolti, cPanel & WHM, Plesk e DirectAdmin, sono lo standard de facto per decine di migliaia di provider di hosting condiviso in tutto il mondo, Italia compresa. Molti piccoli e medi hosting provider italiani costruiscono la propria offerta proprio su questi pannelli, spesso abbinati a moduli di backup di terze parti come quelli Acronis, venduti come componente aggiuntivo per i clienti che vogliono copie di sicurezza automatizzate dei propri siti e database.
È proprio questo il tratto distintivo del rischio: su un server di hosting condiviso, l’attaccante non deve bucare un firewall perimetrale, deve solo essere già cliente, magari con un account gratuito o a basso costo acquistato appositamente per l’attacco. Da lì, con CVE-2026-87886, può tentare di scalare privilegi e uscire dal proprio perimetro di account per toccare dati e configurazioni di altri clienti sullo stesso server fisico o virtuale. È lo scenario da manuale della “escape” in ambienti multi-tenant, lo stesso incubo che ha reso famose in passato falle come quelle nei container mal isolati.
Acronis nel 2026 ha già pubblicato correzioni per 35 vulnerabilità distinte nei propri prodotti, secondo i database pubblici di tracciamento CVE che seguono l’azienda: un volume che riflette sia la superficie ampia del suo portfolio, che spazia da Acronis Cyber Protect alle integrazioni di terze parti, sia un’attività di disclosure abbastanza regolare da parte del vendor. Ad aprile 2026 era stata segnalata anche CVE-2025-11178, relativa a un’interazione tra Acronis True Image e Windows, mentre CVE-2026-33271 risulta registrata da inizio aprile con dettagli tecnici ancora limitati nelle fonti pubbliche.
La risposta di Acronis e le versioni corrette
Nel proprio advisory di sicurezza, Acronis descrive la falla come un problema di permessi predefiniti scorretti nelle integrazioni di backup per pannelli hosting, e raccomanda l’aggiornamento immediato alle build corrette. L’azienda ha indicato la versione 1.9.3 HF3 come fix per l’integrazione cPanel & WHM e la versione 1.8.11 per l’estensione Plesk, mentre per DirectAdmin la build di riferimento è la 1.2.3.238.
Il vendor ha inoltre rilasciato di recente un aggiornamento di sicurezza più ampio per Acronis Cyber Protect 17, che secondo le note di rilascio corregge 9 vulnerabilità di severità alta e 20 di severità media, segno di un’attività di hardening che coinvolge l’intero portfolio e non solo l’integrazione colpita da CVE-2026-87886.
Per chi amministra server di hosting con questi plugin, il percorso di remediation è lineare ma richiede un inventario preciso: identificare tutte le istanze dei tre plugin, verificarne la versione esatta tramite i pannelli di amministrazione o i changelog installati, e applicare l’aggiornamento alla build minima indicata. Su ambienti con decine di server e centinaia di account cliente, questo inventario da solo può richiedere più tempo della finestra di tre giorni lasciata dalla scadenza CISA, il che rende ancora più urgente iniziare subito la verifica.
Confronto con le altre vulnerabilità aggiunte al KEV a settembre
CVE-2026-87886 non arriva isolata. Nella prima metà di settembre 2026 CISA ha aggiunto al catalogo KEV un numero elevato di vulnerabilità critiche in prodotti di rete e infrastruttura ampiamente usati anche in Europa. La tabella seguente mette a confronto le voci principali del mese, per dare un quadro della pressione di patching che i team di sicurezza si trovano ad affrontare in queste settimane.
| CVE | Prodotto | Tipo | CVSS | Data aggiunta KEV |
|---|---|---|---|---|
| CVE-2026-20079 | Cisco Secure Firewall Management Center | Bypass autenticazione | 10.0 | 10 set 2026 |
| CVE-2026-19490 | Citrix NetScaler ADC/Gateway | Bypass autenticazione | 9.3 | 10 set 2026 |
| CVE-2026-84869 | ConnectWise ScreenConnect | Privilegi impropri | 9.9 | 12 set 2026 |
| CVE-2026-86060 | MikroTik RouterOS | Command injection | 9.2 | 12 set 2026 |
| CVE-2026-67277 | MikroTik RouterOS | Autenticazione mancante | 8.8 | 12 set 2026 |
| CVE-2026-42016 | JFrog Artifactory | Autorizzazione scorretta | 8.1 | 12 set 2026 |
| CVE-2026-76460 | Cisco ISE | Non specificato pubblicamente | n.d. | 16 set 2026 |
| CVE-2026-87886 | Acronis Backup (cPanel, Plesk, DirectAdmin) | Escalation privilegi locale | 7.8 | 16 set 2026 |
Il confronto mette in evidenza una cosa: CVE-2026-87886 ha il punteggio CVSS più basso del gruppo, eppure gode della stessa scadenza di remediation ravvicinata riservata alle falle da 9 e 10 punti. Questo perché la logica del catalogo KEV non premia solo la gravità teorica, misurata dal CVSS, ma soprattutto l’evidenza di sfruttamento reale e la criticità del sistema colpito nel contesto operativo. Un’escalation di privilegi locale su un ambiente di hosting multi-tenant, dove centinaia di account condividono lo stesso server fisico, può avere conseguenze pratiche paragonabili a quelle di una falla remota con punteggio più alto.
Il contesto più ampio: il catalogo KEV cresce senza sosta
Il catalogo Known Exploited Vulnerabilities di CISA ha superato le 1.700 voci a metà settembre 2026, un numero che continua a crescere a ritmo sostenuto rispetto agli anni precedenti. Ogni voce rappresenta una vulnerabilità per cui esiste evidenza documentata di sfruttamento attivo, non un rischio ipotetico: è la differenza principale rispetto ai database generalisti come l’NVD, che elencano tutte le CVE pubblicate a prescindere dallo stato di sfruttamento.
Per i team di sicurezza europei, seguire il ritmo del catalogo KEV è diventato un esercizio quasi quotidiano. Diverse organizzazioni italiane, in particolare quelle soggette alla direttiva NIS2, hanno iniziato a integrare il monitoraggio del KEV nei propri processi di vulnerability management, anche se l’obbligo normativo formale resta ancorato al catalogo europeo ENISA EUVD. La distanza tra i due cataloghi, per numero di voci e per velocità di aggiornamento, resta un tema di dibattito nella comunità della sicurezza continentale.
La crescita del catalogo KEV riflette anche un cambiamento nella pratica degli attaccanti: sempre più gruppi, ransomware e non, scelgono di sfruttare vulnerabilità n-day già note piuttosto che investire in costosi zero-day. Una falla come CVE-2026-87886, resa pubblica insieme alla correzione, diventa immediatamente un bersaglio per chiunque scansioni internet alla ricerca di installazioni non aggiornate: la finestra tra disclosure e sfruttamento di massa si è ristretta drasticamente negli ultimi due anni.
Impatto sul mercato del backup e della disaster recovery
Il mercato globale del software di backup e disaster recovery resta uno dei segmenti più stabili della spesa in sicurezza informatica delle aziende, sostenuto proprio dalla pressione ransomware degli ultimi anni: più le aziende temono un attacco distruttivo, più investono in copie di sicurezza ridondanti e immutabili. Acronis compete in questo spazio con player come Veeam, Commvault e Veritas, oltre a soluzioni cloud-native offerte direttamente dagli hyperscaler.
Una vulnerabilità come CVE-2026-87886, per quanto circoscritta a tre integrazioni specifiche su pannelli hosting Linux, tocca un nervo scoperto del settore: la fiducia. I clienti che pagano per un servizio di backup lo fanno proprio per avere una rete di sicurezza in caso di disastro o attacco. Scoprire che il meccanismo stesso di backup può diventare un vettore di compromissione, anche se in modo indiretto tramite escalation di privilegi locale, alimenta un dibattito già acceso nel settore sulla necessità di isolare rigorosamente gli agenti di backup dal resto dell’infrastruttura, con permessi minimi e segmentazione stretta.
Per i provider di hosting che rivendono l’integrazione Acronis ai propri clienti, l’episodio rappresenta anche un costo reputazionale potenziale: comunicare in modo trasparente la scadenza di patching, verificare le versioni installate su tutti i server e documentare l’intervento diventa un esercizio di gestione della fiducia, oltre che di sicurezza tecnica pura.
Cosa devono fare i team IT italiani adesso
Per chi gestisce infrastrutture di hosting in Italia, la checklist pratica per rispondere a CVE-2026-87886 si può riassumere in pochi passaggi essenziali. Primo, mappare tutte le istanze dei plugin Acronis Backup su server cPanel & WHM, Plesk e DirectAdmin, senza dare per scontato che l’inventario esistente sia aggiornato. Secondo, verificare la build esatta installata rispetto alle soglie minime indicate da Acronis. Terzo, applicare l’aggiornamento anche sui server di staging o test, spesso trascurati proprio perché considerati meno critici, ma ugualmente sfruttabili come punto di ingresso.
Quarto, per chi non può aggiornare immediatamente, valutare misure di mitigazione temporanea come la restrizione dei permessi sui file coinvolti a livello di filesystem, anche manualmente, in attesa della patch ufficiale. Quinto, monitorare i log di accesso sui server hosting per individuare tentativi anomali di escalation di privilegi, in particolare account che mostrano comportamenti incoerenti con il proprio profilo di utilizzo abituale.
Infine, vale la pena ricordare che la scadenza del 19 settembre riguarda formalmente solo le agenzie federali americane, ma il tempo utile prima che una vulnerabilità KEV venga scansionata su scala globale da bot automatizzati è ormai misurato in giorni, non settimane. Aspettare un mandato normativo locale per intervenire significa, nella pratica, muoversi con settimane di ritardo rispetto agli attaccanti.
Cronologia delle vulnerabilità Acronis nel 2026
Per contestualizzare l’entità dell’attività di disclosure che ha coinvolto Acronis nell’anno in corso, la tabella seguente riassume i principali riferimenti pubblici emersi nel 2026, con le informazioni verificabili disponibili al momento della pubblicazione di questo articolo.
| Periodo | Riferimento | Prodotto coinvolto | Stato |
|---|---|---|---|
| Inizio 2026 | Totale di 35 vulnerabilità Acronis segnalate nell’anno | Portfolio Acronis (vari prodotti) | Corrette progressivamente |
| Aprile 2026 | CVE-2025-11178 | Acronis True Image / Windows | Dettagli tecnici limitati nelle fonti pubbliche |
| Aprile 2026 | CVE-2026-33271 | Prodotto Acronis non specificato nelle fonti pubbliche | Registrata, severità non nota |
| Recente (2026) | Aggiornamento cumulativo | Acronis Cyber Protect 17 | 9 falle alte e 20 medie corrette |
| 16 settembre 2026 | CVE-2026-87886 | Plugin Backup per cPanel & WHM, Plesk, DirectAdmin | Aggiunta al KEV, sfruttamento attivo confermato |
Il quadro che emerge non è quello di un vendor eccezionalmente vulnerabile rispetto ai concorrenti, ma di un’azienda con un portfolio ampio ed eterogeneo, che copre sia software desktop per utenti finali come True Image sia infrastrutture enterprise come Cyber Protect, passando per integrazioni di terze parti su pannelli hosting. Ogni segmento porta con sé una superficie di attacco diversa, e CVE-2026-87886 è la prima di queste superfici a finire nel catalogo KEV nel 2026.
Cosa aspettarsi nelle prossime settimane
Sulla base della traiettoria di eventi simili osservati negli ultimi due anni, si possono delineare alcune previsioni ragionevoli su come evolverà questa vicenda.
- È probabile che nelle prossime settimane emerga un proof-of-concept pubblico per CVE-2026-87886, seguendo lo schema già visto con la falla Veeam del 2023: la disclosure ufficiale accompagnata da fix tende ad accelerare la pubblicazione di exploit funzionanti da parte di ricercatori indipendenti.
- È possibile che un gruppo ransomware venga formalmente associato allo sfruttamento della falla nei prossimi report di threat intelligence, dato che al momento l’attribuzione risulta ancora “sconosciuta” nei tracker pubblici.
- È probabile che altri vendor di software di backup rivedano proattivamente i permessi di default delle proprie integrazioni per pannelli hosting, per evitare di trovarsi nella stessa posizione di Acronis.
- È plausibile che il numero di voci nel catalogo KEV superi quota 1.800 entro la fine del 2026, mantenendo il ritmo di crescita registrato nei mesi precedenti.
- È probabile che i provider di hosting europei, incluso un numero significativo di realtà italiane, comunichino ai propri clienti finestre di manutenzione straordinaria nei prossimi giorni per applicare la patch, generando un picco misurabile di richieste di supporto.
Domande frequenti su CVE-2026-87886
Cos’è CVE-2026-87886?
È una vulnerabilità di escalation dei privilegi locale, con punteggio CVSS 7,8, che colpisce i plugin di backup Acronis per i pannelli hosting cPanel & WHM, Plesk e DirectAdmin su Linux. La causa è un’impostazione errata dei permessi di default sui file.
Chi è a rischio in Italia?
Principalmente i provider di hosting condiviso e le aziende che gestiscono server con questi pannelli e con l’integrazione di backup Acronis installata, in particolare in ambienti multi-tenant dove più clienti condividono lo stesso server fisico o virtuale.
Qual è la scadenza fissata da CISA?
Il 19 settembre 2026 per le agenzie federali civili statunitensi, secondo le regole della direttiva vincolante BOD 26-04. Per le organizzazioni europee non è un obbligo legale diretto, ma è considerata una buona pratica adottare la stessa tempistica.
Quali versioni risolvono la vulnerabilità?
La build 1.9.3.1021 (o versione 1.9.3 HF3) per il plugin cPanel & WHM, la build 1.8.11.638 (versione 1.8.11) per l’estensione Plesk, e la build 1.2.3.238 per il plugin DirectAdmin.
La vulnerabilità è già sfruttata attivamente?
Sì. Acronis ha pubblicato l’advisory dopo aver rilevato exploitation in attacchi mirati, e CISA ha confermato lo sfruttamento attivo inserendo la falla nel catalogo KEV, che per policy accoglie solo vulnerabilità con evidenza concreta di attacco reale.
Un gruppo ransomware specifico è collegato a questo attacco?
Al momento no. I tracker pubblici indicano l’utilizzo da parte di ransomware come “sconosciuto”, il che significa che non esiste ancora un’attribuzione confermata a un gruppo nominato.
Come si differenzia dalla falla Veeam del 2023?
La CVE-2023-27532 di Veeam permetteva l’estrazione diretta di credenziali cifrate dal database di configurazione del prodotto. CVE-2026-87886 è invece un’escalation di privilegi locale sul sistema operativo, che può poi essere usata come trampolino verso altri componenti, incluso il backup stesso.
Cosa devono fare subito i team IT?
Mappare tutte le istanze dei tre plugin, verificarne la versione, aggiornare immediatamente alle build corrette e, dove l’aggiornamento non è possibile nel breve termine, restringere manualmente i permessi sui file coinvolti come misura temporanea.
