Il 9 ottobre 2026 la Cybersecurity and Infrastructure Security Agency statunitense ha aggiunto cinque vulnerabilità al suo catalogo Known Exploited Vulnerabilities dopo averle collegate alle attività di Flax Typhoon, un gruppo di minaccia legato alla Cina. La notizia non stupisce solo per il nome dell’attore coinvolto. Colpisce soprattutto per i bersagli scelti: non falle appena scoperte, ma bug noti da anni, in alcuni casi da oltre un decennio, ancora aperti su migliaia di sistemi in produzione. L’avviso, pubblicato in forma congiunta da sette governi, fissa per le agenzie federali americane una scadenza di patching all’11 ottobre 2026, appena due giorni dopo la pubblicazione.
Per chi segue da vicino le notizie di sicurezza informatica e il catalogo CISA KEV, già analizzato su queste pagine nel contesto della prioritizzazione delle CVE, la vicenda conferma una tendenza che si consolida negli ultimi mesi del 2026: gli attaccanti più sofisticati non hanno più bisogno di zero-day costosi quando interi parchi macchine restano scoperti su falle pubblicate da tempo.
Cosa è successo il 9 ottobre: cinque CVE entrano nel catalogo KEV
Secondo la ricostruzione pubblicata da The Hacker News, CISA ha aggiunto cinque falle di sicurezza al catalogo KEV dopo averne verificato lo sfruttamento attivo da parte di Flax Typhoon. L’operazione si inserisce in un avviso congiunto, identificato come AA26-281A, diffuso l’8 ottobre 2026 da agenzie di sette paesi diversi. Le cinque vulnerabilità aggiunte riguardano software molto diffusi: un server FTP open source, una suite di produttività documentale, un framework Java per applicazioni enterprise, un CMS headless e un server DNS tra i più usati al mondo.
Il dato che salta all’occhio è l’età delle falle. Nessuna di queste cinque CVE è stata scoperta nel 2026: la più recente risale al 2023, la più vecchia al 2015. Questo significa che gli attaccanti non hanno sfruttato ricerche proprie su codice sconosciuto, ma hanno semplicemente scansionato internet alla ricerca di sistemi che non avevano mai applicato patch disponibili da anni.
Le cinque vulnerabilità sfruttate da Flax Typhoon
La tabella seguente riassume le cinque CVE aggiunte al catalogo KEV il 9 ottobre 2026, con il prodotto interessato e il punteggio di gravità quando disponibile nelle fonti consultate.
| CVE | Prodotto / Vendor | Tipo di falla | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD (ProFTPD Project) | Controllo d’accesso improprio, lettura e scrittura arbitraria di file tramite i comandi SITE CPFR/CPTO | 10.0 |
| CVE-2021-3199 | ONLYOFFICE Docs (Ascensio System SIA) | Path traversal che può portare a esecuzione di codice remoto quando è attivo JWT | 9.8 |
| CVE-2023-22894 | Strapi | Archiviazione in chiaro di dati sensibili, esposti tramite i filtri di query del pannello admin | 7.2 |
| CVE-2016-3081 | Apache Struts (Apache Software Foundation) | Esecuzione di comandi remoti tramite il parametro “class” | n/d |
| CVE-2015-5477 | ISC BIND | Denial of service tramite query TKEY malformate | n/d |
Per due delle cinque voci, Apache Struts e ISC BIND, le fonti disponibili al momento della pubblicazione non riportano un punteggio CVSS aggiornato per l’inserimento nel catalogo KEV. Per le altre tre il quadro è netto: ProFTPD tocca il massimo possibile, 10.0, mentre ONLYOFFICE Docs si ferma a 9.8, entrambe nella fascia critica.
Una campagna da otto CVE, non solo cinque
L’avviso congiunto copre in realtà otto vulnerabilità complessive, non cinque. Le altre tre, CVE-2014-6278, CVE-2019-11510 e CVE-2021-22205, erano già presenti nel catalogo KEV prima di ottobre 2026, segno che Flax Typhoon ha riciclato un arsenale di exploit pubblici costruito nel tempo, mescolando bug vecchissimi a falle relativamente più recenti. Questo approccio “a mosaico” rende più difficile per i difensori individuare un singolo punto di ingresso: la stessa campagna può colpire un server FTP esposto in un’azienda e un’istanza ONLYOFFICE mal configurata in un’altra, senza un pattern unico da bloccare con una singola regola.
Per le agenzie federali statunitensi, CISA ha fissato il termine per applicare le patch o dismettere i prodotti coinvolti all’11 ottobre 2026, appena tre giorni dopo l’annuncio del 9 ottobre. Una finestra così stretta riflette la prassi ormai consolidata del programma KEV dal 2021 a oggi: quando un bug risulta sfruttato attivamente, il tempo concesso per la remediation si misura in giorni, non in settimane.
Chi è Flax Typhoon
Flax Typhoon è il nome con cui Microsoft e diverse agenzie governative occidentali identificano un attore di minaccia legato alla Cina, storicamente focalizzato su operazioni di spionaggio e accesso persistente di lungo periodo. Le attività attribuite al gruppo in passato si sono concentrate soprattutto su Taiwan, con un modello operativo basato sullo sfruttamento di dispositivi esposti su internet, l’uso di strumenti di accesso remoto legittimi per restare sotto traccia, e il furto sistematico di credenziali ed email.
La campagna di ottobre 2026 segna un allargamento del raggio d’azione: secondo la ricostruzione disponibile, le vittime non si limitano più a Taiwan ma includono enti governativi, strutture sanitarie, università e infrastrutture di telecomunicazione negli Stati Uniti e in altri paesi occidentali. Tra le tecniche osservate figurano scansioni massive di vulnerabilità, attacchi di cross-site scripting, password spraying contro Microsoft Exchange e persistenza tramite VPN compromesse.
Integrity Technology Group: l’azienda dietro gli strumenti
Un elemento che distingue questa vicenda da molte altre campagne attribuite ad attori statali è il nome di un’azienda specifica: Integrity Technology Group, descritta nell’avviso come una società di cybersecurity con sede a Pechino, operante con contratti legati allo stato cinese. Non si tratterebbe quindi di un collettivo informale, ma di un fornitore strutturato di infrastrutture e strumenti offensivi.
Tra gli strumenti attribuiti all’azienda figurano MicroScan, una piattaforma di scansione scritta in Python che includerebbe oltre 1.300 script per l’individuazione di servizi vulnerabili esposti su internet, e FishHub, descritto come uno strumento per campagne di spear phishing e per la gestione di malware post-compromissione. La combinazione dei due strumenti disegna il profilo di un’operazione industrializzata, pensata per scalare su un numero elevato di bersagli in parallelo, più che per colpire un singolo obiettivo con precisione chirurgica.
L’avviso congiunto: sette paesi, più agenzie coinvolte
A pubblicare l’avviso AA26-281A sono state le agenzie di sette governi: Australia, Canada, Giappone, Nuova Zelanda, Spagna, Regno Unito e Stati Uniti. Per gli Stati Uniti risultano coinvolte CISA, FBI e NSA. Tra le altre agenzie citate nella documentazione compaiono il National Cyber Security Centre britannico e il CNI spagnolo, il centro nazionale di intelligence del paese.
| Paese | Agenzia principale citata | Ruolo nell’avviso |
|---|---|---|
| Stati Uniti | CISA, FBI, NSA | Coordinamento e pubblicazione del catalogo KEV |
| Regno Unito | National Cyber Security Centre (NCSC) | Co-firmatario dell’avviso AA26-281A |
| Spagna | CNI (Centro Nacional de Inteligencia) | Co-firmatario dell’avviso AA26-281A |
| Australia | Agenzia nazionale di cybersecurity | Co-firmataria dell’avviso |
| Canada | Agenzia nazionale di cybersecurity | Co-firmataria dell’avviso |
| Giappone | Agenzia nazionale di cybersecurity | Co-firmataria dell’avviso |
| Nuova Zelanda | Agenzia nazionale di cybersecurity | Co-firmataria dell’avviso |
La partecipazione della Spagna è il dettaglio più rilevante per il pubblico europeo: è il primo paese dell’Unione Europea a comparire ufficialmente come co-firmatario di un avviso su Flax Typhoon, segno che l’attività osservata non si limita più al blocco anglofono tradizionale dell’alleanza Five Eyes. Le fonti consultate non riportano però vittime italiane confermate né un elenco completo di organizzazioni europee colpite: per ora il legame con l’Italia resta indiretto, legato all’esposizione di prodotti vulnerabili diffusi anche nel nostro paese.
I settori nel mirino: sanità, università e infrastrutture critiche
I bersagli descritti nella documentazione disponibile coprono un ventaglio ampio: enti governativi, organizzazioni sanitarie comprese alcune strutture ospedaliere, università, infrastrutture di telecomunicazione e reti di tecnologia operativa collegate a infrastrutture critiche. Gli attaccanti avrebbero sfruttato servizi esposti su internet basati su VPN, Microsoft Exchange, WebLogic, Struts, WordPress e Jenkins, un elenco che conferma quanto la superficie di attacco reale sia fatta soprattutto di applicazioni aziendali comuni, non di sistemi esotici.
Un punto sollevato da CISA riguarda il rischio di pre-posizionamento in reti OT e infrastrutture critiche: gli attaccanti, una volta ottenuto l’accesso, non lo sfrutterebbero sempre subito, ma lo manterrebbero come riserva operativa per un momento futuro. È lo stesso schema concettuale già descritto per Volt Typhoon negli anni precedenti, anche se le fonti disponibili trattano i due gruppi come entità distinte, senza confermare una sovrapposizione diretta tra le due squadre.
Il precedente: la botnet Raptor Train da 260.000 dispositivi
Flax Typhoon e Integrity Technology Group non sono nomi nuovi per chi segue le minacce cinesi alle infrastrutture occidentali. Nel 2024 FBI e agenzie partner avevano già collegato l’azienda a una botnet, nota come Raptor Train, composta da oltre 260.000 dispositivi compromessi tra router domestici, telecamere di sicurezza e storage di rete. Quella rete era stata costruita proprio sfruttando router e dispositivi IoT mai aggiornati, lo stesso schema di fondo che emerge oggi con ProFTPD, Struts e BIND: sistemi utili, diffusi, e troppo spesso dimenticati dopo l’installazione iniziale.
La continuità tra Raptor Train nel 2024 e la campagna KEV di ottobre 2026 suggerisce che il gruppo non abbia cambiato filosofia operativa, ma l’abbia solo estesa: dai dispositivi di rete domestici alle applicazioni server aziendali, mantenendo lo stesso principio di sfruttare ciò che resta esposto e non patchato per periodi lunghi.
Flax Typhoon contro Volt Typhoon: due strategie a confronto
Volt Typhoon è diventato negli ultimi anni il nome più citato quando si parla di minacce cinesi a infrastrutture critiche occidentali, soprattutto per la sua enfasi sul restare nascosto dentro reti elettriche, idriche e di trasporto. Flax Typhoon condivide con Volt Typhoon l’attenzione al pre-posizionamento, ma le fonti disponibili non confermano che i due gruppi coincidano o coordinino le operazioni. Si tratta, allo stato attuale della ricostruzione pubblica, di due attori distinti con interessi strategici che si sovrappongono.
| Caratteristica | Flax Typhoon | Volt Typhoon |
|---|---|---|
| Bersaglio storico principale | Taiwan, poi esteso a USA e alleati | Infrastrutture critiche USA (energia, acqua, trasporti) |
| Vettore d’accesso tipico | Vulnerabilità note non patchate su servizi esposti | Living-off-the-land, strumenti di amministrazione legittimi |
| Infrastruttura nota | Botnet Raptor Train (2024), oltre 260.000 dispositivi | Reti OT compromesse tramite dispositivi edge |
| Azienda/fornitore collegato | Integrity Technology Group | Non pubblicamente identificato in modo equivalente |
| Evento recente | Avviso congiunto AA26-281A, 8 ottobre 2026 | Avvisi CISA/NSA pregressi su pre-posizionamento OT |
Il vero problema: vulnerabilità vecchie di oltre un decennio
Il dato che più dovrebbe far riflettere chi gestisce infrastrutture IT non è l’identità dell’attore, ma la data delle CVE sfruttate. CVE-2015-3306 ha undici anni. CVE-2015-5477 è coetanea. CVE-2016-3081 ne ha dieci. Sono tutte falle per cui esistono patch pubbliche da tempo, in alcuni casi da prima ancora che molti professionisti della sicurezza oggi in attività iniziassero la carriera.
Il catalogo KEV di CISA, secondo le rilevazioni raccolte al 13 ottobre 2026, conta circa 1.739 vulnerabilità sfruttate attivamente, con circa 30 nuove aggiunte nei trenta giorni precedenti e 361 voci collegate in modo documentato a campagne ransomware. Questi numeri raccontano un catalogo in crescita costante, non un’eccezione isolata legata a Flax Typhoon: nelle stesse settimane sono finite nel catalogo anche una falla critica in Cisco Catalyst SD-WAN Manager, un bug sfruttato da un’intelligenza artificiale autonoma contro il software di assistenza clienti Zammad e una falla già nel mirino degli attaccanti pochi giorni dopo la pubblicazione del proof of concept in Jira, Confluence e Bitbucket di Atlassian. La lezione pratica è semplice da enunciare e difficile da applicare: un programma di patch management che si concentra solo sulle CVE dell’ultimo trimestre lascia scoperto esattamente il tipo di bersaglio che un attore come Flax Typhoon cerca attivamente.
L’impatto sul mercato della cybersecurity
Episodi come questo alimentano una domanda che il mercato della vulnerability management già intercetta da tempo: strumenti capaci non solo di elencare le CVE, ma di correlare exploit pubblici, presenza nel catalogo KEV e contesto di minaccia reale. È lo stesso terreno su cui competono piattaforme come quelle analizzate nel confronto tra Qualys, Tenable e Rapid7, dove la capacità di dare priorità a poche centinaia di CVE realmente sfruttate, dentro un universo di oltre 116.000 CVE pubblicate, fa la differenza tra un team di sicurezza che insegue tutto e uno che blocca ciò che conta davvero.
Per i fornitori di soluzioni SIEM e di threat intelligence, ogni avviso congiunto multi-paese come AA26-281A diventa materiale immediato per aggiornare firme, regole di detection e feed IOC. Per le aziende italiane che si affidano a fornitori di sicurezza gestita, il punto operativo resta verificare, entro poche ore dalla pubblicazione, se nel proprio parco applicativo sopravvivono istanze di ProFTPD, ONLYOFFICE Docs, Struts o BIND nelle versioni vulnerabili, indipendentemente da quanto tempo fa quelle applicazioni siano state installate.
Cosa devono fare ora le aziende italiane ed europee
Le cinque CVE aggiunte il 9 ottobre non richiedono competenze avanzate di threat hunting per essere individuate: bastano strumenti di asset discovery già diffusi. I passi concreti più urgenti per un team IT sono tre. Primo, mappare ogni istanza ProFTPD, ONLYOFFICE Docs, Strapi, Struts e BIND ancora in esercizio, comprese quelle su server dimenticati o su ambienti di test mai dismessi. Secondo, verificare la versione installata contro gli advisory ufficiali dei singoli vendor e applicare le patch disponibili, oppure isolare il servizio dalla rete pubblica se l’aggiornamento non è immediato. Terzo, controllare i log di accesso delle settimane precedenti alla ricerca di pattern di scansione massiva, elemento tipico dell’uso di strumenti come MicroScan.
Chi gestisce ambienti con esposizione VPN, Exchange o WebLogic dovrebbe inoltre rivedere le policy di autenticazione: il password spraying contro Exchange citato nella campagna si contrasta meglio con autenticazione a più fattori obbligatoria che con password più lunghe, una misura che resta la prima barriera efficace anche contro attori con risorse industriali come Integrity Technology Group.
Previsioni: cosa aspettarsi nei prossimi mesi
- È probabile che CISA e le agenzie partner pubblichino aggiornamenti successivi sull’avviso AA26-281A, man mano che emergono altre vittime o altre CVE collegate alla stessa infrastruttura di Integrity Technology Group.
- Il numero di CVE “vecchie” nel catalogo KEV continuerà probabilmente a crescere, perché gli attori statali hanno un incentivo economico a riciclare exploit pubblici invece di investire in zero-day costosi quando il parco installato globale resta scoperto.
- Altri paesi europei, oltre alla Spagna, potrebbero pubblicare avvisi nazionali paralleli nelle prossime settimane, seguendo lo schema già visto con precedenti campagne cinesi attribuite a gruppi come Volt Typhoon.
- È ragionevole attendersi un aumento della domanda di strumenti di asset discovery e vulnerability prioritization da parte di aziende italiane con infrastrutture esposte su internet, soprattutto nei settori sanità e telecomunicazioni citati nell’avviso.
- Non è da escludere che emergano nuove designazioni o misure restrittive verso Integrity Technology Group, sul modello di quanto già avvenuto in passato per altre aziende cinesi collegate a campagne di hacking statale.
Resta da vedere quanto rapidamente le organizzazioni colpite, in particolare quelle sanitarie e universitarie spesso più lente nei cicli di patching rispetto al settore privato, riusciranno a chiudere la finestra di esposizione aperta da falle che, va ribadito, non sono una novità del 2026 ma debiti tecnici accumulati per oltre un decennio.
Domande frequenti
Cos’è il catalogo CISA KEV?
È l’elenco ufficiale, mantenuto dalla Cybersecurity and Infrastructure Security Agency statunitense, delle vulnerabilità per cui esiste prova di sfruttamento attivo in attacchi reali, non solo un rischio teorico. Al 13 ottobre 2026 conta circa 1.739 voci.
Chi è Flax Typhoon?
È il nome con cui si identifica un attore di minaccia legato alla Cina, storicamente attivo contro Taiwan e oggi collegato a una campagna più ampia contro enti governativi, sanitari, universitari e di telecomunicazione in più paesi occidentali.
Quali sono le cinque CVE aggiunte il 9 ottobre 2026?
CVE-2015-3306 (ProFTPD, CVSS 10.0), CVE-2021-3199 (ONLYOFFICE Docs, CVSS 9.8), CVE-2023-22894 (Strapi, CVSS 7.2), CVE-2016-3081 (Apache Struts) e CVE-2015-5477 (ISC BIND).
L’Italia è tra le vittime confermate?
Le fonti disponibili non riportano vittime italiane confermate né un elenco completo di organizzazioni europee colpite. La Spagna è l’unico paese UE citato come co-firmatario dell’avviso congiunto.
Che cos’è Integrity Technology Group?
È descritta nell’avviso come un’azienda di cybersecurity con sede a Pechino, con contratti legati allo stato cinese, a cui vengono attribuiti strumenti offensivi come MicroScan e FishHub e un ruolo nella botnet Raptor Train del 2024.
Flax Typhoon e Volt Typhoon sono lo stesso gruppo?
No. Le fonti disponibili li trattano come attori distinti, pur con un interesse strategico comune per il pre-posizionamento in infrastrutture critiche.
Quanto tempo hanno le agenzie federali USA per applicare le patch?
CISA ha fissato la scadenza all’11 ottobre 2026, due giorni dopo l’aggiunta delle cinque CVE al catalogo KEV avvenuta il 9 ottobre.
Perché vulnerabilità così vecchie sono ancora pericolose?
Perché restano installate su server, dispositivi di rete e applicazioni che non vengono mai aggiornate dopo la messa in produzione. Per un attaccante con risorse di scansione su scala industriale, come quelle attribuite a Integrity Technology Group, individuare questi sistemi resta più economico che sviluppare uno zero-day.
