Il gruppo nordcoreano Lazarus ha sfruttato come zero-day una falla nel cuore di Windows, la CVE-2026-68820, per colpire aziende della difesa e dell’aerospazio in Francia, Germania, Brasile e India. Microsoft ha corretto il difetto martedì 11 agosto 2026, nell’ambito del Patch Tuesday mensile che ha sistemato in totale 400 vulnerabilità. Ma il danno, secondo Check Point Research, era già stato fatto: gli attaccanti avevano un exploit funzionante da settimane prima della patch.
La vicenda mette insieme diversi filoni che i lettori europei di sicurezza informatica conoscono bene: uno zero-day Microsoft sfruttato attivamente, un attore statale con anni di esperienza nell’elusione degli antivirus, e un bersaglio, il settore della difesa, che in un’estate di tensioni geopolitiche fa notizia più del solito. Ecco cosa è successo, come funziona l’attacco e cosa cambia per chi gestisce infrastrutture Windows in azienda.
Cos’è la CVE-2026-68820, la falla in AFD.sys
La CVE-2026-68820 è una vulnerabilità use-after-free nell’Ancillary Function Driver for WinSock, noto come AFD.sys, il driver in modalità kernel che gestisce le API di rete di Windows. Microsoft le ha assegnato un punteggio CVSS di 7.0 e la descrive come un bug di elevazione di privilegio: un utente autenticato localmente può eseguire un’applicazione creata ad hoc, innescare una race condition nel driver e ottenere privilegi SYSTEM, il livello più alto disponibile su una macchina Windows.
Non serve interazione da parte della vittima oltre all’esecuzione iniziale del codice malevolo. Una volta ottenuti i privilegi SYSTEM, l’attaccante può disattivare le protezioni di sicurezza, installare rootkit persistenti e muoversi lateralmente nella rete senza destare sospetti. È esattamente lo scenario che Check Point Research ha documentato nelle ultime settimane, con vittime reali già colpite prima che la patch fosse disponibile.
Chi è Lazarus e cos’è Operation Dream Job
Lazarus è il nome con cui i ricercatori identificano un gruppo di minaccia legato all’intelligence nordcoreana, attivo almeno dal 2009 e responsabile di alcuni degli attacchi informatici più costosi della storia recente, dal furto alla Banca del Bangladesh al ransomware WannaCry. Negli ultimi anni il gruppo ha spostato parte delle sue energie verso il furto di criptovalute e lo spionaggio industriale, con un’attenzione particolare ai settori della difesa, dell’aerospazio e delle tecnologie militari.
Operation Dream Job è la campagna con cui Lazarus porta avanti questo obiettivo da anni: falsi recruiter contattano dipendenti di aziende bersaglio con offerte di lavoro allettanti, spesso spacciandosi per marchi noti del settore difesa come Lockheed Martin o per società di sicurezza informatica come Enveil. L’ultima ondata, documentata da Check Point tra luglio e agosto 2026, ha colpito in particolare organizzazioni che lavorano su sensori di sorveglianza, droni e robotica militare.
Il finto colloquio di lavoro come punto d’ingresso
Le vittime ricevono un messaggio che promette un colloquio o una candidatura per un ruolo tecnico, spesso accompagnato da un PDF con la descrizione della posizione. Check Point ha individuato almeno tre siti web che imitano Enveil, creati apposta per distribuire un lettore PDF trojanizzato ribattezzato SecurityPDF. Chi installa il finto lettore avvia, senza saperlo, la catena d’infezione.
La catena d’attacco: dal PDF trojanizzato al rootkit FudModule
Una volta eseguito, SecurityPDF installa un backdoor inedito chiamato Troy, che garantisce accesso remoto alla macchina compromessa. Check Point ha rilevato due sequenze di infezione parallele, entrambe collegate a un loader chiamato MISTPEN, capace di caricare almeno quattro moduli distinti a seconda dell’obiettivo. È qui che entra in gioco la CVE-2026-68820: il codice sfrutta la falla in AFD.sys per ottenere privilegi SYSTEM e inietta un’ulteriore istanza di MISTPEN in un processo di sistema, così da operare lontano dagli occhi degli strumenti di sicurezza.
L’ultimo passaggio tecnico è particolarmente rivelatore del livello di sofisticazione raggiunto dal gruppo. All’interno di un processo msiexec.exe eseguito a livello SYSTEM, lo stub remoto imposta a zero il valore VerifiedAndReputablePolicyState e invoca la funzione NtSetSystemInformation con la classe 0xA4 e l’opzione 0x10000000, forzando un ricaricamento della code integrity policy di Windows. Il risultato è una versione aggiornata del rootkit FudModule, capace di disattivare la telemetria degli EDR e di manomettere Smart App Control, la funzione di Windows pensata proprio per bloccare software non attendibile.
Troy, il backdoor da 17 comandi
Il backdoor Troy non è un semplice punto d’appoggio. Check Point ha contato 17 comandi diversi supportati dal malware, sufficienti per esfiltrare file, eseguire codice arbitrario, raccogliere informazioni di sistema e mantenere l’accesso nel tempo. È un livello di funzionalità paragonabile a quello di uno strumento di gestione remota, pensato per restare operativo per mesi all’interno di reti aziendali sensibili senza generare allarmi.
L’infrastruttura nascosta: WordPress, SharePoint e i server Roundcube violati
Invece di costruire server di comando e controllo dedicati, facilmente individuabili dai difensori, Lazarus ha dirottato infrastrutture legittime ma compromesse: siti WordPress, portali SharePoint e server webmail Roundcube vulnerabili, riorganizzati in una rete C2 che Check Point ha soprannominato ForestTiger. Molti dei server Roundcube coinvolti erano esposti alla CVE-2025-49113, un bug di deserializzazione PHP autenticata che consente l’esecuzione di codice remoto. Gli attaccanti, con ogni probabilità partiti da credenziali rubate, hanno sfruttato la falla per installare una nuova web shell PHP chiamata RelayShell, usata per scambiare comandi e risposte sotto forma di file di testo.
I ricercatori hanno identificato almeno 17 server infettati da RelayShell, basandosi sugli identificatori univoci recuperati durante l’analisi. In almeno un caso, un’organizzazione compromessa in Francia è stata riutilizzata come base di lancio per attacchi di spear-phishing verso altri bersagli, un dettaglio che mostra come la campagna sfrutti le vittime stesse per ampliare il proprio raggio d’azione.
Le vittime: difesa e aerospazio tra Europa, Sud America e Asia
Check Point descrive una campagna dal respiro globale. L’attività si è estesa al Sud America, con vittime confermate in Brasile, e ha colpito con successo organizzazioni dell’Europa occidentale, in particolare Francia e Germania. Anche l’India rientra tra i paesi presi di mira. Il filo conduttore resta lo stesso: aziende attive in tecnologie militari, sorveglianza, droni e sistemi robotici, settori dove il furto di proprietà intellettuale ha un valore strategico oltre che economico.
Per l’industria della difesa europea, già sotto pressione per l’aumento della spesa militare legata alla guerra in Ucraina, la notizia arriva in un momento delicato. Le aziende del settore gestiscono progetti coperti da segreto industriale e spesso da requisiti di sicurezza nazionale, il che rende ogni violazione potenzialmente più costosa di una fuga di dati commerciali.
Patch Tuesday di agosto 2026: la fotografia completa
La CVE-2026-68820 non arriva da sola. Secondo il conteggio di BleepingComputer, il Patch Tuesday di agosto 2026 ha corretto in tutto 400 vulnerabilità, di cui 42 classificate come critiche (37 di esecuzione di codice remoto e 5 di elevazione di privilegio). Tra queste, tre erano zero-day: solo la CVE-2026-68820 risultava sfruttata attivamente al momento della pubblicazione, mentre altre due, la CVE-2026-62832 nel Windows User Profile Service e la CVE-2026-72971 nel driver di isolamento container unionfs.sys, erano state divulgate pubblicamente ma non ancora usate in attacchi reali.
Il volume di agosto risulta comunque più contenuto rispetto al mese precedente: il Patch Tuesday di luglio 2026 aveva stabilito un record con 570 CVE corrette, dopo che giugno aveva già toccato quota 206. La tabella seguente riassume i numeri principali dell’aggiornamento di agosto.
| Categoria | Numero | Dettaglio |
|---|---|---|
| CVE totali corrette | 400 | Conteggio BleepingComputer, versioni pubblicate l’11 agosto 2026 |
| Vulnerabilità critiche | 42 | 37 di esecuzione codice remoto, 5 di elevazione privilegio |
| Zero-day sfruttati attivamente | 1 | CVE-2026-68820, AFD.sys, CVSS 7.0 |
| Zero-day divulgati ma non sfruttati | 2 | CVE-2026-62832 (User Profile Service), CVE-2026-72971 (unionfs.sys) |
| CVE corrette a luglio 2026 | 570 | Record mensile, secondo BleepingComputer |
| CVE corrette a giugno 2026 | 206 | Record dell’epoca, secondo Malwarebytes |
AFD.sys, il bersaglio ricorrente: quattro zero-day in due anni
Quello che colpisce di più gli analisti non è la singola falla, ma il pattern. AFD.sys è diventato, secondo l’analisi tecnica pubblicata da Cybersecurity News, uno dei driver Windows più bersagliati dagli attori di minaccia avanzati proprio perché gestisce funzioni di rete a basso livello ed è presente su ogni installazione di Windows, dai laptop aziendali ai server. Lazarus in particolare lo ha già sfruttato più volte per installare varianti del rootkit FudModule.
Nell’agosto 2024 Microsoft aveva già corretto la CVE-2024-38193, uno zero-day BYOVD (bring your own vulnerable driver) in AFD.sys sfruttato da Lazarus per installare la versione 3.0 di FudModule, scoperto dai ricercatori di Gen Digital. A febbraio 2025 è arrivata la CVE-2025-21418, un altro zero-day in AFD.sys con CVSS 7.8, seguita a maggio dello stesso anno dalla CVE-2025-32709, anch’essa uno use-after-free sfruttato attivamente. La CVE-2026-68820 porta quindi a quattro il numero di zero-day in questo singolo driver sfruttati in attacchi reali nel giro di due anni.
| CVE | Data patch | CVSS | Dettaglio tecnico |
|---|---|---|---|
| CVE-2024-38193 | Agosto 2024 | 7.8 | BYOVD in AFD.sys, usato per installare FudModule 3.0 (Lazarus) |
| CVE-2025-21418 | Febbraio 2025 | 7.8 | Scrittura fuori limite nella gestione IOCTL del driver |
| CVE-2025-32709 | Maggio 2025 | 7.8 | Use-after-free, privilegi SYSTEM su Windows 10, 11 e Server |
| CVE-2026-68820 | Agosto 2026 | 7.0 | Use-after-free, sfruttato da Lazarus con FudModule aggiornato |
Il prezzo dello spionaggio nordcoreano: 2 miliardi di dollari nel 2025
Le campagne di spionaggio industriale come Operation Dream Job convivono, nell’arsenale nordcoreano, con un’attività di furto di criptovalute su scala industriale. Secondo il Crypto Crime Report 2026 di Chainalysis, gli attori legati alla Corea del Nord hanno rubato circa 2,02 miliardi di dollari in criptovalute nel 2025, su un totale mondiale di 3,4 miliardi rubati nello stesso anno. Il furto cumulativo attribuito a questi gruppi negli anni ha superato i 6,75 miliardi di dollari.
Il collegamento tra le due attività non è casuale. Gli analisti ritengono che i fondi rubati finanzino in parte i programmi missilistici e nucleari di Pyongyang, mentre lo spionaggio industriale su aziende della difesa serve a colmare il divario tecnologico con le potenze occidentali. Due facce della stessa strategia statale, condotte spesso dagli stessi cluster di sviluppatori e operatori.
L’impatto sul mercato della cybersecurity e sulle aziende colpite
Per le aziende della difesa colpite, il conto non si limita al recupero tecnico. Secondo il Cost of a Data Breach Report 2025 di IBM, il costo medio di una violazione in Italia è sceso a 3,31 milioni di euro, in calo del 24% rispetto al 2024, mentre la media globale si è attestata a 4,44 milioni di dollari, in flessione del 9%. Il rapporto 2026 di IBM segnala però un’inversione di tendenza: la media globale è tornata a salire, con un incremento del 12% rispetto all’anno precedente. Per contesto, il Regno Unito registra una media di 4,14 milioni di dollari, la Germania di 5,31 milioni e l’area Benelux di 6,24 milioni.
Le aziende della difesa, però, rientrano tipicamente nella fascia più alta di questi costi: gestiscono dati classificati o soggetti a controllo dell’export, hanno obblighi contrattuali con enti governativi e, in caso di violazione, affrontano indagini regolatorie più lunghe rispetto a una tipica azienda del settore privato. Un rootkit come FudModule, capace di restare invisibile per mesi, aumenta ulteriormente il tempo medio di individuazione, uno dei fattori che secondo IBM pesa di più sul costo finale di una violazione.
Confronto competitivo: come si posiziona questo zero-day rispetto agli altri del 2026
Il 2026 è stato, fino ad ora, un anno particolarmente intenso per gli zero-day critici. Mettere la CVE-2026-68820 a confronto con altre falle sfruttate quest’anno aiuta a inquadrarne la gravità reale: il punteggio CVSS relativamente basso, 7.0, non riflette l’impatto operativo, perché la vulnerabilità serve da ultimo tassello in una catena d’attacco già ben congegnata, non da punto d’ingresso.
| Vulnerabilità | Vendor | CVSS | Impatto |
|---|---|---|---|
| CVE-2026-68820 | Microsoft (AFD.sys) | 7.0 | Elevazione privilegio, usata da Lazarus contro la difesa |
| CVE-2026-41940 | cPanel/WHM | 9.8 | Bypass autenticazione, 1,5 milioni di server esposti per 64 giorni |
| CVE-2026-1281 | Ivanti EPMM | 9.8 | Zero-day sfruttato contro 4 governi UE |
| CVE-2026-35273 | Oracle PeopleSoft | 9.8 | Zero-day, colpito il 68% degli atenei che usano la piattaforma |
| CVE-2026-8037 | Progress LoadMaster | 9.8 | Command injection, EPSS al 99%, già nel catalogo CISA KEV |
La differenza principale è nel modello di sfruttamento. Le altre falle in tabella sono punti d’ingresso remoti, spesso non autenticati, con punteggi CVSS vicini al massimo. La CVE-2026-68820 richiede invece un accesso locale già ottenuto, il che la rende meno pericolosa in isolamento ma molto più efficace se combinata con un vettore di ingegneria sociale credibile come quello usato in Operation Dream Job.
NIS2 in Italia: scadenze, sanzioni e la prima multa da 450.000 euro
Per le aziende italiane della difesa e dell’aerospazio, la vicenda arriva mentre la direttiva NIS2 entra nella sua fase operativa. L’Italia l’ha recepita con il Decreto Legislativo 138/2024, in vigore dal 16 ottobre 2024, con l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità competente e CSIRT Italia come punto di raccolta delle notifiche di incidente. Dal 1° gennaio 2026 l’obbligo di notifica è pienamente operativo: allerta preliminare entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese dalla scoperta dell’incidente.
Le scadenze si susseguono nel corso dell’anno: la finestra di registrazione sul portale ACN corre dal 1° gennaio al 28 febbraio 2026, la categorizzazione dei servizi va completata tra il 1° maggio e il 30 giugno, mentre l’adozione delle misure di sicurezza di base per la prima ondata di soggetti individuati da ACN è attesa entro ottobre 2026. Le sanzioni previste arrivano fino a 10 milioni di euro o il 2% del fatturato globale per i soggetti essenziali, fino a 7 milioni o l’1,4% per quelli importanti. Secondo il Legiscope NIS2 Enforcement Tracker, l’Italia ha già comminato una prima sanzione da circa 450.000 euro, mentre a metà 2026 risultano 23 dei 27 stati membri UE con recepimento completo della direttiva.
Contesto storico: da FudModule 1.0 a oggi
Il rootkit FudModule non nasce nel 2026. La prima versione fu scoperta da ESET e AhnLab a settembre 2022, quando i ricercatori documentarono Lazarus usare un driver Dell vulnerabile in tecnica BYOVD per ottenere accesso diretto alla memoria kernel e disattivare i software di sicurezza. Nel febbraio 2024 emerse FudModule 2.0, distribuito tramite uno zero-day allora inedito nel componente AppLocker (appid.sys), corretto con la CVE-2024-21338. Pochi mesi dopo arrivò FudModule 3.0, questa volta appoggiato proprio su uno zero-day in AFD.sys, la CVE-2024-38193.
La versione osservata nella campagna di agosto 2026 rappresenta quindi la quarta iterazione documentata pubblicamente in quattro anni. Ogni generazione ha aggiunto funzioni, dalla disattivazione della telemetria EDR fino alla manomissione di Smart App Control vista in questa ultima ondata. Il pattern racconta un gruppo che non abbandona uno strumento efficace, ma lo aggiorna man mano che Microsoft chiude le falle sfruttate.
Cosa devono fare adesso i team di sicurezza
La prima azione, ovvia ma non scontata, resta l’applicazione tempestiva della patch di agosto 2026, in particolare sui sistemi Windows 11 build 26100 e 26200 citati nell’analisi di Check Point. Ma la patch da sola non basta contro una catena d’attacco che comincia con l’ingegneria sociale.
- Formare il personale, in particolare nei reparti tecnici e di ricerca e sviluppo, a riconoscere le offerte di lavoro sospette e a non aprire allegati PDF ricevuti da recruiter non verificati
- Verificare i log di autenticazione dei server Roundcube e applicare la patch per la CVE-2025-49113, se non ancora fatto
- Cercare indicatori di compromissione legati a RelayShell e alla rete C2 ForestTiger, pubblicati da Check Point insieme a una regola YARA
- Monitorare i processi msiexec.exe per comportamenti anomali legati alla manomissione della code integrity policy
- Limitare i privilegi locali degli account che non ne hanno bisogno, per ridurre la superficie di attacco per l’elevazione di privilegio
Previsioni: cosa aspettarsi nei prossimi mesi
Alcuni sviluppi appaiono probabili sulla base del pattern degli ultimi due anni. Primo, è ragionevole aspettarsi un nuovo zero-day in AFD.sys o in un driver kernel equivalente entro la fine del 2026 o l’inizio del 2027, dato che Lazarus ha dimostrato di investire risorse specifiche nella ricerca di bug in quel componente. Secondo, altre aziende della difesa in Europa, probabilmente in paesi non ancora citati pubblicamente come Italia, Spagna o Polonia, potrebbero emergere come vittime quando Check Point o altri vendor pubblicheranno ulteriori dettagli della campagna.
Terzo, l’applicazione della NIS2 in Italia renderà più visibili incidenti che in passato restavano sotto silenzio: con l’obbligo di notifica pienamente operativo dal 2026, ACN e CSIRT Italia raccoglieranno un quadro più preciso di quante aziende del settore difesa sono state effettivamente colpite da campagne come questa. Quarto, è probabile che Microsoft continui a rilasciare Patch Tuesday di grandi dimensioni, sulla scia dei 570 CVE di luglio e dei 400 di agosto, complice anche l’espansione della superficie cloud di Azure. Infine, il ricorso a infrastrutture legittime compromesse (WordPress, SharePoint, Roundcube) come rete C2 è destinato a diventare la norma piuttosto che l’eccezione, perché rende molto più difficile per i difensori distinguere traffico malevolo da traffico lecito.
Copertura correlata
- Patch Tuesday Giugno 2026: 208 CVE, 3 Zero-Day
- Microsoft Patch Tuesday Maggio 2026: CVE-2026-41089 CVSS 9.8
- CISA KEV: 7 Falle Aggiunte, 5 Hanno Oltre 15 Anni
- Operation Neusploit: APT28 Buca Office in 3 Giorni
- NIS2 in Italia: 20.000 Aziende sotto Ispezione ACN
- Windows Defender vs Kaspersky vs ESET: AV-TEST 6/6/6
Domande frequenti su CVE-2026-68820 e l’attacco Lazarus
Cos’è esattamente la CVE-2026-68820?
È una vulnerabilità use-after-free nel driver AFD.sys di Windows, con CVSS 7.0, che permette a un utente autenticato localmente di ottenere privilegi SYSTEM. Microsoft l’ha corretta nel Patch Tuesday dell’11 agosto 2026, dopo che Lazarus l’aveva già sfruttata in attacchi reali.
Chi ha scoperto l’exploit usato da Lazarus?
Check Point Research ha individuato la campagna e riferisce di aver segnalato la vulnerabilità a Microsoft a fine luglio 2026, dopo aver rilevato tracce di uno sfruttamento riuscito risalente a settimane precedenti.
Quali paesi sono stati colpiti?
Check Point conferma vittime in Francia e Germania, in Europa occidentale, oltre a un’estensione dell’attività verso il Brasile e l’India. Il denominatore comune sono le aziende della difesa, dell’aerospazio e dell’aviazione.
Cos’è il rootkit FudModule?
È un rootkit associato a Lazarus, scoperto da ESET e AhnLab a settembre 2022, che ottiene accesso in lettura e scrittura alla memoria kernel per disattivare EDR e altre protezioni. La versione usata nella campagna del 2026 è la quarta generazione documentata pubblicamente.
La mia azienda è a rischio se non lavora nella difesa?
Il rischio diretto è più basso, perché la campagna osservata finora si concentra su aziende della difesa e dell’aerospazio. Detto questo, la falla in AFD.sys resta sfruttabile da chiunque abbia già accesso locale a un sistema Windows non aggiornato, quindi la patch va comunque applicata da tutte le organizzazioni.
Quante vulnerabilità ha corretto in totale Microsoft ad agosto 2026?
Secondo il conteggio di BleepingComputer, 400 in totale, di cui 42 classificate come critiche e 3 zero-day, uno dei quali, la CVE-2026-68820, già sfruttato attivamente.
Come posso verificare se i miei server Roundcube sono a rischio?
Va controllata la versione installata rispetto alla CVE-2025-49113 e vanno esaminati i log per accessi anomali. Check Point ha pubblicato indicatori di compromissione e una regola YARA per individuare la web shell RelayShell.
Cosa cambia con la NIS2 per le aziende italiane della difesa?
Dal 1° gennaio 2026 le aziende rientranti nel perimetro NIS2 devono notificare gli incidenti significativi a CSIRT Italia entro tempi stretti (24 ore per l’allerta preliminare, 72 ore per la notifica completa) e rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato globale in caso di inadempienza.
