Il 16 ottobre 2026 CISA ha aggiunto una nuova voce al catalogo Known Exploited Vulnerabilities: CVE-2026-102764, un bypass di autenticazione tramite spoofing nei componenti di messaggistica interna di BeyondTrust Remote Support. Il punteggio CVSS è 9,8, il massimo quasi assoluto sulla scala, e la scadenza fissata per la rimediazione è il 19 ottobre 2026, appena tre giorni dopo la pubblicazione. Per i team di sicurezza europei, compresi quelli italiani, significa una sola cosa: bisogna agire subito, non la prossima settimana.
La vulnerabilità non arriva isolata. Nello stesso ciclo di ottobre, CISA ha aggiornato il catalogo KEV portandolo a 1.748 voci complessive, con 361 di queste collegate in modo documentato a campagne ransomware, secondo i dati raccolti da immunitysec.com. Il quadro che emerge è quello di un autunno particolarmente duro per i software di accesso remoto aziendale, con BeyondTrust, Ivanti e Cisco tutti coinvolti nella stessa finestra temporale.
Cosa è successo: il bypass di autenticazione in BeyondTrust Remote Support
BeyondTrust Remote Support è uno dei prodotti più diffusi per l’assistenza remota aziendale, usato da help desk IT, fornitori di supporto tecnico esterno e team di gestione infrastrutture. La falla CVE-2026-102764 riguarda una validazione impropria dell’origine (improper origin validation) nei componenti di messaggistica interna del prodotto, una caratteristica che permette ai tecnici di scambiare comandi e dati con le sessioni remote attive.
In pratica, un attaccante che riesce a falsificare l’origine di un messaggio può superare i controlli di autenticazione senza possedere credenziali valide. Non è un furto di password né un attacco brute-force: è una scorciatoia che sfrutta un errore di progettazione nel modo in cui il software verifica da dove arriva una richiesta. Una volta dentro, l’attaccante eredita i privilegi della sessione di supporto remoto, che tipicamente includono accesso diretto ai sistemi del cliente finale.
Perché conta il contesto del “remote support”
I software di supporto remoto occupano una posizione privilegiata nelle reti aziendali. Vengono installati con permessi elevati, hanno accesso a più endpoint contemporaneamente e spesso bypassano controlli perimetrali perché considerati strumenti di fiducia interna. È lo stesso schema che ha reso celebre l’incidente SolarWinds del 2020: compromettere uno strumento di gestione remota equivale a ottenere una chiave universale per decine o centinaia di sistemi collegati.
Il catalogo CISA KEV tocca 1.748 voci: i numeri di ottobre 2026
Il catalogo KEV, creato da CISA per elencare le vulnerabilità con prove concrete di exploit attivo, non è mai stato così grande. Alla release del 16 ottobre 2026 conta 1.748 voci distribuite su 289 vendor diversi, secondo i dati aggregati da h2security.io. Di queste, 361 (circa il 21%) risultano collegate a campagne ransomware documentate. È un rapporto che fa riflettere: più di una vulnerabilità su cinque nel catalogo non è solo sfruttata occasionalmente, ma è diventata parte dell’arsenale di gruppi criminali organizzati.
Secondo le statistiche raccolte da cve.tools, il mese di ottobre 2026 ha già prodotto 4.327 nuove CVE registrate a livello globale, con un ritmo che porterebbe il totale annuo a circa 7.452. È un volume che rende impossibile per qualsiasi team di sicurezza, anche ben organizzato, patchare tutto in tempo reale. Da qui l’importanza del KEV come filtro: non tutte le CVE sono uguali, ma quelle nel catalogo sono quelle che gli attaccanti stanno effettivamente usando oggi.
Oltre a BeyondTrust, nella stessa finestra di ottobre CISA ha aggiunto altre falle rilevanti: CVE-2026-21589 su più prodotti Atlassian (15 ottobre, scadenza 18 ottobre), CVE-2026-105134 in Ahsay AhsayCBS per command injection (14 ottobre) e CVE-2026-76519, un path traversal relativo in Cisco Secure Email Gateway (14 ottobre). Tre giorni, quattro vendor diversi: la cadenza con cui arrivano queste segnalazioni si è decisamente accelerata rispetto agli anni precedenti.
| CVE | Prodotto | CVSS | EPSS | Data aggiunta al KEV |
|---|---|---|---|---|
| CVE-2026-102764 | BeyondTrust Remote Support | 9,8 | 1,2% | 16 ottobre 2026 |
| CVE-2026-104935 | Ivanti Connect Secure | 8,6 | 26% | ottobre 2026 |
| CVE-2026-76504 | Cisco Catalyst SD-WAN Manager | 9,8 | – | ottobre 2026 |
| CVE-2026-86950 | Apple (prodotti multipli) | 8,8 | – | 29 settembre 2026 |
| CVE-2026-21589 | Atlassian (prodotti multipli) | – | – | 15 ottobre 2026 |
La scadenza del 19 ottobre: cosa devono fare le aziende adesso
La direttiva operativa vincolante di CISA (Binding Operational Directive 22-01) impone scadenze di rimediazione solo alle agenzie federali statunitensi, ma nella pratica l’intero settore privato, in Europa compresa l’Italia, usa quelle date come riferimento de facto. Tre giorni tra l’aggiunta al catalogo e la scadenza fissata per CVE-2026-102764 sono un tempo compresso, e segnalano che l’exploit è già circolante e non più una possibilità teorica.
Per i team IT che gestiscono BeyondTrust Remote Support, le azioni prioritarie sono tre: applicare la patch ufficiale del vendor non appena disponibile, isolare temporaneamente le istanze esposte a internet se la patch non è ancora pronta, e controllare i log delle sessioni di supporto remoto degli ultimi 30 giorni per individuare pattern di origine anomali. Chi usa il prodotto in configurazione on-premise dovrebbe anche verificare le regole firewall che governano l’accesso ai componenti di messaggistica interna, spesso lasciate più permissive di quanto servirebbe.
Non è un caso isolato: Ivanti e Cisco nella stessa settimana
Guardando al quadro più ampio, BeyondTrust non è l’unico fornitore di software per l’accesso remoto aziendale finito sotto i riflettori a ottobre 2026. CVE-2026-104935, un bypass di autenticazione in Ivanti Connect Secure, ha un CVSS di 8,6 e un punteggio EPSS del 26%, il che significa una probabilità relativamente alta di sfruttamento nei prossimi 30 giorni secondo il modello predittivo Exploit Prediction Scoring System. Parallelamente, CVE-2026-76504 su Cisco Catalyst SD-WAN Manager ha ricevuto un punteggio CVSS di 9,8, identico a quello della falla BeyondTrust.
Il filo comune tra questi tre casi è la categoria di prodotto: tutti gestiscono accesso remoto, autenticazione di sessioni o infrastruttura di rete distribuita. Non è una coincidenza statistica isolata, ma un pattern che gli analisti di sicurezza osservano da tempo: gli attaccanti concentrano le risorse su software che, una volta compromesso, apre le porte a reti intere invece che a un singolo endpoint.
Confronto: BeyondTrust, Ivanti e Cisco a confronto sul rischio
Metterli fianco a fianco aiuta a capire dove concentrare le priorità di patching quando le risorse del team di sicurezza sono limitate, come succede nella maggior parte delle aziende di medie dimensioni in Italia ed Europa.
| Vendor | CVE | Tipo di falla | CVSS | EPSS | Giorni KEV→scadenza |
|---|---|---|---|---|---|
| BeyondTrust | CVE-2026-102764 | Bypass autenticazione via spoofing | 9,8 | 1,2% | 3 giorni |
| Ivanti | CVE-2026-104935 | Bypass autenticazione | 8,6 | 26% | non specificato |
| Cisco | CVE-2026-76504 | Vulnerabilità su SD-WAN Manager | 9,8 | non specificato | non specificato |
Un dettaglio che salta all’occhio: la falla BeyondTrust ha l’EPSS più basso del gruppo (1,2%) nonostante il CVSS massimo. È un esempio concreto di perché le due metriche vanno lette insieme e non in sostituzione l’una dell’altra. Il CVSS misura la gravità tecnica se la falla viene sfruttata, l’EPSS stima la probabilità statistica che venga sfruttata nel breve periodo. CISA l’ha comunque inserita nel KEV perché possiede già prove di exploit attivo, un segnale più forte di qualsiasi punteggio predittivo.
Microsoft Patch Tuesday di ottobre: due zero-day prima della patch
Nella stessa finestra temporale, il ciclo di aggiornamenti di ottobre 2026 di Microsoft ha interessato complessivamente 1.771 CVE secondo il tracciamento di senserva.com, che le classifica per livello di rischio. Tra queste, CVE-2026-96951, una vulnerabilità di bypass delle funzionalità di sicurezza in Windows Shell, risultava già sfruttata attivamente al momento della pubblicazione ed è entrata anch’essa nel catalogo KEV di ottobre.
Due ulteriori falle sono state divulgate pubblicamente prima che Microsoft rilasciasse le patch corrispondenti: CVE-2026-108398 in .NET Framework e CVE-2026-92707 in MessagePack-CSharp, una libreria di serializzazione ampiamente usata in applicazioni .NET e giochi basati su Unity. Divulgazioni pubbliche senza patch pronta aumentano la finestra di rischio per chi dipende da quei componenti, perché l’informazione tecnica sulla falla diventa disponibile agli attaccanti prima che esista un rimedio ufficiale da applicare.
Apple e Atlassian: la coda degli ultimi 30 giorni
Il 29 settembre 2026 CISA aveva già aggiunto CVE-2026-86950, una vulnerabilità di scrittura fuori dai limiti di memoria (out-of-bounds write) che colpisce più prodotti Apple, con CVSS 8,8. È un tipo di difetto classico nei bug di sicurezza a basso livello: un programma scrive dati oltre lo spazio di memoria allocato, e un attaccante che controlla cosa viene scritto può alterare il comportamento dell’applicazione o eseguire codice arbitrario.
Pochi giorni dopo, il 15 ottobre, è arrivata CVE-2026-21589, che riguarda file o directory accessibili esternamente in più prodotti Atlassian, con scadenza fissata al 18 ottobre 2026, lo stesso giorno di pubblicazione di questo articolo. La densità di scadenze ravvicinate in questo periodo autunnale racconta bene quanto si sia accorciato il tempo medio tra scoperta di una falla critica e la sua effettiva arma da parte di gruppi criminali.
L’Italia nel mirino: il caso Nextcloud e CVE-2026-110447
Il quadro non è solo internazionale. Secondo quanto riportato da lawandtechnology.eu, un CSIRT italiano ha rilevato nel contesto nazionale la compromissione di un server Nextcloud attraverso lo sfruttamento della vulnerabilità identificata come CVE-2026-110447. Nextcloud è una piattaforma open source di file sharing e collaborazione molto diffusa tra pubbliche amministrazioni italiane, università e piccole e medie imprese che cercano un’alternativa europea ai servizi cloud statunitensi.
Il caso dimostra che la pressione generata dal catalogo KEV non è un esercizio teorico per gli addetti alla sicurezza italiani: gli stessi pattern di attacco osservati su BeyondTrust, Ivanti e Cisco a livello globale si ripropongono su piattaforme usate quotidianamente da organizzazioni italiane. La differenza, spesso, è solo la velocità con cui la singola organizzazione riesce a reagire a un avviso di questo tipo.
Impatto sul mercato e sulle aziende europee
BeyondTrust è uno dei leader globali nella gestione degli accessi privilegiati (PAM, Privileged Access Management) e nel supporto remoto sicuro, un mercato che si rivolge soprattutto a grandi aziende, enti pubblici e fornitori di servizi gestiti (MSP). Una falla critica in un prodotto di questo tipo non colpisce solo il cliente diretto, ma potenzialmente anche tutte le organizzazioni terze che quel cliente supporta tramite sessioni remote, un effetto a catena che gli analisti chiamano rischio di supply chain nella sicurezza informatica.
Per le aziende europee, il tema si lega direttamente agli obblighi introdotti dalla direttiva NIS2, che impone tempi di notifica stringenti per gli incidenti di sicurezza alle infrastrutture critiche e ai fornitori di servizi essenziali. Un’organizzazione che utilizza BeyondTrust Remote Support per gestire fornitori esterni, e che non applica la patch entro tempi ragionevoli, rischia non solo la compromissione tecnica ma anche conseguenze di compliance se l’incidente dovesse concretizzarsi e andare notificato alle autorità competenti.
Contesto storico: dall’incidente SolarWinds a oggi
Il settore degli strumenti di accesso remoto e gestione IT porta ancora i segni dell’incidente SolarWinds del dicembre 2020, quando un attacco alla catena di fornitura compromise il software Orion e colpì migliaia di organizzazioni, incluse agenzie governative statunitensi. Da allora, ogni falla critica in un prodotto di gestione remota viene osservata con un livello di attenzione diverso rispetto a una vulnerabilità equivalente in un’applicazione qualsiasi.
Negli ultimi anni il catalogo KEV di CISA è passato da poche centinaia di voci al momento della sua creazione nel novembre 2021 alle attuali 1.748, un segnale che non riflette solo più vulnerabilità scoperte, ma anche una capacità crescente di CISA di tracciare e confermare lo sfruttamento attivo. La crescita del 21% di voci legate a ransomware indica che i gruppi criminali hanno industrializzato il processo: appena una falla critica viene divulgata, il tempo necessario per integrarla in un kit di attacco si è drasticamente ridotto rispetto a cinque anni fa.
Come verificare l’esposizione della propria organizzazione
I team di sicurezza possono automatizzare il controllo delle nuove voci del catalogo KEV interrogando direttamente il feed JSON pubblicato da CISA, senza passare da dashboard di terze parti. Un controllo semplice, da integrare in una pipeline di monitoraggio o in un cron job, può bastare per non perdere un aggiornamento critico come quello di CVE-2026-102764.
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
| jq '.vulnerabilities[] | select(.cveID=="CVE-2026-102764")'
# Per un controllo ricorrente sulle ultime 72 ore:
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
| jq --arg since "2026-10-15" \
'.vulnerabilities[] | select(.dateAdded >= $since) | {cveID, vendorProject, dueDate}'Questo tipo di controllo va integrato con l’inventario interno degli asset: sapere che una CVE è nel KEV non serve a molto se non si sa in pochi minuti quali sistemi dell’organizzazione eseguono il software interessato. Chi gestisce BeyondTrust Remote Support dovrebbe anche rivedere i log delle connessioni delle ultime settimane, cercando richieste con intestazioni di origine inconsistenti rispetto ai pattern abituali degli operatori di supporto.
Perché un EPSS basso non significa un rischio basso
Uno degli errori più comuni nella prioritizzazione delle patch è affidarsi esclusivamente al punteggio EPSS. Nel caso di CVE-2026-102764, l’1,2% di probabilità di exploit nei prossimi 30 giorni stimata dal modello sembrerebbe suggerire una priorità bassa. Ma CISA l’ha inserita nel KEV proprio perché possiede prove concrete che l’exploit è già in corso, un dato che supera qualsiasi modello predittivo basato su pattern storici.
L’EPSS resta utile per dare priorità tra migliaia di CVE senza prove di exploit attivo, un compito reso necessario dal volume di 4.327 nuove vulnerabilità registrate solo nel mese di ottobre 2026 secondo ismalicious.com. Ma quando una falla entra nel KEV, il punteggio EPSS perde parte della sua rilevanza: il segnale che conta davvero è la conferma di CISA, non la stima statistica.
Previsioni per i prossimi mesi
- Il catalogo KEV supererà le 1.800 voci entro la fine del 2026, mantenendo il ritmo di crescita osservato negli ultimi trimestri.
- Altri fornitori di software per l’accesso remoto e la gestione degli accessi privilegiati finiranno sotto osservazione, seguendo lo stesso pattern già visto con BeyondTrust, Ivanti e Cisco.
- Le aziende italiane legate alla direttiva NIS2 dovranno formalizzare processi di monitoraggio del KEV più rapidi, spinte anche da episodi come la compromissione del server Nextcloud segnalata dai CSIRT nazionali.
- La quota di voci KEV collegate a ransomware, oggi al 21%, è probabile che resti stabile o cresca leggermente, segnalando una maggiore capacità dei gruppi criminali di industrializzare l’uso delle vulnerabilità appena divulgate.
- Il gap temporale tra la pubblicazione di una CVE critica e la sua comparsa nel KEV continuerà a restringersi, riducendo ulteriormente il margine utile per il patching preventivo.
Domande frequenti
Cos’è esattamente CVE-2026-102764?
È una vulnerabilità di bypass dell’autenticazione tramite spoofing nei componenti di messaggistica interna di BeyondTrust Remote Support, con punteggio CVSS 9,8. CISA l’ha aggiunta al catalogo KEV il 16 ottobre 2026 dopo aver confermato prove di exploit attivo.
Qual è la scadenza per la rimediazione?
CISA ha fissato la scadenza al 19 ottobre 2026, tre giorni dopo l’inserimento nel catalogo. La scadenza vincola formalmente solo le agenzie federali statunitensi, ma viene usata come riferimento operativo anche da aziende e pubbliche amministrazioni europee.
BeyondTrust Remote Support è ancora sicuro da usare?
Il prodotto resta uno standard di settore per il supporto remoto aziendale, ma richiede l’applicazione immediata della patch del vendor relativa a questa falla specifica. Le organizzazioni che non possono patchare subito dovrebbero limitare l’esposizione delle istanze su internet pubblico fino al completamento dell’aggiornamento.
Cosa significa che una CVE è nel catalogo KEV?
Significa che CISA ha prove concrete che la vulnerabilità viene sfruttata attivamente da attaccanti reali, non solo che è teoricamente exploitable. È una distinzione importante rispetto al punteggio CVSS, che misura solo la gravità tecnica potenziale.
Le aziende italiane devono preoccuparsi di questa falla?
Sì, se utilizzano BeyondTrust Remote Support per la gestione di sessioni remote verso fornitori, clienti o filiali. Il caso della compromissione di un server Nextcloud in Italia tramite CVE-2026-110447, segnalato dai CSIRT nazionali, mostra che le organizzazioni italiane non sono immuni dalle stesse dinamiche di sfruttamento osservate a livello globale.
Qual è la differenza tra CVSS ed EPSS in questo caso?
Il CVSS (9,8 per questa falla) misura quanto sarebbe grave un attacco riuscito. L’EPSS (1,2%) stima la probabilità statistica di sfruttamento nei prossimi 30 giorni basandosi su modelli predittivi. In questo caso l’EPSS è basso nonostante CISA abbia già confermato exploit attivo, perché il modello statistico non ha ancora assorbito i dati più recenti.
Quali altri prodotti sono stati colpiti nello stesso periodo?
Nella stessa finestra di ottobre 2026 sono entrate nel KEV anche falle in Ivanti Connect Secure (CVE-2026-104935), Cisco Catalyst SD-WAN Manager (CVE-2026-76504), prodotti Atlassian (CVE-2026-21589) e Ahsay AhsayCBS (CVE-2026-105134), oltre a una vulnerabilità in Windows Shell (CVE-2026-96951) segnalata durante il Patch Tuesday di Microsoft.
Come posso monitorare in automatico le nuove voci del catalogo KEV?
Il modo più semplice è interrogare periodicamente il feed JSON pubblico di CISA con uno script che filtra per data di aggiunta o per vendor di interesse, come mostrato nell’esempio con curl e jq più sopra in questo articolo. Integrare questo controllo in un cron job quotidiano riduce drasticamente il tempo di reazione rispetto al controllo manuale della dashboard.