In tre settimane, tra la fine di luglio e il 18 agosto 2026, la Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto al suo catalogo Known Exploited Vulnerabilities (KEV) oltre sedici nuove falle sfruttate attivamente nel mondo reale. L’ultima ondata, datata 18 agosto, riguarda quattro vulnerabilità critiche che colpiscono Microsoft, Broadcom VMware e Apple macOS. Il resto del mese ha visto entrare nel catalogo strumenti di gestione remota, piattaforme CI/CD e software di orchestrazione, un bersaglio che gli analisti definiscono sempre più centrale per gli attaccanti. Per i team IT italiani ed europei che usano gli stessi prodotti, la finestra per applicare le patch si è già chiusa in alcuni casi: ecco cosa sapere.

Le quattro CVE aggiunte da CISA il 18 agosto 2026

Il 18 agosto 2026 CISA ha inserito nel catalogo KEV quattro vulnerabilità, confermando prove concrete di sfruttamento attivo per ciascuna (fonte: ViciSecurity). Si tratta di CVE-2026-33824 su Microsoft Internet Key Exchange (IKE) Service Extensions, CVE-2026-59310 su Broadcom VMware vCenter, CVE-2026-55040 su Microsoft SharePoint e CVE-2026-65400 su Apple macOS. Nessuna delle quattro riguarda software di nicchia: parliamo di prodotti che girano nella quasi totalità dei data center aziendali europei, dagli hypervisor alle piattaforme di collaborazione interna.

La differenza rispetto alle ondate precedenti sta nella combinazione dei bersagli. Non sono quattro falle isolate su prodotti scollegati tra loro, ma quattro punti d’ingresso che coprono l’intero perimetro di un’infrastruttura IT tipica: il livello di rete (IKE), il livello di virtualizzazione (vCenter), il livello applicativo (SharePoint) e l’endpoint (macOS). Un attaccante che concatena due o tre di questi accessi può muoversi lateralmente senza dover scoprire nuove vulnerabilità proprie.

CVE-2026-33824: il double-free che colpisce Microsoft IKE

CVE-2026-33824 interessa il servizio Microsoft Internet Key Exchange (IKE), il protocollo usato per negoziare le connessioni VPN basate su IPsec. Il difetto è un bug di tipo double-free: la stessa area di memoria viene liberata due volte, condizione che un attaccante può manipolare per eseguire codice da remoto sul sistema bersaglio. Le vulnerabilità double-free in componenti di rete sono tra le più pericolose perché non richiedono credenziali valide, basta che il servizio sia raggiungibile in rete.

Per un’azienda europea, il rischio concreto riguarda i gateway VPN esposti su internet, spesso lasciati attivi per anni senza un inventario aggiornato. Chi gestisce accessi remoti basati su IKE dovrebbe verificare subito la versione installata e applicare la patch Microsoft rilasciata insieme all’avviso KEV.

CVE-2026-59310: path traversal su Broadcom VMware vCenter

VMware vCenter resta il pannello di controllo scelto dalla maggior parte delle grandi aziende europee per gestire ambienti virtualizzati. CVE-2026-59310 è una vulnerabilità di path traversal: consente a un attaccante di accedere a file o percorsi del filesystem che dovrebbero restare fuori dalla sua portata, aggirando i controlli di accesso previsti dall’applicazione. In un ambiente vCenter compromesso, questo può tradursi nell’esposizione di credenziali salvate o di configurazioni sensibili usate poi per compromettere l’intero cluster virtuale.

Broadcom, che ha acquisito VMware nel 2023, gestisce ora il ciclo di patching del prodotto con tempistiche diverse rispetto alla vecchia VMware indipendente, un cambiamento che alcuni reparti IT segnalano come fonte di confusione nella pianificazione degli aggiornamenti.

CVE-2026-55040 e CVE-2026-65400: SharePoint e macOS nel mirino

CVE-2026-55040 colpisce Microsoft SharePoint ed è classificata come vulnerabilità di autenticazione debole: gli attaccanti la sfruttano per ottenere accesso non autorizzato ai portali aziendali, aggirando o indebolendo i controlli di login previsti. SharePoint è già stato al centro di più campagne di sfruttamento nel corso del 2026, e questa nuova voce nel KEV conferma che i portali di collaborazione restano un bersaglio ricorrente per chi cerca un punto d’appoggio dentro reti aziendali.

CVE-2026-65400 riguarda invece Apple macOS ed è descritta come autenticazione impropria, un controllo d’accesso insufficiente che permette a un attaccante di autenticarsi in modo non corretto sui sistemi vulnerabili. È una delle poche volte quest’anno in cui macOS compare in un’aggiunta KEV insieme a più prodotti Microsoft nello stesso giorno, segno che gli endpoint Apple in ambito enterprise non sono più considerati un rifugio sicuro dagli attaccanti mirati.

Il trend di agosto: tutte le nuove voci del catalogo KEV

Le quattro CVE del 18 agosto non sono un episodio isolato. Tra il 9 luglio e il 5 agosto 2026, CISA ha aggiunto 26 voci al catalogo KEV sulla base di prove certe di sfruttamento attivo nel mondo reale (fonte: HackerStorm). Solo nella settimana del 10 agosto sono arrivate altre sei voci, seguite da tre ulteriori aggiunte nella settimana del 17 agosto. La tabella seguente riassume le CVE più rilevanti della finestra luglio-agosto, con vendor, tipo di falla e data di ingresso nel catalogo.

CVEProdotto / VendorTipo di vulnerabilitàCVSSData aggiunta KEV
CVE-2026-33824Microsoft IKE Service ExtensionsDouble-free / RCEN/D18 ago 2026
CVE-2026-59310Broadcom VMware vCenterPath traversalN/D18 ago 2026
CVE-2026-55040Microsoft SharePointAutenticazione deboleN/D18 ago 2026
CVE-2026-65400Apple macOSAutenticazione impropriaN/D18 ago 2026
CVE-2026-63077JetBrains TeamCityDeserializzazione dati non attendibili / RCE9.8 (Critical)5 ago 2026
CVE-2026-8037Progress LoadMasterCommand injection9.8 (Critical)7 ago 2026
CVE-2026-18556 / 18577N-able N-centralBypass autenticazione (percorso alternativo)N/DInizio ago 2026
CVE-2026-34486Apache TomcatCifratura mancante di dati sensibiliN/DFine lug 2026
CVE-2026-9198IBM LangflowCode injection / RCEN/DInizio ago 2026
CVE-2026-20316Cisco Secure Firewall Management CenterBypass autenticazione5.3 (Medium / Cisco SIR High)29 lug 2026

Dove il dato CVSS non è ancora stato pubblicato dal vendor o da CISA al momento della scrittura, la tabella riporta “N/D” invece di una stima: meglio un dato mancante che un numero inventato.

Il bersaglio nascosto: piani di gestione, RMM e pipeline CI/CD

Guardando l’elenco completo delle aggiunte di agosto, emerge un pattern che gli analisti di HackerStorm hanno segnalato esplicitamente: le sei vulnerabilità aggiunte nella settimana del 10 agosto colpiscono piani di gestione aziendale, strumenti RMM (Remote Monitoring and Management), pipeline CI/CD e orchestratori (fonte: HackerStorm, report settimanale). JetBrains TeamCity gestisce le pipeline di build per migliaia di team di sviluppo. N-able N-central è uno degli strumenti RMM più diffusi tra i managed service provider (MSP) europei, gli stessi fornitori che gestiscono l’IT di piccole e medie imprese in tutta Italia. IBM Langflow, entrato nel KEV a inizio agosto, è una piattaforma per orchestrare flussi di lavoro basati su modelli AI.

Colpire uno di questi strumenti non significa compromettere un solo sistema, ma potenzialmente tutti i client gestiti da quello strumento. È lo stesso schema che ha reso famosi gli attacchi alla supply chain degli MSP negli anni scorsi: un accesso, centinaia di vittime a valle. Per un MSP italiano che usa N-central per gestire decine di clienti, una falla di bypass dell’autenticazione come CVE-2026-18556 non è un problema locale, è un rischio sistemico per tutto il suo portafoglio clienti.

Cos’è il catalogo CISA KEV e perché conta anche fuori dagli USA

Il KEV non è un database di tutte le vulnerabilità conosciute: quel compito spetta all’NVD, il National Vulnerability Database gestito dal NIST statunitense (nvd.nist.gov). Il catalogo KEV, nato nel novembre 2021, è più piccolo e più mirato: raccoglie solo le falle per cui esiste una prova concreta di sfruttamento attivo, non semplici vulnerabilità teoricamente sfruttabili. Formalmente, la direttiva operativa vincolante che impone le scadenze di patching si applica solo alle agenzie civili federali statunitensi. Nella pratica, il catalogo è diventato lo standard informale a cui guardano i team di sicurezza in tutto il mondo, incluse le aziende europee soggette a normative come NIS2 e DORA, che richiedono processi di gestione del rischio informatico documentati.

Molti CISO europei usano ormai il KEV come filtro pratico per stabilire le priorità di patching: su centinaia di CVE pubblicate ogni settimana, quelle nel catalogo CISA sono per definizione già sotto attacco, quindi vanno corrette prima di tutte le altre, indipendentemente dal punteggio CVSS teorico.

KEV vs NVD vs EPSS: quale sistema guardare per primo

I team di sicurezza hanno oggi almeno tre sistemi di riferimento per dare priorità alle patch, e non sono intercambiabili. Il KEV di CISA elenca solo ciò che è già sfruttato: è piccolo, aggiornato quasi ogni giorno, ma reattivo per natura, perché una CVE entra nel catalogo solo dopo che qualcuno l’ha già usata in un attacco reale. L’NVD del NIST è l’archivio più ampio, con decine di migliaia di voci, ma non distingue tra vulnerabilità sfruttate e vulnerabilità solo teoriche. L’EPSS (Exploit Prediction Scoring System) prova a colmare il divario assegnando a ogni CVE una probabilità statistica di sfruttamento futuro, calcolata su modelli predittivi, utile per anticipare i problemi prima che finiscano nel KEV.

La combinazione più efficace, secondo i tracker di settore come SQ Magazine, è usare l’EPSS per individuare i candidati a rischio, il CVSS per capire la gravità tecnica e il KEV come conferma finale che giustifica una finestra di patching di emergenza fuori dai cicli ordinari.

Confronto storico: le ondate KEV del 2026

Il 2026 ha già visto diverse ondate di aggiunte al catalogo KEV, ognuna con un profilo diverso. A maggio, CISA aveva aggiunto sette voci di cui cinque relative a falle vecchie tra i sedici e i diciotto anni, un episodio raccontato in dettaglio nel nostro articolo precedente sul catalogo KEV, insieme all’arrivo della direttiva BOD 26-04 che ha cambiato le regole di remediation per le agenzie federali USA. L’ondata di agosto è diversa: non riguarda software abbandonato, ma prodotti enterprise di punta, aggiornati e ampiamente supportati.

Periodo 2026Nuove voci KEVVendor principaliTema dominante
20 maggio7Microsoft Defender + 5 CVE storiche (2008-2010)Software legacy senza patch
9 luglio – 5 agosto26Cisco, JetBrains, Progress, N-able, Apache, IBMAccumulo estivo di sfruttamenti multipli
Settimana 10 agosto6JetBrains, Progress, N-able, Apache, IBMPiani di gestione, RMM, CI/CD, orchestratori AI
Settimana 17 agosto3Cisco, Microsoft e altriContinuità del trend estivo
18 agosto4Microsoft, Broadcom VMware, AppleProdotti enterprise core: rete, virtualizzazione, collaborazione, endpoint

Sommando le ultime settimane, il ritmo di agosto supera i sei nuovi ingressi settimanali in media, un livello che i tracker di settore descrivono come superiore alla media dei mesi precedenti dello stesso anno (fonte: Senserva, tracker KEV in tempo reale).

Impatto sul mercato: cosa cambia per le aziende europee

Per le aziende italiane ed europee, l’impatto pratico di ogni nuova voce KEV si misura su tre livelli. Primo, il livello operativo: ogni CVE aggiunta al catalogo diventa automaticamente una priorità di patching immediata per i reparti IT, spesso fuori dai cicli mensili già pianificati, con conseguente pressione su team già oberati. Secondo, il livello contrattuale: molte polizze di cyber-assicurazione e molti contratti B2B iniziano a citare esplicitamente il catalogo KEV come riferimento per definire cosa costituisce negligenza nella gestione delle patch, rendendo il mancato aggiornamento un rischio anche legale, non solo tecnico. Terzo, il livello normativo: con la direttiva NIS2 pienamente in vigore negli Stati membri UE, le aziende dei settori essenziali e importanti devono già dimostrare processi strutturati di gestione delle vulnerabilità, e il KEV è diventato una fonte pratica per costruire quella documentazione.

Per i managed service provider italiani, il rischio è amplificato dalla natura degli strumenti colpiti quest’agosto: N-able N-central e piattaforme simili sono scelte proprio dagli MSP per gestire centinaia di endpoint clienti da un’unica console. Una violazione in quella console si propaga a valle senza che i singoli clienti finali abbiano commesso alcun errore.

Il legame con il ransomware

I tracker che monitorano il catalogo KEV segnalano per ciascuna voce se la vulnerabilità è già stata osservata in campagne ransomware attive, un dato particolarmente rilevante per le organizzazioni europee che condividono le stesse piattaforme dei bersagli statunitensi (fonte: CyberExperts). Le vulnerabilità di bypass dell’autenticazione e di esecuzione di codice da remoto, come diverse tra quelle aggiunte questo mese, sono storicamente le più appetibili per i gruppi ransomware perché offrono un accesso iniziale rapido e ripetibile su larga scala, senza bisogno di ingegneria sociale.

La stessa settimana in cui CISA aggiungeva le quattro CVE critiche, i bollettini di settore riportavano nuove vittime di gruppi di data-extortion attivi in Europa, segno che il collegamento tra vulnerabilità sfruttate e attacchi di estorsione dati resta stretto per tutta l’estate 2026.

Come rispondere: priorità di patching per i team IT

Di fronte a un’ondata come questa, l’errore più comune è cercare di applicare tutte le patch nello stesso giorno. Un approccio più realistico segue quattro passaggi. Primo, verificare l’esposizione reale: quali sistemi in produzione usano IKE, vCenter, SharePoint o macOS in configurazioni raggiungibili dall’esterno o da segmenti di rete non fidati. Secondo, dare priorità assoluta ai sistemi con RCE confermata (IKE e SharePoint in questo caso) rispetto a quelli con impatto più limitato. Terzo, isolare temporaneamente i servizi che non possono essere patchati subito, ad esempio restringendo l’accesso di rete a vCenter o disattivando temporaneamente funzionalità non essenziali. Quarto, verificare i log delle ultime settimane per segni di compromissione pregressa, perché una CVE aggiunta al KEV oggi potrebbe essere stata sfruttata contro un’organizzazione già settimane prima della disclosure pubblica.

# Esempio: interrogare il feed pubblico del catalogo CISA KEV in formato JSON
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq '.vulnerabilities[] | select(.cveID | startswith("CVE-2026"))'

Un piccolo script come questo, integrato in una pipeline di monitoraggio interna, permette a un team di sicurezza di ricevere un alert automatico ogni volta che compare una nuova CVE del 2026, senza dover controllare manualmente il sito CISA ogni giorno.

Contesto storico: dal 2021 a oggi

Il catalogo KEV è nato nel novembre 2021 con poco più di 200 voci iniziali, pensato come strumento interno per le agenzie federali statunitensi dopo una serie di incidenti legati a vulnerabilità note ma mai corrette. Negli anni successivi è cresciuto fino a includere migliaia di CVE, diventando di fatto un riferimento globale citato da vendor di sicurezza, tracker indipendenti e, sempre più spesso, da normative europee che non lo menzionano esplicitamente ma ne condividono la logica: dare priorità a ciò che è già sotto attacco, non solo a ciò che è teoricamente pericoloso. L’ondata di agosto 2026, con il suo mix di prodotti enterprise di punta e strumenti di gestione IT, conferma che il catalogo continua a evolversi insieme alle tattiche reali degli attaccanti.

Previsioni: cosa aspettarsi nei prossimi mesi

  • Il ritmo delle aggiunte resterà elevato. Con una media di oltre sei nuove voci a settimana registrata ad agosto, è probabile che il catalogo KEV chiuda il 2026 con un numero di aggiunte superiore agli anni precedenti.
  • Gli strumenti RMM e CI/CD diventeranno bersagli ricorrenti. La logica di attacco “un accesso, centinaia di vittime a valle” rende questi strumenti economicamente più convenienti da colpire rispetto a endpoint singoli.
  • Le normative europee si allineeranno sempre più al ritmo CISA. Con NIS2 in fase di applicazione negli Stati membri, è plausibile che ENISA e le autorità nazionali, incluso il ruolo dell’Agenzia per la Cybersicurezza Nazionale in Italia, useranno il KEV come riferimento pratico per le scadenze di remediation nei settori critici.
  • Broadcom e Microsoft saranno sotto pressione per patch più rapide. Con vCenter e più prodotti Microsoft comparsi nel KEV nello stesso mese, i clienti enterprise chiederanno finestre di rilascio delle patch più brevi rispetto ai cicli attuali.
  • Cresceranno i casi di doppio sfruttamento. Più CVE del KEV finiranno per essere collegate a campagne ransomware attive, secondo il pattern già osservato nei tracker di settore per gran parte dell’estate 2026.

Domande frequenti

Cos’è il catalogo CISA KEV?

È l’elenco ufficiale della Cybersecurity and Infrastructure Security Agency statunitense che raccoglie solo le vulnerabilità per cui esiste una prova concreta di sfruttamento attivo, a differenza di database più ampi come l’NVD che includono tutte le CVE conosciute, sfruttate o meno.

Le scadenze CISA si applicano anche alle aziende italiane?

Formalmente no: la direttiva operativa vincolante riguarda solo le agenzie civili federali statunitensi. Nella pratica, molte aziende europee usano comunque il catalogo KEV come riferimento volontario per dare priorità alle patch, e alcune polizze assicurative e normative come NIS2 iniziano a citarlo indirettamente nei processi di gestione del rischio.

Cosa succede se un’azienda non applica la patch dopo un’aggiunta al KEV?

Per le agenzie federali USA scatta l’obbligo di remediation entro la scadenza fissata da CISA. Per le aziende private non c’è un obbligo diretto, ma il rischio operativo resta identico: la CVE è già sfruttata attivamente, quindi ogni giorno di ritardo aumenta la probabilità concreta di un incidente.

Qual è la differenza tra CVSS e KEV?

Il CVSS misura la gravità tecnica teorica di una vulnerabilità su una scala da 0 a 10. Il KEV, invece, non misura la gravità: conferma solo che quella vulnerabilità è già stata usata in un attacco reale, indipendentemente dal suo punteggio CVSS.

Tutte le CVE del KEV sono legate al ransomware?

No, ma una parte significativa sì. I tracker di settore etichettano ogni voce del catalogo con un flag “uso ransomware noto” quando esistono prove di quel collegamento, e questa etichetta viene aggiornata regolarmente man mano che emergono nuove informazioni.

Come posso monitorare in tempo reale le nuove voci del catalogo KEV?

CISA pubblica un feed JSON pubblico aggiornato quotidianamente, che può essere interrogato con uno script automatizzato come quello mostrato più sopra. In alternativa, esistono tracker di terze parti che inviano notifiche via email o RSS a ogni nuovo aggiornamento.

Cos’è l’EPSS e in cosa differisce dal KEV?

L’Exploit Prediction Scoring System assegna a ogni CVE una probabilità statistica di sfruttamento futuro basata su modelli predittivi. È uno strumento previsionale, mentre il KEV è una conferma retrospettiva: elenca solo ciò che è già accaduto, non ciò che potrebbe accadere.

Perché gli strumenti RMM sono diventati un bersaglio così frequente nel 2026?

Perché offrono un accesso centralizzato a molti sistemi client contemporaneamente. Compromettere un singolo strumento RMM usato da un managed service provider può dare a un attaccante l’accesso indiretto a decine o centinaia di reti aziendali gestite da quel fornitore, un rapporto costo-beneficio molto più vantaggioso rispetto a colpire un bersaglio singolo.