L'undici febbraio il SOC enterprise ha smesso di funzionare:…

L'11-17 febbraio 2026 sette zero-day critiche multiple hanno colpito simultaneamente Ivanti, BeyondTrust, Microsoft, Apple e Chrome. I SOC non sono dimensionati per

{"main_topic":"cybersecurity","topics":["cybersecurity","vulnerabilita","zero-day","patch","enterprise","cve"]}

Tra l'11 e il 17 febbraio 2026, una concentrazione senza soluzione di continuità di vulnerabilità zero-day critiche ha messo in crisi il modello operativo dei security operation center enterprise. Ivanti EPMM con due CVE CVSS 9.8, BeyondTrust con CVE-2026-1731 a 9.9, sei zero-day Microsoft attivamente sfruttati, un zero-day Apple in un attacco definito "estremamente sofisticato" e 30 estensioni Chrome malevole che hanno raggiunto oltre 260.000 utenti: il volume e la severità hanno ecceduto la capacità di risposta sequenziale su cui i team di sicurezza fondano il loro patching. La domanda non è più se un singolo prodotto sia vulnerabile, ma se l'architettura difensiva nel suo complesso possa reggere a una densità di eventi progettata per sovraccaricarla.

Punti chiave

Nell'arco di sette giorni, tra l'11 e il 17 febbraio 2026, si è verificata una concentrazione critica di vulnerabilità zero-day multiple su prodotti core enterprise: Ivanti EPMM, BeyondTrust, Microsoft, Apple e Chrome, con vettori aggiuntivi supply chain.
Ivanti EPMM ha subito due RCE non autenticate, CVE-2026-1281 e CVE-2026-1340, entrambe CVSS 9.8, con vittime governative confermate nei Paesi Bassi, in Finlandia e nella Commissione Europea, quest'ultima contenuta in 9 ore.
La campagna Ivanti ha esibito un pattern "sleeper webshell" con Java class loader in-memory a /mifs/403.jsp, attivabile solo con parametro specifico, coerente con operazioni di accesso iniziale che verificano l'exploitabilità prima di dispiegare tooling successivo.
BeyondTrust CVE-2026-1731 ha mostrato un tempo di sfruttamento in-the-wild di meno di 24 ore dal PoC, con circa 11.000 istanze esposte stimate, mentre le estensioni Chrome "AiFrame" hanno condiviso infrastruttura tapnetic.pro con oltre 260.000 utenti potenzialmente impattati.

Ivanti EPMM: la piattaforma di fiducia diventa piattaforma di movimento laterale

Le due vulnerabilità CVE-2026-1281 e CVE-2026-1340, divulgate il 29 gennaio 2026, hanno riguardato Ivanti Endpoint Manager Mobile, soluzione di mobile device management implementata in istituzioni governative europee. Entrambe sono classificate RCE non autentica con CVSS 9.8 secondo il National Vulnerability Database. La Dutch Data Protection Authority, il Council for the Judiciary dei Paesi Bassi, la Commissione Europea e Valtori, l'agenzia digitale finlandese con circa 50.000 dipendenti governativi a supporto, hanno confermato impatti documentati.

Secondo le rilevazioni di GreyNoise, tra il 1° e il 9 febbraio si sono registrate 417 sessioni di exploitation, con picco di 269 in un singolo giorno, l'8 febbraio. Il dato quantitativo più rilevante: 346 di queste sessioni, pari all'83%, sono originate da un unico indirizzo IP, 193.24.123[.]42, ospitato sull'infrastruttura bulletproof di PROSPERO OOO, AS200593, con sede operativa a San Pietroburgo. Questa concentrazione suggerisce un attore consolidato, non una proliferazione spontanea di exploitation.

HelpNetSecurity ha documentato un meccanismo tecnico specifico: la campagna ha impiegato webshell dormienti basate su Java class loader in-memory, posizionate al percorso /mifs/403.jsp, attivabili esclusivamente tramite parametro specifico. GreyNoise ha confermato che "non si osserva malware dispiegato, non si osserva esfiltrazione dati: verificano l'accesso", in linea con operazioni di accesso iniziale che testano l'exploitabilità prima di introdurre tooling di follow-on. Questo pattern aggiunge una latenza incalcolabile al rischio: la compromissione è avvenuta, ma la fase di sfruttamento effettivo è rimasta sospesa, rendendo la detection per comportamento meno efficace.

"Nessun SOC al mondo è dimensionato per gestire tutto questo contemporaneamente. Ed è esattamente questo il punto."

BeyondTrust: il tempo di reazione si è compresso sotto le 24 ore

BeyondTrust Remote Support e Privileged Remote Access hanno subito CVE-2026-1731, OS command injection con CVSSv4 9.9. Il PoC è stato pubblicato il 10 febbraio 2026; GreyNoise ha rilevato il primo sfruttamento in-the-wild il 12 febbraio, entro un arco temporale di meno di 24 ore. Il 13 febbraio, CISA ha aggiunto la vulnerabilità al catalogo KEV (Known Exploited Vulnerabilities). Stime di Hacktron AI indicano circa 11.000 istanze esposte globalmente, di cui circa 8.500 on-premise vulnerabili.

Questa timeline comprime drasticamente la finestra di patching tradizionale. Il modello enterprise standard — disclosure, valutazione, testing, deployment — richiede tipicamente giorni o settimane. Quando il sfruttamento inizia prima che molte organizzazioni abbiano completato la fase di valutazione, il patching diviene reattivo per costruzione, non per scelta.

La convergenza sincronizzata: un attacco al modello, non solo ai prodotti

ICT Security Magazine ha catalogato l'evento come una crisi strutturale del patch management, non come sequenza casuale di incidenti. Microsoft Patch Tuesday dell'11 febbraio ha portato 59 vulnerabilità, di cui sei zero-day attivamente sfruttati e tre divulgate pubblicamente prima delle patch. Apple ha contemporaneamente segnalato un zero-day in febbraio 2026 inserito in un attacco definito "estremamente sofisticato". LayerX ha rivelato la campagna "AiFrame" contro Chrome: 30 estensioni con stesso codebase, permessi e infrastruttura backend tapnetic.pro, alcune contrassegnate "Featured" nel Chrome Web Store, con oltre 260.000 utenti.

Il dato non è la singola vulnerabilità, ma la loro simultaneità. Ogni prodotto colpito occupa una posizione architetturale distinta: Ivanti EPMM come controllo perimetrale mobile, BeyondTrust come accesso privilegiato, Microsoft come piattaforma core, Apple come endpoint, Chrome come vettore utente. Quando tutti richiedono attenzione contemporanea, il SOC deve segmentare risorse già scarse tra patching, detection, threat hunting e risposta incidenti. La supply chain ha aggiunto campagne di poisoning npm/PyPI collegate al Lazarus Group, secondo quanto riportato.

Questa struttura suggerisce una consapevolezza dell'architettura difensiva avversaria. Ivanti EPMM in particolare ha storia documentata di vulnerabilità critiche ricorrenti: CVE-2023-35078 nel luglio 2023 con impatto sul governo norvegese, CVE-2025-4427/4428 nel maggio 2025 con nesso stato-cinese, ToolShell/APT27/APT31 nel luglio 2025. La persistenza di questa soluzione in ambienti governativi europei solleva questioni di due diligence vendor che trascendono la risposta tecnica.

Cosa fare adesso

Verificare la presenza di Ivanti EPMM nell'inventario asset e controllare specificamente il percorso /mifs/403.jsp per webshell in-memory, attivabile solo con parametro dedicato, dato che il pattern documentato non prevede esfiltrazione immediata ma verifica di accesso differito.
Prioritizzare l'aggiornamento di BeyondTrust Remote Support e Privileged Remote Access entro le 24 ore dalla disponibilità della patch, dato che il tempo di sfruttamento in-the-wild è stato inferiore a un giorno dal PoC.
Rivedere le estensioni Chrome aziendali verificando la presenza di permessi di injection iframe verso domini esterni, con particolare attenzione a quelle che contattano infrastruttura tapnetic.pro o condividono codebase cross-extension non giustificato.
Ricalibrare la capacità di patching verso un modello di resilienza con assumzione di compromissione, dato che la densità di zero-day critiche nella finestra 11-17 febbraio ha superato la soglia di gestibilità sequenziale del modello reattivo standard.

Il pattern "zero-day clustering" richiede un ripensamento strategico

La lettura tecnica non è che le singole vulnerabilità siano tecnicamente insolite: Ivanti ha una storia documentata, BeyondTrust ha mostrato tempi di exploitation già osservati in altri contesti, Microsoft gestisce volumi analoghi di patch. La novità è la densità temporale e la distribuzione architetturale. Quando il SOC deve gestire simultaneamente RCE su MDM, command injection su accesso privilegiato, sei zero-day su piattaforma core, estensioni browser e supply chain, il collo di bottiglia diventa la capacità di attenzione organizzativa, non la disponibilità tecnica di patch.

Benjamin Harris, CEO di watchTowr, ha formulato il problema in termini di fiducia architetturale: "Gli attaccanti prendono di mira i sistemi enterprise più affidati, profondamente integrati. Tutto ciò che è considerato 'interno' o 'sicuro' va ora guardato con sospetto". Questo sposta il perimetro dalla rete ai presupposti di confidenzialità dei sistemi di gestione. L'impatto concreto è che la segmentazione tradizionale perde efficacia quando il punto di ingresso è il dispositivo di management stesso.

Il dossier non stabilisce una coordinazione esplicita tra le diverse campagne, né attribuisce a un singolo attore l'intera sequenza. PROSPERO OOO ospita l'infrastruttura di exploitation Ivanti ma il nesso con BeyondTrust, Microsoft, Apple o Chrome non è documentato. Ciò che emerge è però un pattern sistemico: la supply chain di exploit opera con una consapevolezza del calendario di disclosure e della fisica dei SOC, sfruttando la concentrazione temporale per massimizzare la probabilità di successo.

Per i CISO e i decisori, la crisi dell'11-17 febbraio non è un incidente isolato ma un test di stress del modello operativo. La risposta non può essere incrementale: richiede un ripensamento della resilienza come proprietà sistemica, non come somma di patch individuali. La domanda che resta aperta è se l'industria enterprise sia pronta a trattare la sicurezza come gestione del rischio sotto vincolo di risorse finite, piuttosto che come eliminazione sequenziale di vulnerabilità.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti