Una nuova vulnerabilità zero day sta colpendo PaperCut NG e PaperCut MF, due soluzioni molto diffuse per la gestione della stampa in ambito aziendale. Secondo l’avviso di sicurezza, l’attacco risulta in corso e interessa tutte le versioni del prodotto, con casi reali già confermati in ambienti di clienti.

Il governo regionale di Berlino ha confermato di essere finito nel mirino di un tentativo di estorsione dopo la compromissione della rete amministrativa statale avvenuta ad agosto e ha dichiarato che non pagherà le richieste dei criminali. L’incidente riguarda il landesnetz, la rete usata da strutture pubbliche, e ha portato a una sottrazione di dati la cui portata e contenuto sono ancora in fase di analisi.

Una nuova campagna di truffe online sta prendendo di mira chi ha subito il furto o lo smarrimento di un iPhone o di altri dispositivi Apple, sfruttando chiamate automatizzate con voce generata da intelligenza artificiale che si spacciano per Apple Support. Lo scopo è ottenere il codice di sblocco del dispositivo e i codici di autenticazione a due fattori, passaggi chiave per rimuovere il blocco di attivazione e monetizzare rapidamente i dispositivi rubati.

Nel panorama della cybersecurity di questa settimana emerge un filo conduttore chiaro: la fiducia è ancora troppo economica e l’attrito per gli attaccanti resta basso. I criminali informatici continuano a entrare nei sistemi sfruttando esche semplici ma credibili, come pagine di login fasulle, finti controlli di sicurezza e applicazioni apparentemente utili che in realtà nascondono malware.

La polizia federale australiana ha incriminato due uomini dell’Australia Occidentale per un totale di 14 reati legati alla presunta partecipazione a TeamPCP, un gruppo di cybercrime associato a gravi attacchi supply chain che nel marzo 2026 hanno colpito strumenti open source e componenti critici delle pipeline di sviluppo.

Al centro del caso ci sono compromissioni che hanno coinvolto scanner di sicurezza come Trivy e Checkmarx KICS e anche LiteLLM, un gateway usato per instradare richieste verso diversi provider di modelli linguistici e quindi potenzialmente esposto a chiavi e credenziali sensibili.

Indagini, perquisizioni e capi di imputazione

Le perquisizioni e i sequestri di dispositivi elettronici hanno permesso di avviare analisi forensi, mentre le accuse includono possesso e fornitura di dati con intento di commettere reati informatici e modifica non autorizzata di dati con intento di commettere reati gravi.

In alcuni capi di imputazione compaiono anche contestazioni più pesanti legate alla mancata ottemperanza a ordini specifici e alla gestione di proventi di reato, con pene massime che possono arrivare fino a 20 anni in base alla tipologia.

Come avrebbe operato la campagna supply chain

Dal punto di vista tecnico la campagna supply chain avrebbe funzionato rubando credenziali di pubblicazione da progetti ritenuti affidabili e distribuendo versioni avvelenate attraverso gli stessi canali ufficiali di rilascio.

Gli ecosistemi toccati includono GitHub Actions, Docker Hub, npm, PyPI e OpenVSX, ciò che rende il rischio particolarmente elevato perché la compromissione si propaga lungo la catena di dipendenze e automazioni CI/CD.

Un elemento chiave è la riutilizzazione delle credenziali sottratte da un progetto per attaccarne un altro, creando un effetto domino.

Il caso LiteLLM e le raccomandazioni di mitigazione

Nel caso LiteLLM, l’installazione di Trivy senza un vincolo a una versione verificata avrebbe facilitato l’acquisizione del token di pubblicazione e la successiva distribuzione di release con backdoor.

Le stime sull’impatto parlano di oltre mille organizzazioni potenzialmente esposte, centinaia di migliaia di credenziali sottratte e grandi volumi di dati esfiltrati.

Le autorità e le agenzie di sicurezza hanno raccomandato di considerare le credenziali rubate come un rischio persistente, ruotando segreti CI/CD, token di pubblicazione e credenziali cloud e adottando pratiche come il pinning dei workflow a commit SHA verificati invece di tag di versione variabili.

Molti titolari di piccole imprese credono di essere troppo piccoli per attirare l’attenzione dei criminali informatici. In realtà proprio le PMI sono spesso il bersaglio preferito, perché in media dispongono di meno risorse, processi e strumenti di cybersecurity rispetto alle grandi aziende.

I ricercatori di sicurezza informatica hanno individuato nuova infrastruttura e malware finora non documentati collegati a Nimbus Manticore, un gruppo di cyber spionaggio associato all’Iran e considerato tra i più attivi nel 2026. Le analisi indicano che il gruppo opera con una rete di server e risorse distribuite, con una presenza rilevante in Europa e in Medio Oriente, segnale di un possibile ampliamento del profilo di targeting verso nuovi Paesi e settori.

Negli ultimi mesi le campagne di phishing contro Microsoft 365 stanno diventando più sofisticate grazie a strumenti di tipo adversary in the middle. Tra questi spicca NovaCookies, un toolkit che agisce come proxy e intercetta in tempo reale il flusso di autenticazione, riuscendo a rubare la sessione anche quando la vittima inserisce correttamente password e codici MFA.

Nel recap settimanale di cybersecurity emergono segnali chiari su come le minacce stiano diventando più rapide e accessibili grazie all’uso dell’intelligenza artificiale e allo sfruttamento di servizi esposti su internet.

Il caso più rilevante riguarda gli attacchi ai PLC Siemens S7, controllori logici programmabili presenti in settori critici come acqua, energia e manifattura. La combinazione tra dispositivi industriali non segmentati e script generati con AI rende più semplice individuare e colpire infrastrutture operative. Gli attori malevoli utilizzano piattaforme di scansione legittime come Censys e ZoomEye per trovare PLC raggiungibili online e poi distribuiscono strumenti che si presentano come software di monitoraggio, ma in realtà servono a testare e perfezionare exploit su modelli specifici. Anche un accesso in sola lettura può essere sufficiente per mappare l’ambiente e preparare successive operazioni di scrittura con impatti su sicurezza, continuità operativa e conformità.

Un altro tema centrale è la velocità con cui le vulnerabilità vengono attaccate dopo la divulgazione pubblica. La falla critica in GitLab identificata come CVE 2026 19478 è un esempio di come l’exploitation possa iniziare in pochi giorni, con rischi concreti per progetti pubblici modificabili o cancellabili senza autenticazione in determinate condizioni. Sul fronte supply chain si segnalano pacchetti npm trojanizzati che fingono di essere utility innocue ma installano backdoor Linux, dimostrando quanto la sicurezza delle dipendenze open source sia un punto debole ricorrente.

Crescono anche i rischi legati a credenziali e chiavi esposte. La perdita di chiavi API Stripe e di chiavi AWS con privilegi elevati evidenzia quanto sia pericoloso trattare questi segreti come semplici password. Una chiave attiva può consentire accesso programmatico completo, inclusi addebiti, rimborsi e deviazione dei pagamenti, oppure controllo amministrativo su ambienti cloud.

Infine, la ricerca continua a mostrare tecniche avanzate ma realizzabili, come attacchi Spectre in ambienti edge e frodi contactless basate su relay che aggirano controlli senza rompere la crittografia, segnalando che anche scenari complessi possono diventare pratici con gli strumenti giusti.

Negli ultimi mesi le campagne di malware su Windows stanno sfruttando sempre di più tecniche di ingegneria sociale e catene di infezione a più stadi. Due famiglie emerse in modo evidente sono WordlistLoader e SynkLoader, entrambe progettate per aprire la strada a payload successivi e per facilitare il furto di credenziali e l’accesso iniziale agli ambienti aziendali.