Gli attacchi informatici prendono di mira le vulnerabilità di Linux, Android e Sitecore

Attacchi attivi su server Linux, dispositivi mobili Android e piattaforme Sitecore: gli avvisi si stanno accumulando. La CISA sta già osservando compromissioni, nonostante le patch disponibili. Gli aggressori stanno capitalizzando su sistemi che sono stati ignorati per gli aggiornamenti. Il tempo dei dubbi è finito, ma è necessario agire immediatamente per prevenire l’escalation e il ransomware multipiattaforma.

Kernel Linux: rapido sfruttamento della vulnerabilità TOCTOU CVE-2025-38352

Da luglio, i ricercatori di Trend Micro e Kaspersky hanno monitorato gli script che prendono di mira la race condition che interessa handle_posix_cpu_timers(). La vulnerabilità, classificata come 7.4, interessa le versioni dalla 2.6.36 alla 6.16.3. Una semplice richiesta temporizzata innesca un’escalation dei privilegi. Su un provider di hosting con sede a Parigi, un aggressore ha trasformato un container isolato in superutente in meno di trenta secondi. I log mostrano l’esecuzione di un binario scaricato da un server Tor, poi mascherato da un rootkit artigianale. Fortinet rileva ora questo codice nel 12% degli avvisi IDS. La popolarità dei container non patchati amplifica il rischio, poiché le immagini Docker pubbliche non vengono sempre ricompilate dopo un aggiornamento del kernel. Palo Alto Networks sottolinea: la procedura corretta rimane quella di riavviare i nodi una volta aggiornato il kernel, altrimenti il ​​vecchio codice rimane attivo. Android e CVE-2025-48543: Sandbox Escape, Accesso completo al dispositivo

La falla

Use-after-Free nel motore Chrome incorporato apre le porte al processo system_server . Valutato 8,8, non richiede alcuna interazione. Su una flotta di smartphone di un’azienda di trasporti, l’aggressore ha pubblicato un sito web trappola; in cinque secondi, un malware bancario ha ottenuto i privilegi di sistema.Check Point elenca già più di mille varianti in grado di installare backdoor persistenti. Le patch di settembre sono disponibili per Android dalla versione 13 alla 16, ma solo il 38% dei dispositivi europei le ha ricevute, secondo ESET. Gli app store di terze parti stanno peggiorando la situazione: alcuni distribuiscono ancora APK compilati prima della patch. Data questa discrepanza, Bitdefender consiglia di richiedere la verifica di SafetyNet prima di qualsiasi distribuzione interna. La scala mobile sta ridefinendo la superficie di attacco: un singolo telefono compromesso è spesso sufficiente per penetrare nella rete aziendale tramite il servizio email o VPN. Sitecore: la deserializzazione critica CVE-2025-53690 mette sotto pressione i CMS. Individuata da Mandiant in un incidente bancario, la falla di deserializzazione sfrutta campioni di chiavi macchina rimaste in produzione. Con un punteggio CVSS di 9,0, consente l’iniezione di DLL da remoto. In un caso da manuale, un consulente ha clonato il repository GitLab di un cliente; la chiave di prova era ancora attiva. Il risultato: una web shell eseguita in due richieste. Symantec ora riconduce questo attacco alle campagne del gruppo Nokoyawa, che ama combinare Linux e Sitecore per offuscare la risposta. La protezione prevede la rotazione immediata delle chiavi e l’attivazione della modalità di “hardening” introdotta nella versione 10.3. I team SOC notano che molti server di marketing meno monitorati utilizzano ancora la versione 9.x, un terreno fertile perfetto per i criminali informatici. L’automazione di Ansible può correggere la configurazione, a condizione che i playbook non ignorino la cartella App_Config. Tattiche ibride: ransomware multipiattaforma e catene di exploit automatizzateLe campagne recenti simulano il sistema di destinazione. Lo strumento open source “Erebus” compila un loader per file .ELF, .DEX e .DLL con un singolo comando. McAfee segnala un aumento del 48% degli incidenti misti in un trimestre, un fenomeno già previsto da Check Point Research

nel 2024. Gli operatori prima crittografano i backup, poi lanciano un attacco DDoS per accelerare le negoziazioni. Un provider di hosting con sede a Lione ha visto il suo cloud privato saturato, mentre le VM Windows e Linux erano già tenute in ostaggio.

Sophos

osserva che gli exploit kit integrano la serie CVE 2025 nella loro pipeline CI/CD: non appena viene rilasciata una patch, la firma viene aggiornata. Questa industrializzazione riduce il divario tra vulnerabilità e attacco a poche ore. I CISO devono quindi anticipare, non seguire. Questa dinamica sconvolge gli SLA tradizionali: la finestra di 30 giorni per l’applicazione di una patch importante non è più sostenibile quando l’exploit arriva entro 24 ore.Azioni immediate: applicare patch, segmentare e monitorare costantemente Il primo passo rimane la gestione delle patch

. I kernel interessati vengono pubblicati; un riavvio notturno programmato ne limita l’impatto. Su Android, l’MDM deve forzare la versione di sicurezza minima. Per Sitecore, l’audit delle chiavi e l’attivazione obbligatoria dei moduli WAF forniscono un ulteriore scudo. Poi c’è la segmentazione della rete, raccomandata da Palo Alto Networks: isolare i server CMS dalle condivisioni interne PostgreSQL e NFS. Infine, il monitoraggio. Gli EDR di Bitdefender e Trend Micro rilevano già chiamate di sistema anomale relative a handle_posix_cpu_timers(). L’aggiunta di regole YARA focalizzate su CVE-2025-53690 blocca il caricamento di payload binari. Infine, la formazione del team rimane fondamentale. Un’esercitazione trimestrale di risposta agli incidenti, supportata dai playbook open source di Fortinet, riduce l’MTTR della metà, secondo il feedback pubblicato al FIC 2025. Le organizzazioni che impiegano meno di 72 ore tra l’avviso CISA e l’implementazione della patch riducono la superficie sfruttabile dell’85%, secondo uno studio interno di Sophos.

Di fronte ad aggressori sempre più veloci, solo un ciclo di miglioramento continuo garantisce la resilienza.