Operational Summary ACN: la minaccia cyber di luglio 2026 in sintesi

Il 20 agosto 2026 CSIRT Italia, il team di risposta agli incidenti dell'Agenzia per la Cybersicurezza Nazionale (ACN), ha pubblicato l'Operational Summary di luglio 2026 (codice PL01/260820/CSIRT-ITA). È il report mensile con cui l'autorità nazionale fotografa l'andamento della minaccia cyber in Italia: incidenti, vulnerabilità più gravi, vettori di attacco e settori colpiti. Ecco la sintesi tecnica dei dati più rilevanti.

I numeri di luglio: incidenti stabili, eventi in calo

Nel mese di luglio CSIRT Italia ha registrato 188 incidenti, sostanzialmente allineati con giugno (182, +3%). Gli eventi complessivi sono stati 305, in diminuzione del 28% rispetto al mese precedente. La flessione è riconducibile principalmente a due fattori: l'assenza di campagne DDoS di matrice hacktivista e il minor numero di eventi che hanno coinvolto fornitori di servizi IT con ripercussioni su più organizzazioni.

Le principali minacce osservate negli eventi di luglio sono state il defacement di siti web, la compromissione di caselle e-mail e l'esposizione di dati.

La campagna di defacement su Joomla

L'episodio più significativo del mese è stata una campagna di defacement che ha colpito oltre 60 siti web basati sul CMS Joomla. I bersagli appartenevano prevalentemente alla pubblica amministrazione locale, ma anche a enti di ricerca, università e imprese del settore tecnologico. La selezione era di natura opportunistica: i sistemi compromessi erano scelti in funzione della vulnerabilità esposta, non del settore di appartenenza.

L'impatto è rimasto circoscritto all'alterazione di alcune pagine web, senza ripercussioni sull'operatività o sulla continuità dei servizi: i contenuti alterati si limitavano ad attestare l'avvenuta compromissione, senza messaggi di natura hacktivista. La campagna ha confermato lo sfruttamento attivo della vulnerabilità critica CVE-2026-48907 nell'estensione Joomla Content Editor (JCE), già segnalata da CSIRT Italia il 15 giugno scorso.

Settori più colpiti e ransomware

Le vittime degli eventi cyber di luglio si distribuiscono così: pubblica amministrazione locale (principalmente defacement), manifatturiero (phishing e compromissioni di caselle e-mail), settore tecnologico (esposizione dati) e telecomunicazioni (compromissione di caselle e-mail, con la stessa incidenza del tecnologico).

Per quanto riguarda il ransomware, i settori più colpiti sono stati vendita al dettaglio, manifatturiero e tecnologico. I vettori di compromissione principali: sfruttamento di vulnerabilità note, utilizzo di credenziali valide precedentemente compromesse e servizi esposti. Nessuna campagna di particolare rilevanza contro soggetti nazionali è stata osservata nel mese.

Vettori di accesso iniziale

In ordine di rilevanza, i vettori osservati da CSIRT Italia a luglio sono: lo sfruttamento di vulnerabilità (primo vettore, in relazione alla campagna di defacement), la posta elettronica come canale per phishing e spear phishing, lo sfruttamento di credenziali valide già compromesse e, con minore incidenza, l'abuso di servizi remoti esposti. Un ordine che si ripete mese dopo mese: la priorità operativa resta la patch management, insieme a igiene delle credenziali e riduzione della superficie esposta.

I dati CVE e la superficie esposta

A luglio il CVE Program ha pubblicato 9.919 nuovi record CVE, in aumento (+1.918) rispetto a giugno. Di questi, 324 avevano almeno un Proof of Concept (−304) e 13 hanno mostrato sfruttamento attivo (−3).

Sul fronte del monitoraggio della superficie esposta, CSIRT Italia ha individuato 3.210 sistemi e servizi a rischio (−1.026), ha rilevato 147 account compromessi da malware infostealer afferenti a soggetti istituzionali (prontamente allertati) e, nell'analisi sui CMS open source esposti, ha segnalato 1.074 istanze CMS compromesse ai titolari dei sistemi o ai provider per la bonifica. I settori con più evidenze: vendita al dettaglio, manifatturiero, università e ricerca e pubblica amministrazione locale — conferma dell'opportunismo delle campagne massive su asset con la medesima vulnerabilità.

Sono stati inoltre individuati episodi di esposizione e commercializzazione di dati e credenziali compromesse su canali dedicati: in un caso sono state pubblicate credenziali VPN valide riferibili a organizzazioni dei settori università e ricerca e tecnologico; in un altro, contenuti riconducibili a organizzazioni italiane dei settori tecnologico, universitario e ricerca, pubblica amministrazione locale, sanitario e servizi finanziari. In tutti gli episodi CSIRT Italia ha inviato comunicazioni ai soggetti interessati. Le comunicazioni complessive inviate nel mese per potenziali compromissioni e fattori di rischio — anche ai sensi dell'art. 2, comma 1, della Legge n. 90/2024 — sono state 8.952 (+198).

Le vulnerabilità da inserire subito in patch list

Il report richiama tre vulnerabilità su cui CSIRT Italia ha emesso alert nel periodo:

• Citrix NetScaler ADC e NetScaler Gateway: lo sfruttamento consentirebbe a un attaccante di prendere il controllo dei sistemi vulnerabili, con accesso alla rete o alle applicazioni protette (alert AL02/260701/CSIRT-ITA);
• CVE-2026-55957 in Apache Tomcat: potrebbe consentire di autenticarsi senza fornire la password corretta, ottenendo accesso alle risorse protette dell'applicazione (alert AL04/260630/CSIRT-ITA);
• CVE-2026-48907 in Joomla Content Editor (JCE): critica, a sfruttamento attivo, effettivamente usata nella campagna di defacement di luglio (alert del 15 giugno).

Cosa significa per le aziende italiane

I dati di luglio confermano tre priorità per qualunque organizzazione: patch tempestiva delle vulnerabilità note (il primo vettore di accesso), igiene delle credenziali con autenticazione multifattoriale e monitoraggio degli account (crescono gli infostealer e la vendita di credenziali VPN) e riduzione della superficie esposta (servizi remoti e istanze CMS devono essere inventariati, aggiornati e monitorati). Il flusso di comunicazioni di CSIRT Italia, che viaggia su base legale specifica, deve trovare nell'azienda un referente preparato a riceverlo e a reagire: è la stessa logica della NIS2, in cui notifica e capacità di risposta sono obblighi strutturali.

L'Operational Summary di luglio 2026 è disponibile in versione integrale in italiano e inglese; tutti gli alert citati sono consultabili nella sezione Alert e Bollettini del sito ACN.

Leggere i report è il primo passo: trasformare questi dati in competenze operative — vulnerability management, hardening dei servizi esposti, gestione degli incidenti — è il lavoro successivo. Digital Lab srl progetta percorsi di formazione in cybersecurity per team IT e professionisti che vogliono passare dalla teoria alla pratica: scopri il catalogo dei corsi.