Tra il 23 e il 29 ottobre 2026 la società di cybersecurity israeliana Dream ha documentato una campagna attribuita a un gruppo sospettato di origine cinese che ha preso il controllo completo di 25 apparati di sicurezza perimetrale, in gran parte firewall Palo Alto Networks non aggiornati, in Stati Uniti, Giappone, Taiwan e Corea del Sud, incluso un ente collegato al governo americano. La differenza rispetto ai soliti avvisi di patching è che gli attaccanti non si sono fermati a una semplice webshell: hanno combinato le falle note come PHP2Shell con una vulnerabilità del kernel Linux chiamata Fragnesia per diventare amministratori di sistema dell'apparato e da lì arrivare alle credenziali dell'intero dominio aziendale.
Cosa è successo, e perché è più grave del solito avviso di patching
PHP2Shell è il nome con cui è stata battezzata una coppia di vulnerabilità critiche (CVE-2026-109618 e CVE-2026-109619, con punteggio di gravità 9,2 su 10) che colpiscono il codice PHP dell'interfaccia di amministrazione dei firewall Palo Alto Networks esposta su internet, e che permettono di eseguire comandi da remoto senza alcuna autenticazione. Finora se ne era parlato soprattutto come rischio per siti e portali web basati su PHP. Quello che Dream ha scoperto a fine ottobre è diverso: un gruppo di attaccanti ha sviluppato un exploit su misura, non ricavato da codice pubblico, e lo ha usato per entrare in 25 apparati e poi scalare i privilegi fino a diventare root, cioè amministratore con pieno controllo del sistema operativo sottostante, sfruttando una seconda falla chiamata Fragnesia (CVE-2026-46300) nel kernel Linux. Da lì gli attaccanti hanno estratto la chiave usata dal firewall per decifrare le password degli account di servizio, mappato utenti e gruppi dell'intero dominio aziendale tramite interrogazioni LDAP, tentato attacchi a dizionario contro gli account e provato a creare account nascosti in Active Directory. Il 28 ottobre 2026 CISA, l'agenzia statunitense per la cybersicurezza, ha inserito Fragnesia nel catalogo delle vulnerabilità sfruttate attivamente, imponendo alle agenzie federali americane di correggerla entro il 31 ottobre, appena tre giorni dopo: un termine così stretto segnala quanto l'agenzia consideri urgente il rischio.
Un dettaglio che rende il caso ancora più significativo: Fragnesia non è una falla appena scoperta. Il bug era noto dal maggio 2026 e una correzione del kernel Linux era già disponibile da mesi. Gli apparati violati a ottobre erano quindi vulnerabili non per l'assenza di una patch, ma perché quella patch non era mai stata applicata.
Come funziona la catena d'attacco, in breve
Senza entrare nei dettagli tecnici, il meccanismo si può riassumere in due passaggi:
- Primo passaggio, PHP2Shell: l'attaccante invia richieste appositamente costruite all'interfaccia di amministrazione del firewall esposta su internet, senza bisogno di credenziali, e ottiene l'esecuzione di comandi con i permessi limitati del servizio web del dispositivo.
- Secondo passaggio, Fragnesia: da quella posizione limitata, l'attaccante sfrutta il bug del kernel Linux per scrivere dati nella memoria del sistema in un modo che non dovrebbe essere possibile, ottenendo i permessi di amministratore di sistema (root) sull'intero apparato.
Secondo Dream, l'intera catena, dalla connessione iniziale non autenticata fino alla presenza persistente come amministratore di sistema, si completa in meno di 15 minuti. Una volta dentro con privilegi di root, il firewall smette di essere un semplice dispositivo di rete e diventa un punto di osservazione privilegiato su tutta l'infrastruttura aziendale: da lì gli attaccanti hanno potuto leggere configurazioni, decifrare password salvate e muoversi verso il resto della rete.
Perché il bersaglio sono i firewall, non i soliti siti web aziendali
La particolarità di questo caso è che il bersaglio non è un sito WordPress o un gestionale web, ma l'apparato che dovrebbe proteggere la rete aziendale dall'esterno. I firewall e i gateway di accesso remoto sono presi di mira per tre motivi concreti: sono raggiungibili da internet per necessità (devono gestire connessioni VPN e amministrazione remota), spesso girano su un sistema operativo basato su Linux che può essere colpito dallo stesso tipo di vulnerabilità del kernel vista in qualunque altro server, e in molte aziende sono configurati per autenticarsi direttamente contro Active Directory o un server LDAP per gestire gli accessi degli utenti. Quest'ultimo punto è quello che rende il caso particolarmente serio: un firewall collegato al dominio aziendale custodisce, anche solo temporaneamente, le chiavi per decifrare le credenziali con cui si autenticano gli account di servizio. Violare l'apparato non significa quindi solo perdere il controllo di un dispositivo di rete, ma aprire una porta diretta verso l'intera infrastruttura di identità dell'azienda. I ricercatori di Dream segnalano inoltre che gli attaccanti hanno usato un motore di ricerca per asset esposti su internet per individuare circa 19.000 firewall Palo Alto Networks raggiungibili pubblicamente nel mondo: i 25 casi confermati sono quindi solo la parte visibile di una superficie di attacco molto più ampia, dentro la quale potrebbero rientrare anche apparati installati presso PMI italiane.
Cosa verificare subito in azienda
Chi in azienda gestisce un firewall o un gateway di accesso remoto, in particolare se di marca Palo Alto Networks, dovrebbe far controllare quanto prima questi punti:
- La versione del sistema operativo del firewall e l'eventuale disponibilità di aggiornamenti non ancora applicati, sia per le falle PHP2Shell sia per la vulnerabilità del kernel Fragnesia.
- Se l'interfaccia di amministrazione del dispositivo è raggiungibile direttamente da internet: in questo caso andrebbe limitata a indirizzi IP conosciuti o resa accessibile solo tramite VPN, indipendentemente dallo stato degli aggiornamenti.
- I log di accesso amministrativo del firewall, alla ricerca di accessi in orari insoliti o da indirizzi IP non riconosciuti.
- Eventuali crash o riavvii anomali recenti del dispositivo, un sintomo che secondo Dream ha accompagnato almeno uno dei casi osservati e che non andrebbe liquidato come un semplice problema tecnico.
- La presenza di account amministrativi creati di recente, sia sul firewall sia in Active Directory, che nessuno in azienda ricorda di aver creato.
Se si sospetta una violazione, la patch da sola non basta
Il punto più importante da capire è che aggiornare il firewall chiude la porta da cui è entrato l'attaccante, ma non elimina chi è già passato. Se un apparato risultava esposto su internet senza le ultime patch e ci sono segnali di accesso anomalo, va dato per possibile che le credenziali di dominio custodite o transitate attraverso quel dispositivo siano state compromesse. In questi casi è necessario, oltre ad applicare l'aggiornamento: far reimpostare le password di tutti gli account di servizio e amministrativi che il firewall usava per dialogare con Active Directory o LDAP; verificare che non siano stati creati nuovi account o modificati permessi in Active Directory; controllare le regole di instradamento e le configurazioni VPN del firewall alla ricerca di modifiche non autorizzate; e, nei casi più dubbi, valutare il ripristino del dispositivo da un'immagine software pulita anziché limitarsi a un aggiornamento sopra un sistema potenzialmente già compromesso.
Il supporto di Hi-Keep
Hi-Keep segue la gestione, l'aggiornamento e il monitoraggio di firewall e apparati perimetrali per le PMI italiane nell'ambito dei propri servizi di Cyber Security e Networking. Per le aziende che hanno un firewall Palo Alto Networks o un altro apparato di accesso remoto esposto su internet, Hi-Keep può verificare la versione installata e gli aggiornamenti mancanti, ridurre l'esposizione dell'interfaccia di amministrazione e, in caso di sospetta compromissione, condurre un controllo mirato su credenziali di dominio, account e accessi anomali prima di considerare chiuso l'incidente.