Marzo 2026 è stato un mese che ha messo a dura prova chi gestisce infrastrutture critiche. Tre eventi di sicurezza informatica hanno dominato le cronache: una vulnerabilità in Langflow sfruttata in appena 20 ore dalla disclosure, una falla CVSS 10.0 in Cisco SD-WAN attivamente exploitata da un threat actor sofisticato fin dal 2023, e lo smantellamento coordinato di quattro botnet IoT capaci di generare attacchi DDoS da oltre 30 Tbps. Nella mia esperienza di sysadmin, quando tre notizie di questo calibro convergono nello stesso mese, significa che il panorama delle minacce ha fatto un salto di livello.
Vi racconto come ho analizzato ciascuna di queste minacce, quali azioni ho intrapreso sui miei server e cosa dovreste fare voi per proteggere le vostre infrastrutture. Come ho già discusso nel mio articolo sulla prevenzione ransomware con AI agents, la velocità di risposta è diventata il fattore determinante tra un incidente contenuto e una compromissione totale.
Langflow CVE-2026-33017: Remote Code Execution Sfruttata in 20 Ore
Langflow è una piattaforma open source per la creazione di workflow AI basati su agenti e pipeline LLM. Il 17 marzo 2026 è stata pubblicata l’advisory per la CVE-2026-33017, una vulnerabilità di tipo Remote Code Execution (RCE) senza autenticazione con punteggio CVSS 9.3. In meno di 20 ore, i primi attacchi erano già in corso.
Il Problema Tecnico: exec() Senza Sandbox
La falla risiede nell’endpoint POST /api/v1/build_public_tmp/{flow_id}/flow, progettato per consentire la build di flussi pubblici senza autenticazione. Quando viene fornito il parametro opzionale data, il codice Python contenuto nelle definizioni dei nodi viene passato direttamente alla funzione exec() di Python — senza alcun sandboxing. Un singolo POST HTTP è sufficiente per ottenere esecuzione di codice arbitrario sul server.
L’aspetto più inquietante? Si tratta della stessa chiamata exec() già coinvolta nella CVE-2025-3248. Langflow è stata essenzialmente bucata due volte attraverso lo stesso punto debole. Tutte le versioni fino alla 1.8.1 inclusa sono vulnerabili; la fix è nella versione 1.9.0.
La Timeline dell’Attacco: 3 Fasi in 30 Ore
I ricercatori di Sysdig hanno documentato tre fasi distinte di sfruttamento:
- Scanning automatizzato (ore 20-21): quattro IP hanno lanciato ricognizione basata su Nuclei con payload identici, estraendo risultati verso server di callback interactsh (domini
.oast.live,.oast.me,.oast.pro) - Exploitation custom (ore 21-24): attori avanzati hanno deployato script Python mirati per directory listing (
ls -al /root), fingerprinting di sistema (id) e delivery di payload di secondo stadio viacurl - Credential harvesting (ore 24-30): furto sistematico di variabili d’ambiente, file
.env, credenziali database e chiavi API (OpenAI, Anthropic, AWS)
Sei IP sorgente distribuiti tra Germania, Singapore, Paesi Bassi e Francia, con un server C2 all’indirizzo 143.110.183.86:8080. Il 25 marzo CISA ha aggiunto la CVE al catalogo KEV con deadline di remediation all’8 aprile.
Come Mi Sono Protetto
Sul mio server non giro Langflow in produzione, ma il pattern di attacco è universalmente applicabile. Ho verificato che nessun servizio AI/ML fosse esposto senza autenticazione e ho aggiornato le regole del WAF per bloccare richieste POST sospette verso endpoint di tipo /build_public. Se usate Langflow:
- Aggiornate immediatamente alla versione 1.9.0
- Disabilitate o restringete l’endpoint
/api/v1/build_public_tmp - Ruotate tutte le chiavi API e le credenziali database sulle istanze esposte
- Implementate detection runtime per esecuzione shell via Python
Cisco SD-WAN CVE-2026-20127: CVSS 10.0 e Sfruttamento Attivo dal 2023
Se Langflow ha mostrato la velocità di weaponization delle vulnerabilità moderne, Cisco SD-WAN CVE-2026-20127 rappresenta lo scenario opposto e altrettanto spaventoso: un threat actor sofisticato che sfrutta una falla critica in silenzio per anni prima che venga scoperta.
Authentication Bypass con Punteggio Massimo
La CVE-2026-20127 è un authentication bypass nel meccanismo di peering di Cisco Catalyst SD-WAN Controller (ex vSmart) e SD-WAN Manager (ex vManage). Con un singolo pacchetto crafted, un attaccante non autenticato può ottenere privilegi amministrativi completi. Il punteggio CVSS è il massimo possibile: 10.0.
Tutti i deployment sono vulnerabili: on-premises, Cisco Hosted SD-WAN Cloud, Cisco Managed Cloud e persino gli ambienti FedRAMP. Non esistono workaround — l’unica mitigazione è l’upgrade del software.
Il Threat Actor UAT-8616: Una Kill Chain in 7 Passi
Il 25-26 febbraio 2026, un advisory congiunto Five Eyes (CISA, NCSC UK, ASD-ACSC Australia, CCCS Canada e NCSC-NZ) ha rivelato l’esistenza del threat actor UAT-8616, che sfrutta questa vulnerabilità almeno dal 2023. La loro catena d’attacco è impressionante per sofisticazione:
- Accesso iniziale: exploit della CVE-2026-20127 via servizio NETCONF (TCP/830)
- Creazione peer rogue: inserimento di un peer SD-WAN malevolo nel piano di controllo, mascherato da componente temporaneo legittimo
- Downgrade software: uso dei meccanismi di aggiornamento legittimi per retrocedere il firmware a una versione vulnerabile alla CVE-2022-20775 (CVSS 7.8)
- Privilege escalation a root: exploit della vulnerabilità nel software retrocesso
- Persistenza: creazione di account locali mimetizzati e aggiunta di chiavi SSH autorizzate per root
- Movimento laterale: propagazione attraverso gli appliance SD-WAN via NETCONF e SSH
- Distruzione delle prove: pulizia di
/var/log, cronologia comandi e log di connessione, con ripristino della versione software originale
CISA ha emesso la Emergency Directive ED 26-03 con un mandato di patch entro 24 ore per le agenzie federali — una misura eccezionale che sottolinea la gravità della situazione.
Come Ho Verificato i Miei Sistemi
Gestisco infrastrutture di rete per diversi clienti. Per chi utilizza apparati Cisco SD-WAN, ho immediatamente:
- Verificato le versioni in uso rispetto alla matrice di upgrade Cisco (le fix vanno dalla 20.9.8.2 alla 20.18.2.1 a seconda del release train)
- Controllato
/var/log/auth.logcercando entryAccepted publickey for vmanage-adminda IP sconosciuti - Esaminato i log
/var/volatile/log/vdebugesw_script_synccdb.logper evidenze di downgrade - Auditato account utente e chiavi SSH su tutti gli appliance
Se avete dispositivi Cisco SD-WAN, non aspettate: applicate le patch oggi stesso. Come ho spiegato nell’articolo sulla CVE-2025-66431 di Plesk, quando una vulnerabilità critica viene sfruttata attivamente, ogni ora di ritardo nell’applicazione della patch aumenta esponenzialmente il rischio.
Takedown delle Botnet IoT: Smantellati 3 Milioni di Dispositivi da 30 Tbps
Il 20 marzo 2026, il Department of Justice statunitense ha annunciato lo smantellamento coordinato di quattro botnet IoT: Aisuru, KimWolf, JackSkid e Mossad. L’operazione ha coinvolto autorità canadesi, tedesche e un’impressionante coalizione di aziende private tra cui Akamai, Cloudflare, Google, Oracle, Lumen Black Lotus Labs e molte altre.
I Numeri Che Fanno Riflettere
Le dimensioni di queste botnet sono senza precedenti:
- 3+ milioni di dispositivi compromessi in tutto il mondo (1-4 milioni attivi contemporaneamente)
- 31.4 Tbps di capacità di attacco UDP flood di picco (registrata da Aisuru nel novembre 2025, durata 35 secondi)
- 14 miliardi di pacchetti al secondo e 300 milioni di richieste HTTP/s sostenute
- Oltre 316.000 comandi di attacco emessi complessivamente tra le quattro botnet
I dispositivi compromessi includevano DVR, telecamere IP, router WiFi, TV box per streaming e dispositivi Android. KimWolf ha segnato un precedente arruolando oltre 2 milioni di dispositivi Android tramite esposizione di Android Debug Bridge (ADB) — una tecnica documentata per la prima volta da XLab nel dicembre 2025.
Il Modello di Business: Cybercrime-as-a-Service
Queste botnet operavano con un modello Cybercrime-as-a-Service: l’accesso ai dispositivi infetti veniva venduto ad altri threat actor che conducevano attacchi DDoS, spesso con richieste di riscatto. KimWolf ha innovato infiltrando reti domestiche attraverso dispositivi compromessi per sfruttare proxy residenziali. Le vittime hanno riportato perdite di decine di migliaia di dollari in costi di remediation.
Lumen Black Lotus Labs ha effettuato il null-routing di circa 1.000 server C2, mentre il DCIS ha eseguito mandati per il sequestro di domini internet, server virtuali e infrastrutture correlate registrate negli Stati Uniti. Tra i sospettati figurano un 23enne di Ottawa e un 15enne tedesco, ma al momento della disclosure non sono stati annunciati arresti.
Le Mie Contromisure per Dispositivi IoT
Questo takedown conferma ciò che ripeto da anni: i dispositivi IoT sono il punto debole di qualsiasi rete. Ecco cosa faccio sistematicamente:
- Segmentazione di rete: tutti i dispositivi IoT su VLAN dedicate, isolate dal traffico di gestione
- Cambio credenziali di default: sembra banale, ma è ancora il vettore principale di compromissione
- Aggiornamenti firmware: programmo check mensili; i dispositivi end-of-life vengono sostituiti
- Monitoraggio traffico anomalo: regole per rilevare volumi di traffico outbound insoliti dai segmenti IoT
- Blocco ADB: disabilitazione di Android Debug Bridge su tutti i dispositivi Android gestiti
Come ho discusso nell’articolo sulla configurazione sicura di server Plesk, la difesa perimetrale è solo l’inizio. Il vero lavoro sta nel monitoraggio continuo e nella risposta rapida.
Il Trend Preoccupante: la Finestra di Exploit si Chiude a Ore, Non Giorni
Questi tre eventi di marzo 2026 illustrano una tendenza che i dati confermano: il time-to-exploit mediano è crollato da 771 giorni nel 2018 a poche ore nel 2026. Il 44% delle vulnerabilità sfruttate nel 2025 è stato weaponizzato entro 24 ore dalla disclosure. Lo sfruttamento zero-day confermato ha raggiunto 90 casi nel 2025, con un aumento del 15% anno su anno.
Per chi amministra sistemi, questo significa che il modello tradizionale “patch entro 30 giorni” è morto. Oggi servono:
- Monitoraggio CVE in tempo reale: ho configurato alert automatici per i prodotti che gestisco, come descritto nel mio articolo sul virtual patching con Patchstack e monitoraggio CVE
- Virtual patching: WAF e IPS che possono mitigare vulnerabilità prima che le patch ufficiali siano disponibili
- Inventory degli asset aggiornato: non puoi patchare ciò che non sai di avere
- Procedure di patching d’emergenza: workflow testati per applicare fix critiche in ore, non settimane
L’Emergency Directive ED 26-03 di CISA, con il suo mandato di patch entro 24 ore per Cisco SD-WAN, è il segnale più chiaro: anche le istituzioni riconoscono che i tempi di risposta devono adeguarsi alla velocità degli attaccanti. Chi gestisce SOC autonomi con AI ha un vantaggio significativo in questo contesto, perché la detection automatizzata può ridurre il tempo di risposta da ore a minuti.
Altre Minacce Critiche di Marzo 2026
Il quadro di marzo non si ferma qui. Tra le altre vulnerabilità critiche degne di nota:
- Cisco FMC CVE-2026-20131: sfruttata come zero-day dal ransomware gang Interlock dal 26 gennaio 2026, oltre un mese prima della disclosure di Cisco. Consente RCE come root su Secure Firewall Management Center
- PolyShell (Magento/Adobe Commerce): RCE senza autenticazione che ha colpito il 56.7% dei negozi vulnerabili dal 19 marzo, con oltre 50 IP di scanning attivi
- Oracle CVE-2026-21992: patch out-of-band d’emergenza per RCE in Identity Manager e Web Services Manager
- D-Link CVE-2026-0625: command injection in gateway DSL end-of-life — nessuna patch prevista, sostituzione obbligatoria
E non dimentichiamo il WordPress 6.9.2 rilasciato a marzo con la correzione di 10 vulnerabilità di sicurezza tra cui Blind SSRF, Stored XSS e Regex DoS. Se non avete ancora aggiornato, fatelo subito.
FAQ
Quanto tempo ho per applicare le patch delle CVE critiche di marzo 2026?
Per Langflow CVE-2026-33017, la deadline CISA è l’8 aprile 2026. Per Cisco SD-WAN CVE-2026-20127, CISA ha emesso una Emergency Directive con mandato di 24 ore per le agenzie federali. Nella pratica, qualsiasi sistema esposto a Internet con queste vulnerabilità dovrebbe essere patchato immediatamente — i dati mostrano che gli attacchi iniziano entro ore dalla disclosure.
I miei dispositivi IoT domestici possono far parte di una botnet senza che io lo sappia?
Assolutamente sì. Le botnet Aisuru e KimWolf hanno compromesso oltre 3 milioni di dispositivi tra DVR, telecamere IP, router e TV box. I segnali includono rallentamenti inspiegabili, traffico di rete outbound anomalo e riavvii spontanei. Cambiate le credenziali di default, aggiornate il firmware e isolate i dispositivi IoT su una rete separata.
Langflow è stato bucato due volte nello stesso punto — come è possibile?
La CVE-2026-33017 sfrutta la stessa chiamata exec() di Python già coinvolta nella CVE-2025-3248. La fix precedente non aveva rimosso completamente il problema: l’endpoint build_public_tmp permetteva ancora di passare codice non sanitizzato alla funzione exec(). Questo evidenzia l’importanza di fix strutturali piuttosto che di semplici patch puntuali.
Come posso verificare se il mio Cisco SD-WAN è stato compromesso da UAT-8616?
Controllate /var/log/auth.log per entry Accepted publickey for vmanage-admin da IP non riconosciuti. Esaminate /var/volatile/log/vdebug e sw_script_synccdb.log per evidenze di downgrade software. Verificate la presenza di account utente e chiavi SSH non autorizzati. Se trovate anomalie, isolate immediatamente l’appliance e contattate Cisco PSIRT.
Quali strumenti consigli per il monitoraggio CVE in tempo reale?
Utilizzo una combinazione di feed CISA KEV, alert personalizzati su NVD, Patchstack per i plugin WordPress e monitoraggio Sysdig per i container. Per le infrastrutture di rete, i Cisco Security Advisory con notifiche automatiche sono essenziali. L’obiettivo è ridurre il tempo tra la pubblicazione di una CVE critica e la vostra consapevolezza a meno di un’ora.
Conclusione: la Velocità È la Nuova Difesa
Marzo 2026 ha dimostrato in modo inequivocabile che il panorama delle minacce informatiche si è evoluto oltre i modelli di risposta tradizionali. Langflow CVE-2026-33017 ci ricorda che 20 ore sono sufficienti per passare da advisory a compromissione. Cisco SD-WAN CVE-2026-20127 mostra che attori sofisticati possono sfruttare vulnerabilità CVSS 10.0 in silenzio per anni. Il takedown delle botnet IoT da 30 Tbps conferma che milioni di dispositivi non gestiti sono armi pronte all’uso.
La lezione è chiara: investite in monitoraggio proattivo, procedure di patching d’emergenza testate e segmentazione di rete rigorosa. Se gestite infrastrutture critiche, considerate seriamente l’implementazione di SOC autonomi con threat prediction basata su AI. La finestra di sfruttamento si è ridotta a ore — la vostra capacità di risposta deve adeguarsi.
Avete già verificato i vostri sistemi rispetto alle CVE di marzo? Raccontatemi la vostra esperienza nei commenti.