La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto tre vulnerabilità sfruttate attivamente al suo catalogo Known Exploited Vulnerabilities (KEV): falle che interessano Langflow, Apache Tomcat e N-central. Il catalogo KEV esiste proprio per segnalare falle di sicurezza che gli aggressori stanno già utilizzando attivamente, e quest'ultimo gruppo non fa eccezione. Ad aggiungere interesse, i ricercatori di Unit 42 di Palo Alto Networks hanno collegato una delle campagne di sfruttamento a un agente di hacking presumibilmente basato su DeepSeek, il modello AI cinese finito sotto esame per la sua rapida adozione sia in ambiti legittimi che malevoli.

Per gli utenti comuni di Internet, gli aggiornamenti del KEV possono sembrare questioni da addetti ai lavori. Non lo sono. Queste voci influenzano direttamente il software che opera dietro i siti web, gli strumenti di gestione remota e le piattaforme AI su cui aziende e fornitori di servizi fanno affidamento per mantenere al sicuro i tuoi dati. Quando gli aggressori sfruttano questi sistemi prima che le patch vengano applicate, le conseguenze spesso ricadono sulle persone le cui informazioni quei sistemi avrebbero dovuto proteggere.

Tre nuove voci nel catalogo KEV della CISA

Ognuna delle tre falle ora segnalate dalla CISA si colloca in un diverso angolo dell'ecosistema software, ed è questo in parte a rendere rilevante questo aggiornamento. Langflow è una piattaforma open-source utilizzata per creare flussi di lavoro basati su agenti AI, una categoria di software esplosa in popolarità con la corsa delle aziende a distribuire internamente strumenti di AI. Apache Tomcat è un web server e container per servlet ampiamente utilizzato che è alla base di innumerevoli applicazioni Java in aziende ed enti governativi. N-central è una piattaforma di monitoraggio e gestione remota (RMM) utilizzata dai fornitori di servizi IT per amministrare da remoto le reti dei clienti, il che significa che una singola istanza compromessa può potenzialmente esporre contemporaneamente molte organizzazioni a valle.

Per direttiva federale, le agenzie soggette alla Direttiva Operativa Vincolante della CISA sono tenute ad applicare le patch per le vulnerabilità elencate nel KEV entro una finestra temporale prestabilita, a dimostrazione di quanto seriamente il governo tratti lo sfruttamento attivo confermato. Le organizzazioni private non sono soggette allo stesso obbligo, ma i team di sicurezza considerano ampiamente le voci del KEV come un forte segnale per dare priorità all'applicazione immediata delle patch piuttosto che attendere un normale ciclo di aggiornamento.

Non è la prima volta che la CISA agisce rapidamente per segnalare una falla con aggressori reali che la stanno già utilizzando. La divulgazione della falla di accesso root su Linux da parte dell'agenzia all'inizio di quest'anno ha seguito uno schema simile: una vulnerabilità scoperta, trasformata in arma e aggiunta al KEV in rapida successione, sottolineando quanto si sia ridotta la finestra tra divulgazione e sfruttamento in tutta la catena di fornitura del software.

Entra in scena un agente di hacking basato su DeepSeek

Ciò che distingue questo ciclo di divulgazioni è la scoperta di Unit 42 che una delle campagne di sfruttamento sembra essere guidata da un agente di hacking AI costruito su DeepSeek. Gli strumenti di attacco assistiti dall'AI non sono un concetto nuovo, ma un caso documentato che collega una specifica campagna di sfruttamento elencata nel KEV a un modello AI nominato è un dato significativo. Suggerisce che l'automazione che gli aggressori utilizzano per trovare, trasformare in arma e distribuire exploit contro sistemi vulnerabili come le istanze di Langflow sta maturando rapidamente.

L'implicazione pratica è la velocità. Gli strumenti assistiti dall'AI possono aiutare gli aggressori a identificare istanze vulnerabili esposte su Internet di software come Langflow o Tomcat più velocemente di quanto potrebbe mai fare una ricognizione manuale, riducendo ulteriormente la già stretta finestra a disposizione dei difensori per applicare le patch prima che inizi lo sfruttamento.

Perché le falle sfruttate attivamente sono importanti per la privacy

La connessione diretta tra vulnerabilità dell'infrastruttura e privacy personale è facile da trascurare, ma è reale. I server Tomcat e le piattaforme RMM come N-central spesso sono al centro di sistemi che memorizzano o trasmettono dati dei clienti, dalle credenziali di accesso ai registri finanziari. Le istanze di Langflow, nel frattempo, sono sempre più utilizzate per costruire applicazioni AI che elaborano input sensibili degli utenti, dalle richieste al servizio clienti ai dati aziendali interni. Un exploit riuscito di esecuzione di codice in remoto o di accesso non autorizzato contro uno qualsiasi di questi sistemi può fornire agli aggressori un punto d'appoggio per muoversi lateralmente, esfiltrare dati o distribuire ransomware, trasformando una vulnerabilità tecnica in un incidente sulla privacy che colpisce molte più persone rispetto all'organizzazione bersaglio originale.

Cosa significa questo per te

La maggior parte dei lettori non applicherà personalmente patch a un server Tomcat o a una distribuzione N-central, ma gli effetti a catena di queste vulnerabilità possono comunque raggiungerti. Se utilizzi servizi costruiti su piattaforme interessate, che si tratti del portale clienti di un'azienda, di uno strumento di supporto basato su AI o di un fornitore IT che gestisce la rete della tua organizzazione, una violazione a monte può esporre i tuoi dati a valle. Vale la pena prestare attenzione alle notifiche di violazione dei servizi che utilizzi e trattare con particolare cautela qualsiasi richiesta imprevista di reimpostazione della password o avviso di attività dell'account nelle settimane successive a notizie come questa.

Consigli pratici

Se gestisci infrastrutture IT, dai priorità all'applicazione immediata delle patch per qualsiasi istanza di Langflow, Tomcat o N-central e consulta direttamente il catalogo KEV della CISA per le voci specifiche e le scadenze di correzione. Se sei un utente generico, tieni d'occhio le comunicazioni di violazione da parte delle aziende su cui fai affidamento, abilita l'autenticazione a più fattori ovunque sia offerta e considera questo un promemoria che il software che gira silenziosamente dietro le quinte dei tuoi servizi preferiti ha una linea diretta con i tuoi dati personali. Rimanere informati su aggiornamenti del KEV come questo è una piccola abitudine che ripaga quando la prossima falla sfruttata attivamente fa notizia.