News6 min
GPT-5.6-Cyber trova zero-day: come l'AI
GPT-5.6-Cyber completa il 95% delle richieste offensive e trova zero-day reali. Ma se l'AI può scovare vulnerabilità in pochi minuti, cosa significa per chi difende le email aziendali?
LeggiMartedì 15 gennaio, ore 14:23
Luca, system administrator di una media azienda manifatturiera lombarda, stava bevendo il suo terzo caffè della giornata quando il telefono ha squillato. Dall'altra parte, il responsabile commerciale parlava concitato: "Non riesco più ad accedere ai contratti su SharePoint. Mi dice che la sessione è scaduta, ma ho appena fatto login."
Nello stesso momento, a Berlino, Madrid e Amsterdam, decine di IT manager stavano ricevendo chiamate identiche. Quello che non sapevano è che stavano assistendo ai primi effetti di CVE-2026-55040, una vulnerabilità SharePoint che in meno di 48 ore dal rilascio del proof-of-concept aveva già compromesso centinaia di tenant aziendali.
L'exploit funziona aggirando completamente i meccanismi di autenticazione. Non serve rubare password, non serve phishing sofisticato. Basta conoscere l'URL del tenant SharePoint e avere il codice giusto. In pratica, è come avere un pass universale per entrare negli uffici di qualsiasi azienda.
Il Fenomeno Zero-Day: Quando la Pubblicità Diventa Pericolo
CVE-2026-55040 rappresenta un caso emblematico di come il mondo della cybersecurity stia cambiando. La vulnerabilità, identificata dai ricercatori Trend Micro a dicembre 2025, aveva un CVSS score di 9.8 - praticamente il massimo. Microsoft aveva rilasciato la patch il 14 gennaio, seguito il giorno dopo dalla pubblicazione dettagliata del funzionamento dell'exploit.
Il problema? Il proof-of-concept era troppo dettagliato. Non si trattava di una descrizione teorica, ma di codice funzionante, pronto all'uso. Nel giro di sei ore dalla pubblicazione su GitHub, i primi gruppi criminali avevano già adattato l'exploit per le loro campagne.
Secondo i dati del CERT europeo, entro 48 ore dal rilascio del PoC erano stati registrati oltre 12.000 tentativi di sfruttamento della vulnerabilità. Il 7% di questi tentativi è andato a buon fine, compromettendo l'accesso a documenti riservati, contratti, progetti e dati finanziari di 847 organizzazioni.
La geografia degli attacchi racconta una storia precisa: Europa occidentale nel mirino, con Italia, Germania e Francia che rappresentano il 60% delle vittime. Non è casuale. Le aziende europee, spesso più lente nell'applicare patch critiche durante il periodo post-natalizio, si sono trovate esposte proprio nel momento sbagliato.
Anatomia di un Bypass: Come Funziona l'Exploit
CVE-2026-55040 sfrutta una falla nel sistema di gestione delle sessioni di SharePoint Online. In condizioni normali, quando un utente accede a SharePoint, il sistema genera un token di autenticazione legato alla sua identità e ai suoi permessi. Il token viene validato ad ogni richiesta, garantendo che solo utenti autorizzati possano accedere ai contenuti.
La vulnerabilità si nasconde in un bug del parser delle richieste HTTP. Manipolando specifici header nella richiesta di autenticazione, è possibile confondere il sistema e fargli credere che la validazione sia già avvenuta con successo. Il risultato? SharePoint concede l'accesso senza verificare credenziali.
L'attaccante non ha bisogno di conoscere username o password. Gli basta l'URL del tenant SharePoint della vittima - informazione spesso pubblicamente disponibile o facilmente individuabile attraverso semplici ricerche. Una volta ottenuto l'accesso, può navigare liberamente tra documenti, liste e librerie, con i permessi di un utente standard.
Il bello, dal punto di vista dell'attaccante, è l'invisibilità. L'accesso non autorizzato non lascia tracce nei log standard di SharePoint. L'utente legittimo non riceve notifiche di accessi sospetti. L'amministratore non vede anomalie nel traffico. È l'infiltrazione perfetta.
I gruppi criminali hanno rapidamente industrializzato l'exploit. Nel dark web sono comparsi tool automatizzati che scansionano Internet alla ricerca di tenant SharePoint vulnerabili, tentano l'exploit e, in caso di successo, scaricano automaticamente tutti i documenti accessibili. Un bot può compromettere decine di aziende all'ora.
Il Conto Salato: Quando 48 Ore Costano Milioni
Per capire l'impatto reale di CVE-2026-55040, basta guardare il caso di Metallurgica Europea SpA, azienda di 450 dipendenti specializzata in componenti per l'automotive. L'attacco è avvenuto mercoledì 16 gennaio, alle 03:47 del mattino.
Gli attaccanti hanno avuto accesso per 14 ore consecutive prima che il breach venisse scoperto. In quel tempo hanno scaricato 127GB di dati: progetti per nuovi componenti, listini riservati, contratti con i fornitori cinesi, piani di espansione per il 2026. Il danno stimato? 3,2 milioni di euro tra perdita di vantaggio competitivo, costi legali e sanzioni GDPR.
Il caso non è isolato. Across Europe, decine di aziende stanno ancora quantificando i danni. Una società di consulenza milanese ha perso i progetti di tre clienti bancari. Uno studio legale romano ha visto compromessi documenti di fusioni e acquisizioni per un valore di 800 milioni di euro. Una catena retail tedesca ha dovuto rinegoziare tutti i contratti di fornitura dopo che i prezzi riservati sono finiti nelle mani della concorrenza.
Oltre al danno economico diretto, c'è quello reputazionale. Quando i clienti scoprono che i loro dati confidenziali sono stati compromessi, la fiducia crolla. Alcune aziende colpite hanno già perso contratti plurimilionari.
Difesa in Profondità: Le Lezioni di Gennaio 2026
CVE-2026-55040 dimostra che la sicurezza perimetrale tradizionale non basta più. SharePoint è considerato un ambiente "trusted" - gli utenti accedono dopo autenticazione, quindi il contenuto dovrebbe essere sicuro. Ma quando l'autenticazione stessa viene compromessa, servono difese aggiuntive.
La prima lezione è la velocità nella gestione delle patch. Le aziende che hanno applicato l'update Microsoft entro 24 ore dal rilascio non sono state toccate dall'ondata di attacchi. Quelle che hanno aspettato il weekend - "tanto è solo SharePoint" - si sono ritrovate nel mirino.
La seconda lezione riguarda il monitoraggio. Anche se l'exploit non lascia tracce evidenti, pattern anomali nel traffico SharePoint possono essere rilevati. Accessi da IP inusuali, download massivi di documenti, navigazione tra cartelle normalmente non correlate: segnali deboli che, messi insieme, disegnano un quadro chiaro.
La terza lezione è l'importanza di un approccio multilivello alla sicurezza email. Molti degli attacchi iniziali sono partiti da email di ricognizione inviate ai dipendenti per individuare i tenant SharePoint aziendali. Sistemi di protezione email avanzati che analizzano semanticamente i contenuti possono intercettare questi tentativi di social engineering prima che raggiungano gli utenti finali.
Oltre la Patch: Ripensare la Sicurezza dei Contenuti
L'exploit SharePoint di gennaio 2026 segna un punto di svolta. Non è più sufficiente proteggere i perimetri - bisogna assumere che gli attaccanti possano superarli. La security deve essere built-in nei contenuti stessi, non solo negli strumenti di accesso.
Ma c'è una domanda che ancora non ha risposta: quante altre vulnerabilità simili sono là fuori, in attesa che qualche ricercatore pubblichi il codice per sfruttarle? E soprattutto: saremo pronti la prossima volta?