Febbraio 2026: la settimana nera della cybersecurity tra zero-day e industrializzazione del crimine digitale

La settimana di febbraio 2026 conferma le peggiori previsioni degli analisti di sicurezza: il panorama minaccia continua a deteriorarsi con una convergenza di vulnerabilità critiche, sfruttamenti organizzati e l’accelerazione dell’automazione basata su intelligenza artificiale.

Le vulnerabilità critiche della settimana

Microsoft Patch Tuesday: sei zero-day in un colpo solo

L’11 febbraio Microsoft ha rilasciato il suo Patch Tuesday mensile con correzioni per 59 vulnerabilità, di cui sei zero-day attivamente sfruttati. Tre di questi erano già stati divulgati pubblicamente prima della disponibilità delle patch. Questo numero rappresenta un’anomalia statisticamente significativa, soprattutto se confrontato con gennaio 2026 che registrava un solo zero-day su quasi il doppio delle CVE. Tra le vulnerabilità di rilievo:

• CVE-2026-21525 (CVSS 6.2): denial-of-service nel Remote Access Connection Manager, capace di interrompere le connessioni VPN e mandare in crash il servizio RAS

BeyondTrust: vulnerabilità OS command injection critica

La advisory BT26-02 ha rivelato CVE-2026-1731 (CVSSv4 9.9), una vulnerabilità di type OS command injection nei prodotti Remote Support e Privileged Remote Access. Lo sfruttamento non richiede autenticazione, non richiede interazione dell’utente e presenta bassa complessità di attacco. I ricercatori di Hacktron AI hanno stimato circa 11.000 istanze esposte su internet, di cui 8.500 on-premise e potenzialmente vulnerabili. La timeline dello sfruttamento è stata fulminea: divulgazione il 6 febbraio, proof-of-concept pubblicato il 10 febbraio, sfruttamento attivo rilevato l’11 febbraio, meno di 24 ore dopo il PoC.

Ivanti: pattern ricorrente di vulnerabilità critiche

Il problema non è una singola vulnerabilità, ma un pattern allarmante. Ivanti EPMM (precedentemente MobileIron Core) è stato colpito da vulnerabilità critiche di remote code execution a luglio 2023 (CVE-2023-35078), maggio 2025 (CVE-2025-4427 e CVE-2025-4428, sfruttate da attori cinesi state-nexus), e ora gennaio 2026. Questo ciclo ricorrente suggerisce processi di secure development insufficienti.

L’analisi della campagna coordinata di sfruttamento

GreyNoise ha rivelato un dato particolarmente allarmante: l’83% dell’attività di sfruttamento proveniva da un singolo indirizzo IP ospitato su infrastruttura bulletproof di PROSPERO OOO (AS200593), registrato a San Pietroburgo. In nove giorni (1-9 febbraio) i sensori GreyNoise hanno registrato 417 sessioni di exploitation, con un picco di 269 in un singolo giorno il 8 febbraio, pari a tredici volte la media giornaliera della settimana precedente. Questa concentrazione geografica e temporale suggerisce una campagna coordinata e non un’attività casuale.

L’impatto normativo: NIS2 e DORA in primo piano

Per le organizzazioni soggette a NIS2 (Network and Information Security Directive 2) e DORA (Digital Operational Resilience Act), la settimana di febbraio 2026 ha implicazioni dirette. NIS2 richiede misure di gestione del rischio proporzionate, inclusa la sicurezza della patch management. Le organizzazioni che non hanno implementato processi robusti di vulnerability management si trovano potenzialmente in violazione di questi requisiti normativi europei.

Cybersecurity nel settore industriale: il caso Zota Healthcare

Un episodio critico ha colpito il settore sanitario in India: una vulnerabilità cyber ha compromesso la distribuzione dei farmaci attraverso Zota Healthcare. Questo incidente sottolinea come le minacce cybersecurity non impattino solo la disponibilità dei dati, ma possono direttamente compromettere servizi essenziali e la salute pubblica.

L’industrializzazione del cybercrime attraverso l’AI

Trend Micro evidenzia come il 2026 rappresenti il punto di non ritorno: è l’anno in cui il cybercrime diventa completamente industrializzato. I prossimi mesi saranno caratterizzati da:

• Campagne di intrusione autosufficienti capaci di adattarsi in tempo reale
• Malware polimorfici in grado di riscrivere costantemente il proprio codice
• Ingegneria sociale basata su deepfake
• Attacchi basati su codici sintetici e avvelenamento dei modelli di intelligenza artificiale
• Scoperta, sfruttamento e monetizzazione automatizzata di vulnerabilità senza intervento umano

Gli obiettivi principali rimangono gli ambienti cloud ibridi, le supply chain dei software e le infrastrutture di intelligenza artificiale, con vettori di attacco includenti pacchetti open source compromessi, immagini di container malevole e identità cloud con privilegi eccessivi.

Il contesto italiano: sotto assedio digitale

Il volume di minacce in Italia ha superato del 15% la media globale, stabilizzandosi su circa 2.400 incidenti settimanali. La minaccia non è più teorica, ma è parte della realtà operativa quotidiana delle organizzazioni italiane.

Conclusioni operative

La convergenza di tre dinamiche – vulnerabilità critiche in prodotti mainstream, sfruttamento coordinato da infrastrutture specifiche, e accelerazione della weaponization assistita dall’AI – definisce il contesto di minaccia attuale. Se il trend prosegue, il 2026 batterà ogni record precedente di CVE e zero-day. Le organizzazioni devono considerare questi dati non come previsioni, ma come indicazioni dirette per potenziare immediatamente le capacità di patch management, monitoraggio delle minacce e difesa proattiva.

Fonti

• https://www.ictsecuritymagazine.com/notizie/zero-day-2026-patch-management/
• https://www.trendmicro.com/it_it/about/newsroom/press-releases/2026/2026-02-05-cybersecurity-il-2026-sara-l-anno-dell-industrializzazione-del-cybercrime.html
• https://officeautomation.soiel.it/cybercrime-industrializzato-il-2026-sara-un-punto-di-non-ritorno/
• https://www.cybersecitalia.it/date/2026/02/17/
• https://www.infosec.news/2026/02/17/news/campanello-di-allarme/italia-sotto-assedio-digitale-il-bilancio-dei-cyberattacchi-a-febbraio-2026/