Attacco Microsoft, 'punteggio di severità di 9.8 su 10'

"E' una falla con punteggio di severità di 9.8 su 10 secondo standard internazionali e il software è usato largamente nelle medie e grandi imprese e nella Pubblica amministrazione. Ci sono tutte le condizioni per una tempesta perfetta: è necessario che le realtà che usano sistemi di questo tipo applichino le contromisure". E' il parere all'ANSA di Pierluigi Paganini, esperto di cybersicurezza e professore di Cybersecurity presso l'Università Luiss Guido Carli, in merito alla vulnerabilità che ha colpito Microsoft Sharepoint, un software di condivisione su cui è possibile consultare documenti e lavorare in tempo reale con altri collaboratori.

La vulnerabilità è stata battezzata 'ToolShell' ma nel mondo informatico è conosciuta con il codice CVE-2025-53770 e CVE-2025-53771. "Permette ad un attaccante remoto, senza autenticazione, di eseguire codice arbitrario sul server, potenzialmente prendendone il completo controllo - spiega l'esperto - Gli attaccanti possono accedere ad un server, esfiltrare chiavi crittografiche ed effettuare movimenti laterali nella rete aziendale che ospita i server vulnerabili. La falla è già sfruttata attivamente contro aziende ed enti pubblici. SharPoint è estremamente diffuso in tutto il mondo, soprattutto tra aziende medio grandi, ragion per cui campagne massive che sfruttano la falla potrebbero causare ingenti danni. Si consiglia di applicare immediatamente le patch, gli aggiornamenti rilasciati da Microsoft, monitorare file sospetti e aggiornare i sistemi appena possibile. La stessa agenzia americana Cisa ha invitato a risolvere la falla immediatamente".In Italia c'è un allerta dell'Agenzia nazionale di cybersicurezza.

Al momento, "non è possibile attribuire l'attacco, è prematuro", osserva Paganini in merito alle ipotesi per cui l'attacco possa essere considerato una risposta allo smantellamento da parte di Eurojust ed Europol della rete di hacker filorussi NoName057. "Non possiamo escludere nulla in questa fase di guerra ibrida, ma non abbiamo elementi per l'attribuzione", conclude.