Due Zero-Day in Una Settimana: BlueHammer Espone Ogni PC Windows, Fortinet CVE-2026-35616 Colpisce i Governi
La prima settimana di aprile 2026 ha regalato ai difensori due incubi simultanei. Il 3 aprile, un ricercatore di sicurezza noto come "Chaotic Eclipse" ha pubblicato su GitHub il codice exploit di BlueHammer — una vulnerabilità zero-day di Windows che consente l'escalation dei privilegi a SYSTEM — dopo che Microsoft ha rifiutato di trattarla con la priorità che riteneva adeguata. Due giorni dopo, il 5 aprile, Fortinet ha rilasciato una patch d'emergenza per CVE-2026-35616, una falla critica (9.1/10) nel FortiClient Enterprise Management Server già attivamente sfruttata contro enti governativi in tutto il mondo. Due zero-day. Due vettori diversi. Un unico messaggio: la superficie di attacco si sta espandendo più velocemente della capacità di difesa.
BlueHammer: Quando un Ricercatore Perde la Pazienza
BlueHammer è una vulnerabilità di privilege escalation in Windows che combina due falle distinte: un bug TOCTOU (Time-of-Check to Time-of-Use) e un problema di path confusion. Insieme, permettono a un attaccante locale di accedere al Security Account Manager (SAM) — il database che contiene gli hash delle password di tutti gli account locali — e di ottenere privilegi SYSTEM, il livello di accesso più alto possibile su una macchina Windows. Da lì, l'attaccante può eseguire qualsiasi operazione: installare malware, creare backdoor, disabilitare antivirus, muoversi lateralmente nella rete.
Il ricercatore "Chaotic Eclipse" ha pubblicato l'exploit su GitHub il 3 aprile 2026, dichiarando: "Non stavo bluffando con Microsoft, e lo farò di nuovo." La sua frustrazione nasce dalla gestione del Microsoft Security Response Center (MSRC), che richiede la submission di video dimostrativi degli exploit — un processo che il ricercatore considera eccessivamente oneroso. Will Dormann, analista di vulnerabilità, ha confermato che l'exploit funziona su Windows Client (escalation a SYSTEM) e parzialmente su Windows Server (escalation a administrator elevato).
Al 7 aprile 2026, Microsoft non ha rilasciato alcuna patch per BlueHammer. Il codice exploit è pubblico su GitHub. La vulnerabilità richiede accesso locale al sistema — ottenibile tramite phishing, social engineering, o qualsiasi altra vulnerabilità che fornisca un punto d'appoggio iniziale. In combinazione con un accesso iniziale via Medusa, TrueChaos, o un qualsiasi altro vettore, BlueHammer diventa l'anello che completa la catena di attacco fino al controllo totale del sistema.
CVE-2026-35616: FortiClient EMS Sotto Attacco Globale
FortiClient Enterprise Management Server (EMS) è la piattaforma centralizzata che le organizzazioni utilizzano per gestire la sicurezza degli endpoint Fortinet. È deployed capillarmente in enti governativi, istituzioni militari e operatori di infrastrutture critiche in tutto il mondo. CVE-2026-35616, con un punteggio di severità di 9.1 su 10, consente a un attaccante di compromettere il server EMS e potenzialmente ottenere il controllo di tutti gli endpoint gestiti — un effetto moltiplicatore simile a quello documentato nell'operazione TrueChaos della settimana precedente.
La società di cybersecurity Defused ha osservato i primi tentativi di sfruttamento sugli honeypot a partire dal 31 marzo 2026, con un'accelerazione significativa durante il weekend di Pasqua — quando i team di sicurezza sono tipicamente sottodimensionati. Sia CISA (USA) che la Cyber Security Agency di Singapore hanno emesso advisory urgenti: CISA ha aggiunto la CVE al catalogo delle vulnerabilità sfruttate e ha ordinato alle agenzie federali di applicare l'hotfix entro giovedì. Questa è la seconda vulnerabilità critica in FortiClient EMS in tre settimane.
FortiClient EMS è utilizzato ampiamente in molti governi nel mondo. L'esposizione potrebbe essere estesa.
— Ricercatori Defused, aprile 2026
Il Pattern: Exploit Weekend e Holiday Attacks
L'accelerazione dello sfruttamento di CVE-2026-35616 durante il weekend di Pasqua non è casuale. Gli attaccanti scelgono deliberatamente le finestre temporali in cui i team di sicurezza sono ridotti: weekend, festività, ferie estive. L'attacco NotPetya è stato lanciato alla vigilia di una festività ucraina. L'attacco a Kaseya è avvenuto il weekend del 4 luglio americano. Colonial Pipeline è stata colpita di venerdì sera. Il pattern è documentato e prevedibile, eppure molte organizzazioni continuano a ridurre la copertura di sicurezza durante i periodi festivi.
La Convergenza: Due Zero-Day + Medusa + TrueChaos
BlueHammer e CVE-2026-35616 non esistono nel vuoto. Nella stessa settimana, Medusa ransomware sfrutta zero-day pre-disclosure per colpire in 24 ore, la Commissione UE è stata compromessa via supply-chain, e Operation TrueChaos ha dimostrato come un singolo server compromesso possa infettare decine di enti governativi. La convergenza è il vero pericolo: un attaccante può usare CVE-2026-35616 per l'accesso iniziale via FortiClient EMS, BlueHammer per l'escalation a SYSTEM, e Medusa per il ransomware finale — tutto nel giro di 24 ore, tutto con strumenti già disponibili.
Il device code phishing è aumentato del 3.700% nel 2026 (dati Push Security), con almeno 11 kit di phishing disponibili che abusano del flusso OAuth 2.0 Device Authorization Grant per bypassare l'autenticazione multi-fattore. Anche l'MFA — considerato la difesa definitiva — viene sistematicamente aggirato.
Raccomandazioni Operative
- 1.FortiClient EMS: applicare immediatamente l'hotfix per CVE-2026-35616. Deadline CISA: giovedì. Verificare tutti i prodotti Fortinet esposti a Internet per segni di compromissione.
- 2.BlueHammer mitigation: in assenza di patch Microsoft, implementare il principio del minimo privilegio. Limitare l'accesso locale ai sistemi critici. Monitorare l'accesso al SAM database per anomalie.
- 3.Copertura sicurezza 24/7: gli attacchi durante weekend e festività sono il pattern dominante. Garantire copertura SOC continua o servizi MDR durante i periodi a rischio.
- 4.Disabilitare il device code flow: nelle policy di accesso condizionale Microsoft Entra, disabilitare il Device Authorization Grant dove non necessario per mitigare il phishing OAuth.
- 5.Defense-in-depth: nessuna singola difesa è sufficiente. Combinare patch management aggressivo, segmentazione di rete, monitoraggio comportamentale, e cifratura delle comunicazioni critiche.
- 6.Incident response readiness: con catene di attacco che si completano in 24 ore, il piano di risposta agli incidenti deve essere testato e aggiornato. La velocità di risposta è la variabile decisiva.
Conclusione
Due zero-day nella stessa settimana — uno leaked da un ricercatore frustrato, l'altro sfruttato attivamente contro governi — rappresentano la nuova normalità della cybersecurity. La velocità con cui le vulnerabilità passano dalla scoperta allo sfruttamento di massa si è compressa da mesi a giorni, a volte ore. Per le organizzazioni italiane ed europee, la lezione è chiara: la difesa basata sulle patch non è più sufficiente quando gli attaccanti colpiscono prima che le patch esistano. Serve una strategia di resilienza che presupponga la compromissione e protegga ciò che conta di più — i dati, le comunicazioni, la continuità operativa — anche quando il perimetro è già stato violato.
Fonti: BleepingComputer (BlueHammer, 6 aprile 2026), Fortinet (security advisory CVE-2026-35616), CISA (catalogo KEV + directive), Singapore CSA (advisory AL-2026-031), Defused (telemetria honeypot), Push Security (device code phishing +3700%), Will Dormann (analisi BlueHammer), Microsoft MSRC (dichiarazione ufficiale).