← Torna al blog

Briefing sicurezza, 15 aprile 2026: Patch Tuesday, estensioni Chrome malevole e deriva degli accessi

Il briefing di sicurezza di oggi segue tre storie concrete: il Patch Tuesday di Microsoft, una campagna con oltre 100 estensioni Chrome malevole e problemi di governance degli accessi in Kraken e McGraw-Hill.

---

---

1. Il Patch Tuesday di Microsoft è pesante, e uno zero-day di SharePoint era già sfruttato

Microsoft ha rilasciato correzioni per 167 vulnerabilità ad aprile 2026, incluse due zero-day. Una di queste, una vulnerabilità di spoofing in SharePoint Server, era già sfruttata in attacchi reali. Microsoft ha inoltre corretto RCE critiche in Office e un problema di escalation dei privilegi in Defender tramite la piattaforma antimalware.

• Patchare prima i sistemi SharePoint esposti a internet e gli ambienti fortemente dipendenti da Office.
• Non dichiarare chiuso il ciclo finché eccezioni, copie di staging e nodi amministrativi non sono riconciliati.
• Eseguire una verifica reale dell’esposizione dopo il patching invece di fidarsi della chiusura ticket.

---

2. Oltre 100 estensioni Chrome hanno trasformato il browser in una superficie di furto d’identità

I ricercatori di Socket hanno collegato oltre 100 estensioni malevole del Chrome Web Store a una campagna coordinata. Le estensioni avrebbero rubato token Google OAuth2, raccolto dati di account, dirottato sessioni Telegram Web e recuperato comandi remoti in background. Non è un semplice rischio da add-on. È abuso di identità, sessione e fiducia dentro un ambiente già autenticato.

• Verificare oggi stesso le estensioni installate sui dispositivi gestiti.
• Revocare sessioni e token quando si sospetta abuso tramite estensioni.
• Trattare il browser come parte del control plane dell’identità.

---

3. Kraken e McGraw-Hill mostrano perché accesso interno e di terze parti continuano a rompere le storie pulite

Kraken ha dichiarato che un gruppo di estorsione minaccia di pubblicare video di sistemi interni dopo accessi impropri da parte di dipendenti del supporto che hanno esposto dati limitati di customer support relativi a circa 2.000 account. McGraw-Hill ha invece dichiarato che attaccanti hanno raggiunto dati interni limitati attraverso una configurazione errata di una pagina ospitata su Salesforce, mentre ShinyHunters ha rivendicato un bottino molto più ampio. Il raggio preciso cambia, ma il pattern è lo stesso: i flussi di supporto e i sistemi business ospitati mantengono spesso più fiducia di quanto i team pensino.

• Impostare per default una scadenza per gli accessi di supporto e dei contractor.
• Rivedere pagine ospitate, strumenti di supporto e percorsi admin dei vendor durante la risposta agli incidenti.
• Considerare anche una “esposizione limitata” come problema di reputazione ed estorsione.

---

Cosa dovrebbero fare oggi i team di sicurezza

1. Dare priorità agli asset Microsoft sfruttati e raggiungibili dall’esterno.
2. Eseguire un extension sweep e un piano di revoca sessioni per gli utenti ad alto rischio.
3. Auditare accessi di supporto, fornitori e admin SaaS con owner e data di scadenza.
4. Usare un unico aggiornamento esecutivo che unisca patch, abuso d’identità nel browser e accesso di terze parti nello stesso quadro di rischio.

---

Bottom line: Tutte le storie di oggi indicano la stessa verità operativa. Gli attaccanti stanno vincendo nello spazio tra controllo nominale e controllo verificato, tra “patchato” e davvero risolto, tra “loggato” e realmente fidato, tra “accesso temporaneo” e privilegio persistente.