← Torna al blog

Briefing sicurezza, 17 aprile 2026: azione Cisco Webex, botnet PowMix e sabotaggio OT ZionSiphon

Il briefing sicurezza di oggi segue tre segnali concreti: la correzione SSO di Webex di Cisco che richiede ancora azione del cliente, il botnet PowMix di Talos contro i lavoratori cechi con comportamento C2 furtivo, e la logica di sabotaggio OT di ZionSiphon sui controlli di cloro e pressione nel settore idrico.

---

---

1. Cisco ha corretto Webex, ma i clienti hanno ancora lavoro da fare

Cisco ha corretto CVE-2026-20184 in Webex Services, un difetto di validazione del certificato nell’integrazione SSO con Control Hub che potrebbe consentire a un attaccante non autenticato di impersonare utenti. La correzione lato servizio non basta: le organizzazioni che usano SSO devono anche caricare un nuovo certificato SAML per il proprio identity provider per evitare interruzioni e chiudere davvero il gap.

• Individua tutti i tenant Webex che usano SSO e conferma che il nuovo certificato sia stato realmente distribuito.
• Tratta metadati IdP e rotazione dei certificati come lavoro di sicurezza, non solo igiene amministrativa.
• Controlla se account di collaborazione ad alta fiducia mostrano accessi o pattern di token insoliti.

---

2. PowMix mostra quanto il phishing sia sempre più bravo a mimetizzarsi

Cisco Talos ha divulgato PowMix, un botnet prima non documentato, attivo almeno da dicembre 2025 e rivolto alla forza lavoro nella Repubblica Ceca. Il malware usa intervalli casuali di beaconing, nasconde heartbeat cifrati dentro percorsi URL che sembrano traffico REST API, e può aggiornare dinamicamente il proprio dominio C2. Talos ha inoltre visto sovrapposizioni tattiche con la precedente attività ZipLine e con infrastrutture C2 basate su Heroku.

• Avvisa HR, legale, recruiting, finanza e logistica che esche a tema compliance fanno parte della campagna.
• Cerca persistenza tramite attività pianificate, loader PowerShell e traffico in uscita collegato a Heroku.
• Non affidarti solo a rilevazioni basate su tempi statici dei beacon. PowMix è stato costruito proprio per aggirare quella scorciatoia.

---

3. ZionSiphon è un campanello d’allarme per operatori idrici e di desalinizzazione

I ricercatori dicono che il campione attuale di ZionSiphon è rotto da un errore di validazione, ma l’intento è chiaro e brutale. Il malware controlla intervalli IP israeliani e software per il trattamento dell’acqua, poi tenta di modificare dose di cloro, stato delle valvole, stato delle pompe e pressione di osmosi inversa. Include anche propagazione via USB, elemento importante in ambienti industriali ancora dipendenti da supporti rimovibili.

• Rivedi subito i controlli sui supporti rimovibili e il monitoraggio delle workstation di ingegneria OT, prima che appaia una variante funzionante.
• Verifica che modifiche a cloro, pressione e pompe generino allarmi visibili e resistenti alla manomissione.
• Considera il malware ICS in fase iniziale comunque rilevante se la logica di sabotaggio è evidente.

---

Cosa dovrebbero fare oggi i team di sicurezza

1. Completare la rotazione del certificato Cisco Webex SSO e verificarla, non solo controllare lo stato della patch del vendor.
2. Allineare team e-mail, identità ed endpoint su esche PowMix ed esecuzione PowerShell.
3. Per gli operatori OT, testare se modifiche non autorizzate a cloro o pressione verrebbero rilevate abbastanza in fretta.
4. Dare alla leadership un aggiornamento semplice che unisca fiducia nella collaborazione, phishing verso i lavoratori e sabotaggio industriale in un unico quadro di rischio.

---

Bottom line: La lezione più forte di oggi è semplice: agli attaccanti non importa se la debolezza vive nell’identità, nel workflow utente o nel controllo dei processi fisici. Se porta fiducia, è un bersaglio.