622 correzioni in un solo giorno, il Pentagono che sospende la propria certificazione cyber, Bruxelles che pianifica capacità che non possiede, e i dati di Lidl che escono da un edificio che Lidl non controlla.
In questa edizione
- 01622 correzioni in un giorno. I due sfruttati attivamente hanno ottenuto punteggi di 7.2 e 5.3.
- 02Il Pentagono ha sospeso la certificazione cyber che ha impiegato sei anni a costruire.
- 03Bruxelles ha un piano per gli attacchi guidati dall'AI. L'applicazione inizia tra tre settimane.
- 04Non potete correggere 622 vulnerabilità. Smettete quindi di chiedervi se siete patchati.
- 05I dati dei clienti di Lidl sono usciti da un edificio che Lidl non controlla.
Ricevi il prossimo GRC Brief nella tua casella.
Iscriviti a The GRC Brief622 correzioni in un giorno. I due sfruttati attivamente hanno ottenuto punteggi di 7.2 e 5.3.
Il Patch Tuesday di luglio di Microsoft ha rilasciato correzioni per 622 CVE distinte, il rilascio più ampio nella storia del programma. A maggio, il VP of Engineering di Microsoft aveva avvertito che i pacchetti mensili sarebbero cresciuti perché l'AI sta accelerando la scoperta di vulnerabilità. Pochi si aspettavano 600 e oltre due mesi dopo. Il carico: 416 vulnerabilità in Windows, 82 ciascuna in Office e Office 2016, 46 in Edge, 17 in SharePoint Server. Più di 60 critiche, 26 con punteggio CVSS superiore a 9.0, 13 a 9.8. Tre zero-day, due dei quali già sfruttati: un bug di escalation dei privilegi in Active Directory Federation Services (CVSS 7.2) e una vulnerabilità di autenticazione mancante in SharePoint Server (CVSS 5.3). Entrambi figurano nel catalogo delle vulnerabilità note sfruttate di CISA, con scadenze federali al 17 e al 28 luglio. Il terzo, pubblicamente noto ma non ancora sfruttato, aggira la cifratura del dispositivo BitLocker con accesso fisico. I ricercatori citati hanno definito questo momento la fine del Patch Tuesday come rituale mensile e l'inizio di un patching continuo ad alto volume, ed erano pressoché unanimi nel ritenere che la prioritizzazione basata solo sul CVSS sia da considerarsi superata.
Fonte: Dark Reading · Microsoft July 2026 Patch Tuesday, 14 Jul 2026
La mia analisi
Il numero di titolo è 622. La lezione è 7.2 e 5.3. Questi sono i punteggi dei due bug che gli attaccanti stanno effettivamente usando questo mese. I tredici 9.8 non sono quelli che vi stanno causando danni. Se il vostro programma di patching ordina per CVSS e scende la lista, state correggendo nell'ordine sbagliato, con più fiducia di quanta i dati possano giustificare.
Ecco il dettaglio che dovrebbe chiudere il dibattito. Tenable ha evidenziato che i rating di sfruttabilità non tengono conto della velocità con cui l'AI costruisce oggi gli exploit: un modello frontier ha prodotto proof-of-concept funzionanti per 13 delle 14 vulnerabilità che Microsoft aveva classificato come improbabili o meno probabili da sfruttare. "Improbabile" è ora un'affermazione sul passato. Non è una previsione su cui pianificare un mese intero.
Cosa fare lunedì: smettete di trattare il CVSS come coda di priorità. Usate CISA KEV ed EPSS per identificare ciò che è effettivamente sfruttato, poi aggiungete il vostro contesto: cosa è esposto su internet, cosa detiene privilegi. SLA a livelli: ore per qualsiasi elemento in KEV, giorni per il resto. E accettate il punto strutturale: nessuno corregge 622 vulnerabilità. La prioritizzazione è ora il controllo, non la copertura del patching.
Il Pentagono ha sospeso la certificazione cyber che ha impiegato sei anni a costruire.
Il 13 luglio il Dipartimento della Difesa statunitense ha sospeso la fase due del CMMC, che avrebbe dovuto entrare in vigore a novembre, e ha avviato una revisione completa dell'intero programma con una task force di 60 giorni e una richiesta pubblica di informazioni. Il CMMC, annunciato all'inizio del 2020, richiedeva ai fornitori della difesa di dimostrare, attraverso valutatori privati approvati, la capacità di gestire informazioni governative sensibili. Il CIO del dipartimento ha dichiarato che i requisiti attuali e previsti generano costi di conformità proibitivi e oneri burocratici inaccettabili, soprattutto per le piccole imprese, insistendo tuttavia sul fatto che la cybersecurity rimane una priorità non negoziabile e che i fornitori devono ancora rispettare i propri obblighi regolatori e i requisiti della fase uno. Il sottosegretario all'acquisizione ha inquadrato la questione come la necessità di orientare gli approvvigionamenti verso un assetto di guerra, anziché sommergere i fornitori di burocrazia da tempo di pace. E un motivo più silenzioso è presente nell'annuncio: non ci sono abbastanza valutatori per condurre tutte le valutazioni entro la scadenza di novembre.
Fonte: US War Department · CMMC phase two suspension, 13 Jul 2026
La mia analisi
Leggete oltre la politica fino alla frase che conta: non ci sono abbastanza valutatori. Il programma non è collassato per ragioni di principio, ma per mancanza di capacità. Questo è il tema di tutta questa edizione. Un programma di certificazione è reale solo nella misura in cui esistono persone competenti per gestirlo, e la domanda di certificati supera sempre l'offerta di persone qualificate a valutarli. Osservo la stessa pressione nel mondo ISO ogni anno.
Se fornite alla base della difesa statunitense, non fraintendete questa notizia. Hanno sospeso la certificazione, non il requisito. La fase uno è in vigore. I vostri obblighi contrattuali e regolatori per proteggere quelle informazioni sono in vigore. Un audit sospeso non è un obbligo sospeso, e quando la revisione arriverà tra 60 giorni, il debito accumulato nel frattempo sarà esigibile in un'unica soluzione.
Notate anche la divergenza con l'Europa. La settimana scorsa Bruxelles ha trascinato in tribunale quattro governi per non aver recepito NIS2. Questa settimana Washington ha sospeso il proprio schema per abbassare la barriera ai piccoli fornitori. Stesso problema, istinto opposto: uno applica la burocrazia, l'altro la sospende. Nessuno dei due ha effettivamente risolto il problema sottostante: il lavoro ha superato le persone disponibili per svolgerlo.
Bruxelles ha un piano per gli attacchi guidati dall'AI. L'applicazione inizia tra tre settimane.
Il 7 luglio la Commissione europea ha presentato il suo Action Plan on Cybersecurity and Artificial Intelligence, inquadrando l'AI avanzata come dual-use: può individuare vulnerabilità, automatizzare attacchi e scalare incidenti a velocità senza precedenti, ma può anche rafforzare il rilevamento e la risposta. Tre obiettivi: promuovere l'uso sicuro dell'AI avanzata, rafforzare la resilienza cyber dell'UE ed espandere la capacità europea di AI per la cybersecurity. Gli elementi concreti includono la costruzione di una capacità di valutazione UE a supporto della valutazione di terze parti dei modelli AI da parte dell'AI Office, un blueprint sviluppato con ENISA, un ambiente di test sicuro e circa 100 milioni di euro di investimento del Fondo EIC in startup cyber e AI entro la fine del 2026. Il piano chiede inoltre una capacità di AI frontier sovrana per evitare nuove dipendenze strategiche. Si costruisce sullo stack esistente: l'AI Act, il Cyber Resilience Act, NIS2 e DORA; le disposizioni dell'AI Act sull'AI general-purpose iniziano a essere applicate il 2 agosto. La capacità di valutazione stessa è prevista per il 2027.
Fonte: European Commission · Action Plan on Cybersecurity and AI, 7 Jul 2026
La mia analisi
Qualche settimana fa vi ho detto che l'accesso all'AI frontier era diventato una licenza che Washington concede e revoca, e che dovreste mantenere un'opzione che non richiede il permesso di nessuno. Era la mia opinione. Ora leggete il piano della stessa Commissione: capacità di AI frontier sovrana, per evitare nuove dipendenze strategiche. Quell'argomento non è più una posizione da newsletter. È politica UE, per iscritto.
Riconoscimento dove è dovuto: questo è un documento serio che connette l'AI Act, NIS2, DORA e il CRA invece di inventare un altro framework. È importante. Ma siate onesti su cosa è un piano. La capacità di valutazione è prevista per il 2027. Le 622 CVE all'inizio di questa edizione sono arrivate martedì. Il divario tra il piano e la minaccia si misura in anni, e l'attaccante non sta aspettando il blueprint di ENISA.
La data da segnare in calendario non è il 2027. È il 2 agosto, quando l'AI Act inizierà a essere applicato ai fornitori di AI general-purpose. Se costruite su quei modelli, gli obblighi del vostro fornitore stanno per diventare il vostro problema di evidenza. Chiedete loro subito cosa vi forniranno, prima di averne bisogno in un audit.
Non potete correggere 622 vulnerabilità. Smettete quindi di chiedervi se siete patchati.
Una premessa: questo è un contributo di un vendor, contenuto sponsorizzato scritto dalla società di sicurezza Picus. L'argomentazione vale comunque la pena di essere considerata, e i numeri citati appartengono ad altri. Il primo semestre del 2026 ha prodotto più CVE di qualsiasi anno intero precedente al 2024, arrivando a circa una ogni 7.4 minuti. Lo Zero Day Clock, che traccia il tempo dalla divulgazione all'exploit funzionante su decine di migliaia di CVE, fissa ora la mediana 2026 ben al di sotto di un giorno, in calo rispetto a settimane di qualche anno fa. Solo una frazione di percentuale di quelle CVE diventa mai un attacco reale. I test live-fire non possono colmare il divario: un exploit può essere usato solo dove esiste e dove è sicuro usarlo, il che secondo Picus copre dal 10 al 15 percento della superficie d'attacco di una tipica impresa. Il resto, vulnerabilità senza exploit pubblico, sistemi regolamentati o air-gapped, l'advisory di stamattina, rimane non verificato. La loro proposta: ogni exploit è una catena di passi dipendenti, esecuzione, evasione delle difese, escalation dei privilegi, furto di credenziali, movimento laterale. Mappate una vulnerabilità ai passi che richiede, testate ciascuno rispetto ai controlli che effettivamente utilizzate, e se un passo necessario non ha percorso attraverso il vostro ambiente, la catena non può completarsi su quell'asset anche se la vulnerabilità è ancora presente.
Fonte: BleepingComputer · Picus sponsored post, 14 Jul 2026
La mia analisi
Vi dico che questo proviene da un vendor perché dovete sapere chi parla. Prendete la logica, saltate la demo. E la logica regge: a una nuova CVE ogni 7.4 minuti e exploit che arrivano in meno di un giorno, "siamo patchati" ha smesso di essere una domanda a cui si può rispondere. "Questa catena può completarsi qui" lo è ancora.
Guardate l'inizio di questa edizione e tutto si collega. I due bug sfruttati attivamente hanno ottenuto punteggi di 7.2 e 5.3. Una coda basata sulla severità li seppellisce. Il pensiero per catene li trova, perché chiede di cosa ha effettivamente bisogno un attaccante per avere successo nel vostro ambiente, non quanto il numero sia spaventoso in un foglio di calcolo.
La parte scomoda che nessuno vi vende: questo funziona solo se sapete cosa bloccano i vostri controlli, e la maggior parte delle organizzazioni non lo sa. Se non riuscite a rispondere con evidenze, anziché con un datasheet del vendor, alla domanda "il credential dumping tramite shadow copy verrebbe rilevato qui", nessuna analisi per catene vi salverà. Iniziate con l'inventario onesto, non con la piattaforma.
I dati dei clienti di Lidl sono usciti da un edificio che Lidl non controlla.
Venerdì 10 luglio, Lidl ha iniziato a notificare i clienti del negozio online in Germania, Belgio e Paesi Bassi che i loro dati erano stati sottratti. Non da Lidl. La violazione è avvenuta presso uno dei suoi fornitori di servizi IT, dove un file di dati clienti conservato separatamente è stato brevemente consultato e in parte copiato. Sottratti: titolo, nome e cognome, numero di telefono, indirizzo email, data di nascita e numero cliente. Lidl afferma che non vi sono indicazioni che password, indirizzi di fatturazione o consegna, dati bancari o informazioni di pagamento siano stati coinvolti, e che gli account dei clienti rimangono sicuri. Il fornitore non è stato nominato, il numero di clienti coinvolti non è stato reso noto e nessuno ha rivendicato l'attacco. Il fornitore ha ripristinato i propri sistemi, ha presentato denuncia alla polizia e ha avviato un'analisi forense; le autorità di protezione dei dati sono state notificate. Lidl, parte del Gruppo Schwarz, gestisce circa 12.900 negozi in 32 paesi. Per contestualizzare, il rapporto annuale dell'Autorità olandese per la protezione dei dati dell'8 luglio ha registrato più di 39.000 notifiche di violazione nel 2025, con le segnalazioni legate ad attacchi informatici in aumento da circa 1.500 a 2.400, e le segnalazioni di account takeover in aumento da circa 600 a più di 1.700.
Fonte: The Record · Lidl third-party breach, disclosed 10 Jul 2026
La mia analisi
Nessun numero di carta, quindi la gente scrollerà le spalle. Non fatelo. Nome, data di nascita, telefono, email e numero cliente è un kit di phishing già pronto, mirato a qualcuno che già acquista lì, e Lidl stessa lo ha detto apertamente quando ha invitato i clienti a prestare attenzione al phishing e alle frodi d'identità. Le segnalazioni di account takeover nei Paesi Bassi sono quasi triplicate in un anno. È questo l'uso di quei dati.
Ora la parte che riguarda voi. Lidl non è stata violata. È stato violato il fornitore di Lidl. Eppure le notifiche, il regolatore, le email ai clienti e i titoli dei giornali sono tutti di Lidl. Potete esternalizzare il trattamento. Non potete esternalizzare la responsabilità. Sotto il GDPR siete il titolare, quel fornitore è il vostro responsabile del trattamento, e l'Articolo 28 non è una formalità che avete firmato una volta nel 2019.
Lunedì, fate questa domanda ad alta voce: quali dei nostri fornitori detiene un file di dati clienti conservato separatamente? Chi lo ha autorizzato? Quando è stato verificato l'ultima volta? E verremmo a sapere di un incidente da loro, o dalla stampa? Lidl non ha nominato il suo fornitore. La domanda interessante è se il vostro nominerebbe voi.