Attacco a Commvault: vulnerabilità zero-day sfruttata da attori statali

Redazione RHC : 2 Maggio 2025 08:31

La piattaforma di backup dei dati aziendali Commvault ha segnalato una compromissione del suo ambiente Microsoft Azure a causa di un attacco che ha sfruttato una vulnerabilità precedentemente sconosciuta, il CVE-2025-3928. L’azienda ha affermato che l’incidente è stato avviato da un gruppo che agisce per conto di uno Stato, ma al momento non ci sono prove di un accesso non autorizzato ai dati degli utenti.

I rappresentanti di Commvault sono venuti a conoscenza dell’attività sospetta il 20 febbraio, quando hanno ricevuto una notifica da Microsoft. L’attacco è stato effettuato sfruttando una vulnerabilità zero-day successivamente identificata come CVE-2025-3928.

Le credenziali compromesse sono state successivamente aggiornate tempestivamente e le misure di sicurezza sono state rafforzate. Commvault ha affermato che la violazione ha interessato un numero limitato di clienti con cui la piattaforma collabora in collaborazione con Microsoft. L’azienda sottolinea che i dati di backup sono rimasti protetti e che le attività operative e l’erogazione dei servizi non hanno subito ripercussioni.Conoscenze che ti fanno bandire.

In precedenza, la vulnerabilità CVE-2025-3928 era inclusa nel registro delle vulnerabilità attivamente sfruttate. Le agenzie federali hanno ricevuto l’ordine di correggere le minacce al Commvault Web Server entro il 17 maggio 2025.

Insieme a ciò, vengono fornite raccomandazioni per prevenire tali attacchi. Tra queste rientrano l’implementazione di un criterio di accesso condizionale su tutte le applicazioni Microsoft 365, Dynamics 365 e Azure AD registrate all’interno di un singolo tenant.

Si consiglia agli utenti di monitorare le autorizzazioni provenienti da indirizzi IP al di fuori degli intervalli consentiti. I seguenti indirizzi IP sono stati identificati come fonti di attività dannose: 108[.]69[.]148[.]100, 128[.]92[.]80[.]210, 184[.]153[.]42[.]129, 108[.]6[.]189[.]53 e 159[.]242[.]42[.]20. Si consiglia di bloccare immediatamente questi indirizzi nei criteri di accesso condizionale e di registrare i tentativi di accesso da parte di questi indirizzi e di inoltrarli al supporto tecnico di Commvault per l’analisi.

Nel complesso, la situazione evidenzia la necessità di una revisione periodica delle impostazioni di sicurezza dell’infrastruttura cloud, soprattutto nel contesto di potenziali attacchi coordinati tra stati nazionali. Nonostante la portata limitata dell’incidente, la sua divulgazione è diventata un’ulteriore ragione per aggiornare le pratiche di sicurezza a tutti i livelli dei sistemi IT aziendali.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli