CVE-2026-42897: Basta Aprire l'Email per

L'Email che si Apriva da Sola

Mercoledì mattina, ore 9:15. Marco, responsabile IT di una media azienda manifatturiera di Bergamo, stava controllando la posta aziendale dal browser. Un'email apparentemente innocua nella cartella spam catturava la sua attenzione: mittente sconosciuto, oggetto in inglese, nessun allegato visibile.

Ha aperto il messaggio per verificarne il contenuto prima di eliminarlo definitivamente. Un gesto di routine che fa migliaia di volte l'anno. Solo che questa volta, nell'istante esatto in cui l'email si caricava sullo schermo, qualcosa di invisibile stava già accadendo.

Nessun click su link sospetti. Nessun download di allegati. Nemmeno il tempo di leggere il testo del messaggio. OWAReaper, una backdoor sofisticata sviluppata dal gruppo criminale filorusso TA488, si stava già installando silenziosamente sui server dell'azienda.

Marco non poteva saperlo, ma aveva appena assistito al primo esempio documentato di "half-click exploit" su larga scala. Una nuova categoria di attacchi che sfrutta la CVE-2026-42897, una vulnerabilità di tipo Cross-Site Scripting (XSS) scoperta in Outlook Web Access.

Il Nuovo Panorama delle Minacce Email

Per anni, la sicurezza email si è concentrata su due vettori principali: allegati malevoli e link compromessi. Le aziende hanno investito milioni in sandbox per analizzare i file, filtri URL per bloccare i domini sospetti, formazione per insegnare ai dipendenti a "non cliccare".

Ora tutto questo non basta più.

Secondo i ricercatori di sicurezza che hanno analizzato la campagna TA488, stiamo assistendo a una svolta epocale nel cybercrime. Gli attaccanti non hanno più bisogno dell'interazione della vittima. Basta che l'email venga visualizzata nel browser per innescare l'infezione.

La CVE-2026-42897 rappresenta il 12% delle vulnerabilità XSS scoperte nel 2026 sui client email web-based. Ma è la prima a essere sfruttata attivamente su scala industriale da un gruppo APT (Advanced Persistent Threat) con capacità di livello statale.

Il CERT-PA ha registrato 847 tentativi di sfruttamento della vulnerabilità solo nelle ultime due settimane, con un picco di 156 attacchi concentrati nel settore manifatturiero del Nord Italia. Non è un caso: TA488 ha storicamente preso di mira le supply chain industriali per ottenere accesso a informazioni strategiche e proprietà intellettuale.

Anatomia di un Attacco Invisibile

Come funziona esattamente questo "half-click exploit"?

Il processo inizia settimane prima dell'invio delle email. TA488 conduce reconnaissance approfondite sui target, identificando le versioni di Outlook Web Access utilizzate e verificando la presenza della vulnerabilità CVE-2026-42897.

L'email di attacco viene crafted con codice JavaScript malevolo nascosto negli header HTML. Quando Outlook Web Access carica il messaggio per visualizzarlo, il browser interpreta automaticamente questo codice come parte legittima dell'interfaccia web.

In millisecondi, lo script esegue una serie di azioni coordinate:

1. Bypassa le protezioni Same-Origin Policy del browser
2. Sfrutta i privilegi elevati del contesto OWA per accedere alle API interne
3. Scarica e installa OWAReaper direttamente nella memoria del sistema
4. Stabilisce una connessione crittografata con i server C&C di TA488
5. Inizia la raccolta di credenziali e la mappatura della rete interna

Tutto questo avviene mentre l'utente sta ancora guardando il contenuto apparentemente innocuo dell'email. OWAReaper è progettato per essere "fileless": non lascia tracce sul disco rigido, operando esclusivamente in memoria e utilizzando tecniche di living-off-the-land per mimetizzarsi con i processi legittimi del sistema.

La backdoor persiste anche dopo il riavvio grazie a un meccanismo di auto-reinstallazione che sfrutta le chiavi di registro di Outlook per riattivarsi automaticamente al successivo accesso dell'utente.

Il Costo dell'Invisibilità

L'azienda di Marco ha scoperto l'infezione solo tre settimane dopo, durante un audit di sicurezza programmato. Nel frattempo, TA488 aveva esfiltrato 2,3 TB di dati, inclusi progetti di sviluppo prodotto, listini prezzi riservati e l'intero database clienti.

Il danno economico diretto è stato quantificato in 1,2 milioni di euro: interruzione della produzione per 4 giorni, costi di bonifica IT, consulenze legali per la notifica GDPR, e il programma di sostituzione gratuita delle password per 3.400 clienti.

Ma il costo reputazionale si è rivelato ancora più pesante. Tre fornitori strategici hanno sospeso i contratti in corso, citando preoccupazioni sulla sicurezza dei dati condivisi. Il titolo in borsa ha perso il 7% nei giorni successivi alla disclosure obbligatoria.

Il caso non è isolato. Il CLUSIT (Associazione Italiana per la Sicurezza Informatica) ha documentato almeno 23 incidenti simili nel secondo trimestre 2026, con un danno economico aggregato superiore ai 15 milioni di euro per le sole PMI manifatturiere lombarde.

Ripensare la Difesa: Oltre i Filtri Tradizionali

L'exploit CVE-2026-42897 costringe a rivedere completamente l'approccio alla sicurezza email. I filtri antispam tradizionali, anche quelli più avanzati, analizzano contenuti testuali, allegati e reputazione dei mittenti. Ma non sono progettati per rilevare codice JavaScript nascosto negli header HTML.

La prima linea di difesa è l'aggiornamento immediato: Microsoft ha rilasciato la patch per CVE-2026-42897 il 15 novembre 2026, ma molte organizzazioni continuano a ritardare l'installazione per timore di interruzioni operative.

Oltre al patching, serve un approccio multi-layer che includa:

• Sandboxing avanzato: soluzioni come MailSniper utilizzano sandbox cloud-based che eseguono rendering completo delle email in ambienti isolati, rilevando comportamenti anomali anche negli script "invisibili"
• Content Security Policy (CSP): configurazioni restrittive sui client web per limitare l'esecuzione di JavaScript non autorizzato
• Monitoraggio comportamentale: sistemi EDR che rilevano pattern di comunicazione anomali, anche da processi apparentemente legittimi

Verso un Futuro di Minacce Invisibili

CVE-2026-42897 segna l'inizio di una nuova era nel cybercrime. Se bastava già essere cauti con link e allegati, ora anche il semplice atto di leggere la posta diventa potenzialmente pericoloso.

Gli esperti prevedono che nei prossimi mesi vedremo exploit simili per altri client email web-based. La superficie di attacco si sta espandendo verso ogni interazione digitale, rendendo l'"interazione zero" il nuovo standard per gli attacchi avanzati.

La domanda non è più "se" la tua organizzazione sarà colpita, ma "quando" – e se sarai in grado di accorgertene in tempo.