La risposta breve
In luglio 2026 l'ACN ha registrato 188 incidenti cyber in Italia (+3% rispetto a giugno), su un totale di 305 eventi complessivi (–28% vs giugno). La diminuzione degli eventi è spiegata dall'assenza di campagne DDoS hacktiviste e da meno episodi che coinvolgevano fornitori IT. Gli incidenti, tuttavia, sono saliti: più compromissioni reali, meno «rumore» di attivismo digitale.
La notizia più concreta del mese è una campagna di defacement che ha colpito oltre 60 siti Joomla della pubblica amministrazione locale, sfruttando vulnerabilità note nel CMS. Il CSIRT Italia ha inviato 8.952 notifiche preventive (+198 vs giugno). Sul fronte delle vulnerabilità, luglio ha prodotto 9.919 nuovi CVE — quasi duemila in più rispetto a giugno — con 13 sotto sfruttamento attivo.
I dati di luglio in sintesi
Il Rapporto sulle Minacce Cyber — Operational Summary di luglio 2026, pubblicato dall'ACN il 21 agosto, fotografa un mese in cui la superficie d'attacco è rimasta sotto pressione nonostante la pausa estiva del calendario istituzionale. I 305 eventi totali sono diminuiti del 28% rispetto a giugno — un calo che riflette principalmente l'assenza di campagne DDoS di matrice hacktivista e un minor numero di episodi che coinvolgevano provider IT con impatti a cascata. Il dettaglio sugli incidenti racconta una storia diversa: i 188 incidenti classificati segnano un +3% rispetto ai 182 di giugno, coinvolgendo 256 soggetti nazionali distinti, di cui 208 appartenenti alla platea istituzionale sotto osservazione.
Il CSIRT Italia ha trasmesso 8.952 comunicazioni a enti e imprese italiane, un volume superiore di 198 unità rispetto al mese precedente, con l'obiettivo di informare preventivamente chi presentava condizioni di rischio o potenziali compromissioni in corso. Sul fronte del ransomware, luglio registra 19 rivendicazioni contro soggetti italiani — una in meno rispetto a giugno — distribuite soprattutto tra retail, manifatturiero e tecnologia. Il dato più insolito è l'azzeramento delle rivendicazioni DDoS: nessuna campagna di questo tipo è stata attribuita a soggetti italiani nel mese, a fronte di 46 rivendicazioni nel luglio 2025. Si tratta di un'assenza notevole, che potrebbe riflettere una rotazione tattica degli attori verso tecniche di compromissione più silenziose e redditizie.
La campagna Joomla: un segnale per tutta la filiera
Il caso più rilevante di luglio è una campagna di defacement che ha colpito oltre 60 siti web basati su Joomla CMS, appartenenti prevalentemente a enti della pubblica amministrazione locale. Il vettore d'accesso iniziale è stato lo sfruttamento di vulnerabilità note nel CMS: istanze non aggiornate, plugin obsoleti o configurazioni permissive hanno offerto agli attaccanti un punto di ingresso senza necessità di tecniche sofisticate. Il risultato visibile — la sostituzione dei contenuti con messaggi di propaganda — è la parte meno grave: il rischio reale sta nel fatto che lo stesso accesso che permette il defacement può essere usato per estrarre database, rubare credenziali o installare backdoor prima di rendere il compromesso evidente.
Questo incidente ha un'implicazione diretta per chi commissiona o sviluppa piattaforme web in Italia. Joomla non è un caso isolato: qualunque CMS o framework open source con un ciclo di aggiornamento non governato espone la stessa superficie. La PA locale è particolarmente vulnerabile perché spesso dispone di siti realizzati anni fa, con budget di manutenzione ridotti e nessuna procedura di patch management strutturata. Ma lo stesso schema si replica nelle PMI, nei portali istituzionali di enti privati e — con conseguenze potenzialmente più costose — nei software gestionali costruiti su dipendenze open source mai aggiornate. Chi affronta oggi un progetto di sviluppo software su misura ha la possibilità di scegliere architetture con cicli di aggiornamento controllati e obblighi contrattuali di manutenzione, invece di dipendere da un CMS generico lasciato a sé stesso.
I settori più colpiti
La distribuzione degli incidenti di luglio mostra quattro settori in prima fila, con profili di rischio distinti:
- PA locale: il settore più esposto, con la campagna Joomla come evento principale. La vulnerabilità è strutturale: piattaforme datate, manutenzione discontinua, personale IT ridotto. Il rischio non è limitato ai siti pubblici, ma si estende ai fornitori digitali che accedono a questi sistemi.
- Manifatturiero: phishing e compromissione delle caselle email. Il vettore umano rimane dominante: campagne di spear-phishing mirate a personale operativo o amministrativo sono il punto di ingresso verso ERP, sistemi di produzione e reti OT/IT. Chi integra software gestionale in ambienti industriali deve considerare l'autenticazione a più fattori come requisito non negoziabile.
- Tecnologico: episodi di esposizione di dati. Il settore IT è al tempo stesso bersaglio diretto e moltiplicatore di rischio: un fornitore tecnologico compromesso espone tutti i suoi clienti. Il report cita impatti a cascata da incidenti che coinvolgevano provider IT — un tema rilevante per chi sceglie un partner di cloud e DevOps.
- Telecomunicazioni: compromissioni di caselle email e credenziali. Il settore registra attività di credential harvesting, spesso preludio a movimenti laterali verso infrastrutture più critiche.
La distribuzione conferma una tendenza consolidata: nessun settore è immune, ma i punti d'ingresso preferiti restano le vulnerabilità non patchate e il fattore umano. I due vettori si combinano: una vulnerabilità CMS riduce il costo dell'attacco; un dipendente che clicca su un link di phishing elimina quasi ogni barriera tecnica.
CVE e patch: 9.919 nuovi record
Luglio 2026 ha prodotto 9.919 nuovi record CVE, quasi duemila in più rispetto a giugno (+1.918). Di questi, 324 includevano proof-of-concept pubblicamente disponibile e 13 erano già sotto sfruttamento attivo al momento della pubblicazione del rapporto. Il dato va letto con attenzione: non tutte le CVE sono ugualmente critiche, ma il volume complessivo misura la pressione permanente sul ciclo di patch management.
Per un team di sviluppo, questa cifra ha un significato operativo preciso. Ogni dipendenza open source — una libreria, un framework, un container base — può diventare oggetto di una CVE nuova nel giro di settimane. Un processo di dependency scanning automatico (integrato nella pipeline CI/CD) è la risposta tecnica corretta; senza di esso, il gap tra la pubblicazione di una vulnerabilità e la sua correzione in produzione si misura in mesi, non in giorni. I 13 CVE sotto sfruttamento attivo in luglio dimostrano che gli attaccanti non aspettano: i proof-of-concept pubblici vengono integrati nelle campagne in ore.
Cosa significa per chi sviluppa o commissiona software
Il rapporto ACN di luglio non è solo una fotografia statistica: è un elenco di decisioni di progettazione che si sono rivelate errate. Le tre lezioni operative che emergono sono chiare.
1. Il patch management deve essere un processo, non un evento. La campagna Joomla è avvenuta perché istanze note come vulnerabili non erano state aggiornate. Non si tratta di una negligenza eccezionale: è la norma per qualunque piattaforma senza un responsabile tecnico dedicato e un SLA di aggiornamento definito contrattualmente. Chi commissiona software — sia esso un'azienda privata o un ente pubblico — deve chiedere al proprio fornitore non solo cosa si costruisce, ma come si mantiene nel tempo e con quale frequenza vengono applicati gli aggiornamenti di sicurezza.
2. L'autenticazione anti-phishing non è opzionale per i sistemi critici. Il manifatturiero e le telecomunicazioni hanno subito compromissioni email che probabilmente hanno aperto l'accesso a sistemi più profondi. Le password, anche complesse, non bastano: le campagne di spear-phishing le aggirano sistematicamente. L'autenticazione a più fattori basata su standard resistenti al phishing — FIDO2/WebAuthn, chiavi hardware — è oggi una scelta di architettura da includere nelle specifiche, non un add-on posticipabile.
3. La sicurezza della catena di fornitura software si misura sui fornitori, non solo sul prodotto finale. Il report cita impatti a cascata da provider IT compromessi. Se un fornitore tecnico è compromesso, lo sono anche i suoi clienti — a prescindere da quanto sia sicuro il software che hanno acquistato. La due diligence di sicurezza sui partner tecnologici (audit, certificazioni, politiche di aggiornamento documentate) non è paranoia: è risk management in un mercato dove gli attaccanti colpiscono i nodi, non i terminali. Per chi sta valutando un progetto software enterprise, questo si traduce in criteri di selezione del vendor che includano esplicitamente la postura di sicurezza e le pratiche DevSecOps del fornitore.
Domande frequenti
Quanti incidenti cyber ha rilevato l'ACN in luglio 2026?
L'ACN ha registrato 188 incidenti cyber in luglio 2026, il 3% in più rispetto ai 182 di giugno. Gli eventi totali sono invece diminuiti del 28% (305 in luglio contro circa 425 in giugno), grazie all'assenza di campagne DDoS hacktiviste e a un minor numero di eventi che coinvolgevano fornitori IT.
Cos'è la campagna di defacement Joomla sulla PA italiana?
A luglio 2026 il CSIRT Italia ha rilevato una campagna di defacement che ha compromesso oltre 60 siti web basati su Joomla CMS, appartenenti prevalentemente a enti della pubblica amministrazione locale. L'attaccante ha sfruttato vulnerabilità note del CMS per sostituire i contenuti con messaggi politici o di propaganda. L'incidente mostra quanto le piattaforme CMS non aggiornate rappresentino un rischio sistemico anche per la catena di fornitura digitale.
Quali settori sono stati più colpiti in luglio 2026?
La pubblica amministrazione locale ha subito il maggior numero di attacchi di defacement. Il settore manifatturiero ha registrato phishing e compromissioni di caselle email. Il settore tecnologico ha segnalato episodi di esposizione di dati. Il settore delle telecomunicazioni ha avuto anch'esso compromissioni email. Nessun settore si è dimostrato immune.
Cosa devono fare le imprese che commissionano software dopo il rapporto ACN di luglio?
Il rapporto evidenzia tre priorità operative: (1) patch management continuo dei CMS e delle dipendenze open source, per non esporre vulnerabilità note; (2) autenticazione anti-phishing (MFA, chiavi hardware) su tutti gli accessi interni, in particolare per ERP e sistemi produttivi; (3) gestione del rischio nella catena di fornitura software, verificando che i vendor aggiornino regolarmente le loro piattaforme. Chi commissiona software su misura ha il vantaggio di scegliere architetture sicure fin dalla progettazione.
Fonti
ACN — Operational Summary di luglio: dati e indicatori della minaccia cyber in Italia, agosto 2026
CyberSecurity Italia — ACN: in Italia a luglio 2026 incidenti cyber al +3%, agosto 2026
Diritto Bancario — ACN sulle minacce cyber in Italia a luglio 2026, agosto 2026