Ultime notizie di sicurezza informatica, incidenti e sviluppi dei modelli di IA, osservati e analizzati per le vittime e i ricercatori entro i limiti legali del white hat. Nessuna guida all'intrusione o allo sfruttamento.
Questo articolo è stato tradotto automaticamente.
- Cyberattack response: country-by-country guides
Nine country guides, local-language editions and downloadable non-executable BPMN response processes.
- Cyberattack response for companies in the United States
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United States.
- Cyberattack response for companies in the United Kingdom
Evidence, reports, counsel, insurance and public communications after a cyberattack in the United Kingdom.
- Cyberattack response for companies in Canada
Evidence, reports, counsel, insurance and public communications after a cyberattack in Canada.
- Cyberattack response for companies in Australia
Evidence, reports, counsel, insurance and public communications after a cyberattack in Australia.
- Cyberattack response for companies in Germany
Evidence, reports, counsel, insurance and public communications after a cyberattack in Germany.
- Cyberattack response for companies in France
Evidence, reports, counsel, insurance and public communications after a cyberattack in France.
- Cyberattack response for companies in the Netherlands
Evidence, reports, counsel, insurance and public communications after a cyberattack in the Netherlands.
- Cyberattack response for companies in Singapore
Evidence, reports, counsel, insurance and public communications after a cyberattack in Singapore.
- Cyberattack response for companies in Japan
Evidence, reports, counsel, insurance and public communications after a cyberattack in Japan.
- Cybersecurity daily — 1 November 2026: MCP migration and corrected extension scope
Smithery's connection-management shutdown date has arrived; Cursor's notice also names 2.1.312. Distinguish planned shutdown, observed operation and verification time.
- Cybersecurity daily — 31 October 2026: extension removal is not incident recovery
Cursor extension follow-up, Wasmtime UDP authorization bypass, and updated AWS Brotli mitigation status. Check host privileges, network authorization and deployed patches.
- Cybersecurity daily — 30 October 2026: verify enforcement beyond configuration
Clerk adds passkeys as a second factor; an older PDF MCP authentication flaw enters the advisory database. Verify enforcement, not just settings and logs.
- Cybersecurity daily — 29 October 2026: verify that Brotli patches are active
AWS details Brotli mitigation: phased Lambda rollout, Node.js 24 verification, container rebuilds and upstream-response decoding.
- Cybersecurity daily — 28 October 2026: separate detection, delegation and runtime authorization
Zuma/Agent Gateway runtime authorization and Socure Agent Intelligence: distinguish release stages and authority boundaries.
- Cybersecurity daily — 27 October 2026: the boundary around agent-managed IAM
Google Cloud introduces IAM Helper. Separate diagnostics and simulation from permission changes, and verify the approval-to-execution boundary.
- Why Faster Cybercrime Intake May Not Reduce Case Backlogs
Public Japanese statistics and an explicit queueing model show why faster intake may shift a bottleneck downstream. Evidence preservation, international assistance, and deterrence require distinct measurements.
- Crypto fraud and theft: Japanese requests for Canadian asset restraint and seizure
For Japanese victims and receiving police officers: RCMP cooperation, formal central-authority requests, evidence and translations, procedural-stage conditions and asset return.
- Prompt injection is not SQL injection: the NCSC design lesson
The NCSC blog says prompt injection is not SQL injection: current large language models do not separate instructions from data, and the risk may never be fully removed the way parameterized queries remove SQL injection (https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection). The NCSC news warns that the comparison is dangerous and challenges claims that the issue can be stopped (https://www.ncsc.gov.uk/news/mistaking-ai-vulnerability-could-lead-to-large-scale-breaches). Design lesson only. Not an attack guide and not legal advice.
- Cosa dire ai clienti sulle etichette dell’Article 50 dell’EU AI Act
La pagina Article 50 della Commission fissa i doveri dei provider e dei deployer per gli avvisi di interazione, la marcatura leggibile da una macchina e la disclosure dei deep fake (https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50). Un avviso di uno studio legale dice che quei doveri sono diventati applicabili il 2 August 2026 e non sono stati rinviati insieme alle regole ad alto rischio (https://www.goodwinlaw.com/en/insights/publications/2026/08/alerts-technology-dpc-eu-ai-act-transparency-obligations-now-in-force). Informazione generale, non una consulenza legale.
- Esercitazioni di sicurezza informatica che seguono i flussi di lavoro di settore
24 viste di settore, 18 superfici tecniche e otto esercitazioni offline che collegano l'apprendimento CTF a continuità, riparazione e ripristino.
- Video di IA, impersonificazione della voce e confini dell'autorità
Una rassegna con fonti su Tavus, sull'uso improprio dell'IA segnalato e sui confini di identità, consenso e autorità degli strumenti che chi adotta dovrebbe mettere alla prova.
- System One Coding: comporre il codice attraverso decisioni
Blocchi tipizzati, verifica a stadi, confronti misurati e un pilota gratuito con registrazione.
- Se il Suo account è stato preso: la «cronologia» e l'«elenco delle prove» da preparare prima di consultare la polizia (da copiare e usare)
Dopo una presa di account, che cosa conservare senza cancellare, con modelli di cronologia e di elenco delle prove da copiare. Poi contatti la polizia o il servizio di segnalazione dei reati informatici del Suo paese, e la Sua banca o il Suo fornitore di pagamenti.
- Se ha subìto una frode su cripto-asset: come preparare la «tabella dei trasferimenti» da portare alla polizia e all'exchange
In una frode su cripto-asset o su investimenti, prima di un altro trasferimento o di un «servizio di recupero», riunisca ogni pagamento e i messaggi in 1 foglio. Poi contatti la polizia o il servizio di segnalazione dei reati informatici del Suo paese, la Sua banca o il Suo fornitore di pagamenti, e la piattaforma. Questa pagina non promette un recupero.
- Foglio di lavoro per una denuncia all'IC3: che cosa raccogliere prima di presentarla (frode con cripto-asset e online)
Prepari ogni campo che l'IC3 dell'FBI chiede — perdite, hash delle transazioni, dati sull'altra parte, intestazioni — poi presenti una denuncia completa e conservi la Sua copia.
- Perché un'impresa ha bisogno di un gemello, e come Mithril ne fornisce uno
La produzione è il luogo sbagliato per imparare chi può raggiungere un sistema sensibile, che aspetto ha un rifiuto, o se il cluster in esecuzione corrisponde a quello che era stato dichiarato. Un gemello conserva quei nomi e non applica il risultato. Mithril rende quel gemello un documento: i componenti in dominio inverso si compongono, un'esecuzione restituisce la risposta e la decisione, e un cluster viene controllato rispetto all'osservazione senza essere avviato.
- Nessuna chiave rubata, $351 milioni in un'ora — l'intrusione nel hot wallet di Bitget e il confine di fiducia del flusso di approvazione
Bitget ha confermato il 25 settembre che circa $351.6 milioni sono usciti da porzioni dei suoi wallet hot e warm in trasferimenti non autorizzati rilevati alle 18:31 UTC il 24 settembre. I suoi cold wallet offline sono riportati come non toccati, i prelievi sono in pausa, e l'exchange dice che il suo User Protection Fund di $464 milioni copre l'intera perdita. Secondo Bitget, l'attaccante non ha preso le chiavi private ma ha raggiunto un sistema di backend e ha falsificato i dati della transazione per dirigere il flusso di approvazione a rilasciare i fondi. Esaminiamo la questione dell'attribuzione a Lazarus e l'isomorfismo con il tema del piano di gestione e di identità che questo osservatorio ha trattato nelle ultime settimane.
- La settimana in cui lo stesso emittente di identità è caduto — zero-day OAuth di F5 BIG-IP APM (CVE-2026-94127) e la concentrazione di KEV sui piani di gestione e di identità
F5 ha comunicato il 22 settembre che uno zero-day critico nel percorso OAuth di BIG-IP APM (CVE-2026-94127, CVSS 9.8) consente l'esecuzione di codice remoto senza autenticazione, e ha confermato lo sfruttamento in the wild. CISA lo ha aggiunto al catalogo KEV lo stesso giorno, con una scadenza federale al 25 settembre. Arista VCO e due difetti dei server di gestione Check Point sono entrati anch'essi in KEV quel giorno — esaminiamo la convergenza degli attacchi sui piani di gestione e di identità delle appliance di confine.
- La settimana in cui la strada verso il root locale si è aperta tutta insieme — le LPE del kernel Linux entrano nel catalogo KEV di CISA mentre arrivano exploit pubblici
Il 18 settembre, CISA ha aggiunto tre difetti del kernel Linux attivamente sfruttati (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) al catalogo KEV e Red Hat ha confermato che esiste codice di exploit pubblico. Lo stesso giorno sono stati pubblicati, sotto disclosure coordinata, exploit funzionanti per quattro LPE del kernel (DirtyAH6, TUNderflow, PPPoEject, DiagSpill). Esaminiamo perché l'escalation di privilegi su host condivisi sta seguendo le appliance di confine sotto i riflettori.
- Un bypass di autenticazione di gravità massima colpisce la stessa autorità di identità — Cisco ISE CVE-2026-76460 e lo schema ricorrente del compromesso root delle appliance di confine
Il bypass di autenticazione di Cisco ISE / ISE-PIC CVE-2026-76460 (CVSS 10.0) è sotto sfruttamento attivo. CISA lo ha aggiunto al catalogo KEV il 16 settembre con una scadenza di remediation federale al 19 settembre; non esiste un workaround e le iACL sono soltanto una mitigazione. Esaminiamo lo schema del compromesso root delle appliance di confine — in parallelo con lo zero-day del Secure Email Gateway (CVE-2026-76461) comunicato il 14 settembre — e che cosa significa quando i log della stessa appliance compromessa cessano di essere una fonte primaria.
- I gateway AI diventano la superficie di attacco — l'inserimento in KEV di LiteLLM e il percorso attraverso le chiavi, MCP e il cloud
Il bypass di autenticazione MCP di BerriAI LiteLLM (CVE-2026-59822) è entrato nel catalogo KEV di CISA, e Microsoft segnala attaccanti che usano gateway LiteLLM per consegnare XMRig. La ricerca di Wiz ha trovato che circa 1 su 10 di ~3,000 istanze pubbliche accettava la chiave predefinita sk-1234 oppure girava senza autenticazione. Esaminiamo che cosa significa che l'infrastruttura AI sia una cassaforte di credenziali.
- Quando il corpo dell'agente viene dirottato — una sola estensione che guida gli assistenti AI su cinque prodotti
Forever Security ha mostrato che una singola estensione browser ordinaria poteva guidare l'AI integrata di cinque prodotti — Chrome, Comet, Edge, Opera Neon e Claude. Separatamente, Mandiant ha riferito di un attaccante che ha dirottato una sessione di assistente di coding AI e ha diffuso il worm Shai-Hulud su circa 100 repository. Mappiamo i confini di fiducia dei runtime agentici.
- La catena zero-day del «patch gap» — vulnerabilità già corrette in Chromium e non ancora corrette in Chrome, condivise da più gruppi di spionaggio in 1 settimana
È emerso che la catena di attacco BlueMoon, che concatena l'uscita dalla sandbox V8 di Chrome e l'abuso di ALPC di Windows, era condivisa, nell'osservazione di Volexity, almeno da più cluster di origine cinese. Si riassume il pericolo del «patch gap»: la correzione è entrata in Chromium ma non è ancora riflessa nella versione stabile di Chrome.
- Brief per VC: SYN Ventures — un fondo specializzato in cybersecurity guidato da operatori
Un fondo con AUM di $900M, guidato da operatori, costruito da ex CISO e fondatori. Mappiamo i suoi due fondi e il portafoglio di ~40 società rispetto alla posizione di mithril.fund.
- Zero-day di Cisco Secure Email Gateway CVE-2026-76461 — quando la SQL injection nel parsing della posta finisce in esecuzione root
CVE-2026-76461 (CVSS 9.8) è sfruttato attivamente ed è stato aggiunto al catalogo KEV di CISA. Scomponiamo lo schema ricorrente del «compromesso root di un'appliance di confine» — e che cosa significa quando i log della stessa appliance non possono più essere considerati affidabili.
- Introduzione al blog Security Observatory
Osservazione e analisi quotidiane delle notizie di cybersecurity, degli incidenti e degli sviluppi dei modelli di AI, pubblicate qui.
- Scrittura di file non autenticati attraverso la porta posteriore del gateway di posta — lo zero-day FortiMail CVE-2026-104286 e la funzione IBE
Il 1° ottobre Fortinet ha annunciato uno zero-day di path traversal in FortiMail (CVE-2026-104286, CVSS 9.8) che consente la scrittura di file arbitrari non autenticati, confermando lo sfruttamento in ambienti reali. CISA lo ha aggiunto al catalogo KEV lo stesso giorno, con scadenza federale al 4 ottobre. Non esiste una release corretta pubblicata su nessuno dei quattro rami colpiti, quindi la disattivazione di IBE è una soluzione temporanea — la analizziamo nel contesto del picco KEV di fine settembre.
- Dalle vittime di truffe ai white hat delle imprese: una mappa del panorama della sicurezza informatica (2026)
Tredici categorie, dall'aiuto alle vittime di truffe ai test di sicurezza per le imprese, con perdite segnalate, finanziamenti annunciati, previsioni di mercato per editore e uno stato onesto di dove si colloca Mithril.
- Overflow di memoria condizionato da SAML su NetScaler — CVE-2026-88779 in KEV (scadenza 7 ottobre)
Citrix ha rivelato un difetto nei limiti del buffer di memoria in NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix afferma di aver osservato attacchi mirati contro deployment non mitigate che possono portare alla negazione di servizio. L'inserimento nel KEV della CISA stabilisce lo sfruttamento della vulnerabilità, e la descrizione breve dice che il difetto potrebbe consentire una negazione di servizio. Nessuna delle due fonti conferma che le deployment interessate siano state effettivamente interrotte. La CISA l'ha aggiunto il 4 ottobre, con scadenza federale il 7 ottobre. Insieme a CVE-2026-88771 e CVE-2026-88772 (entrambe aggiunte il 27 settembre), è la terza voce KEV di NetScaler aggiunta in due settimane, non la terza voce storica del prodotto (il catalogo contiene già voci precedenti, tra cui CVE-2023-4966). Le firme Global Deny List (v24 o successive) sono la mitigazione temporanea, e la correzione è in 14.1-73.41 / 13.1-64.28 o successivo.
- Unauthenticated API access in Cisco Catalyst SD-WAN Manager — CVE-2026-76504 Added to KEV (Due October 3)
Cisco published CVE-2026-76504 (CVSS 3.1 9.8 per Cisco, CWE-177) in advisory cisco-sa-sdwan-webauth-xr8beuuU: improper URI-encoding handling in the API session-based authentication management of Cisco Catalyst SD-WAN Manager can let an unauthenticated remote attacker reach the API with admin privileges. CISA added it to KEV on September 30, 2026, with a federal due date of October 3. Fixed releases start at 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1 (earlier branches migrate). No known workarounds exist; interim mitigation is restricting internet access to trusted hosts, plus the optional Live Protect shield. Cisco has confirmed exploitation in the wild.
- Apple CoreGraphics zero-day added to KEV — CVE-2026-86950, report of exploitation in an extremely sophisticated targeted attack (Due October 2)
On September 28, 2026, Apple released iOS 26.7.1 / iPadOS 26.7.1 / macOS Tahoe 26.7.1 / macOS Sequoia 15.8.1, fixing an out-of-bounds write (CVE-2026-86950, CWE-787) in CoreGraphics. Processing a maliciously crafted file may lead to arbitrary code execution; Apple says it is aware of a report that the issue may have been exploited in an extremely sophisticated attack against specific targeted individuals on iOS versions before iOS 27. CISA added the vulnerability to KEV on September 29, 2026, with a federal due date of October 2 (forensicTriage Yes). The CISA-ADP CVSS 3.1 base is 8.8 (High). The fix is the listed releases only; the primary sources reviewed for this post state no interim workaround.
- Binance: 'No wallet key leaked' - the largest hot-wallet incident on record (10/29) and first observations
From the night of October 29 UTC Binance disclosed a security incident involving unauthorized withdrawals from its hot wallets. Its verified frozen total stood at $2.54B (23:22Z) and then 'around $3 billion' (10/30 00:52Z); it states it will cover all losses and suspended deposits and withdrawals. Its initial investigation 'may involve a compromised DevOps engineer's laptop' through which an attacker reached a service container and submitted unauthorized withdrawal transactions, with no evidence of a wallet private-key leak. Reported stolen amounts range $5.6B-$6.3B with no confirmed total. This article records the first passive observation of 0x3E2bf1ac6bf0934BBba6456C341c2EcbCED632d5 (named by ZachXBT after the Arbitrum Security Council's ~$30.5M freeze; first tx 10/29 21:29:47Z, 3 EVM txs, 0.0038 ETH) the on-chain verification of the Arbitrum freeze transaction (from = the address itself), and two converging third-party attribution claims (TRM Labs: TraderTraitor; Specter: commingling with the DPRK-attributed Bitget exploit via THORChain).