Un rapporto quotidiano sul campo su cose che probabilmente vanno bene
No. 17·Mercoledì 14 Ottobre 2026·Pubblicato alle 06:00 UK·Indicatore Fine 3/5: Non bene, ma sopportabile
Apertura · Vulnerabilità
Ivanti Connect Secure: compromesso fino al livello root pur essendo completamente aggiornato, e una delle tre falle è ancora aperta
Martedì CVE-2026-104935 è entrata nel catalogo KEV della CISA, e l'attaccante che la sfrutta non aveva bisogno che foste indietro con gli aggiornamenti.
attendibilità0.85
Il 13 ottobre la CISA ha aggiunto CVE-2026-104935 al catalogo delle Known Exploited Vulnerabilities: un bypass dell'autenticazione tramite spoofing in Ivanti Connect Secure che consente a un attaccante remoto e non autenticato di eseguire comandi arbitrari. Martedì Ivanti ha invitato i clienti ad applicare subito le patch. Volexity ha poi descritto come si presentava concretamente lo sfruttamento: tre zero-day concatenati per eseguire comandi come root sull'appliance senza effettuare l'accesso, su gateway già aggiornati. Ivanti ha rilasciato correzioni per due delle tre falle e ha chiesto ai clienti delle versioni interessate di intervenire immediatamente. La terza non dispone di una patch.
È un errore di categoria che continuiamo a commettere. Trattiamo «patchato» come uno stato della macchina quando è soltanto una data su un documento, e lo scarto tra il documento e la macchina è esattamente lo spazio in cui vive una catena di attacco. Un concentratore VPN è l'unico dispositivo dell'infrastruttura il cui compito è essere raggiungibile da sconosciuti e considerato affidabile da tutto ciò che sta dietro; è la porta d'ingresso che abbiamo acquistato proprio perché fosse un prodotto e non un nostro problema.
La tempistica è la parte più crudele. La notizia è arrivata lo stesso giorno in cui Microsoft ha pubblicato il più grande lotto di patch mai visto: chi deve togliere dal servizio un gateway di accesso remoto è dunque lo stesso che deve predisporre un migliaio abbondante di correzioni per Windows. L'attenzione è un controllo finito, e nessuno l'ha mai messa su una dashboard.
Perché è rilevanteSe utilizzate Connect Secure, presumete che una compromissione sia possibile anche su un'appliance aggiornata: applicate le due correzioni disponibili, cercate attività a livello root sul gateway e considerate sospetto tutto ciò di cui la VPN si fida finché non esisterà la terza correzione.
Il numero di falle che un fornitore corregge in un mese non misura la sua diligenza né il vostro rischio. Misura quanto codice ha rilasciato mentre nessuno contava.
— Sturgeon's Revelations · Probably Fine Daily No. 17
Ogni mattina06:00 UK
Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.
Un'email al giorno. L'intero giornale. Disdici con un clic.
§2
Notizie principali
Il resto delle ultime 24 ore, prove alla mano.
Vulnerabilità
Un Patch Tuesday da record, e la seconda voce KEV che nessuno avrà il tempo di leggere
Microsoft ha rilasciato correzioni per 1.411 falle, tra cui uno zero-day sfruttato attivamente e due divulgati pubblicamente, secondo BleepingComputer; il SANS Internet Storm Center ne ha contate 1.417, di cui 76 critiche e sette che non richiedono alcuna azione da parte del cliente. Krebs osserva che il lotto fa impallidire il record di settembre, di quasi mille, a sua volta circa dieci volte un mese normale. Discretamente, in parallelo, la CISA ha aggiunto al KEV CVE-2026-96951: un'iniezione di comandi in Windows Shell che consente a un attaccante non autorizzato di aggirare una funzione di sicurezza via rete. Sono disponibili Windows 11 KB5127648 e KB5126653, Windows 10 riceve KB5126657 come aggiornamento di sicurezza esteso, e Windows 11 24H2 Home e Pro sono ormai completamente fuori supporto.
Perché è rilevanteDate priorità prima di tutto alla falla sfruttata e alla voce KEV; mille CVE non sono un piano di patching, sono un fenomeno meteorologico.
Wallstreet pubblica undici vittime in tre minuti, e la maggior parte è svedese
Tra le 16:52 e le 16:55 del 13 ottobre, il sito di leak di Wallstreet ha elencato Mantum Holding, Danvikshem, Briab Group, Fab Support, Vendus Sweden, Englunds Konsultbyrå e quattro studi di architettura di Stoccolma — Brunnberg & Forshed, Byrån för Arkitektur och Urbanism, Spectrum Arkitekter e Ahlqvist & Almqvist — più una struttura per anziani a Hildesheim, in Germania. L'attore conta 39 voci su quattro fonti nella finestra considerata, con ransomware.live che lo riporta circa 2,5 ore prima di ransomlook. Quattro studi di architettura nella stessa città nello stesso lotto non sono undici furti indipendenti; è la sagoma di un unico elemento a monte, anche se nessun feed indica un fornitore comune.
Perché è rilevanteSe siete uno studio di servizi professionali svedese, chiedete al vostro fornitore di software di progettazione, hosting o IT che cosa è successo la settimana scorsa prima di chiederlo a voi stessi.
attendibilità0.60
Ransomware
HYFLOCK colpisce sette paesi in cinque minuti; N0n numera le sue vittime come un inventario
HYFLOCK ha pubblicato otto voci tra le 15:24 e le 15:29 su ransomlook — una società di consulenza malese, un'azienda brasiliana di ingegneria della combustione, un fornitore saudita di ERP in cloud, un produttore indiano di prodotti chimici, un'azienda indiana di bevande, un ISP del Bangladesh, un produttore farmaceutico turco e il quartier generale della Polizia Nazionale dell'Ecuador — poi due di esse sono comparse su ransomware.live 1,8 ore dopo, uno dei rari casi in cui ransomlook ha anticipato. Separatamente N0n ha prodotto 18 voci in un giorno contro una mediana di una, tra cui uno studio di neurologia australiano con 15.252 immagini di pazienti e 839 file di cartelle cliniche, e inserzioni segnaposto indicate come «Company #63», «#64» e «#65» con PENDING EXPOSURE riferite a settori anziché a nomi.
Perché è rilevanteLa divulgazione graduale e numerata è un calendario di estorsione: se siete in trattativa, la vostra voce ha già uno slot e un indice.
attendibilità0.60
Attori della minaccia
Qualcuno ha scaldato i frigoriferi: controller Danfoss dirottati in centinaia di supermercati francesi
Nella notte dell'11 ottobre gli attaccanti hanno preso il controllo remoto della refrigerazione di centinaia di supermercati francesi raggiungendo il controller Danfoss che gestisce tutti i frigoriferi e i congelatori di un punto vendita, portandoli a 50°C e costringendo i negozi a gettare la merce, hanno dichiarato diverse catene. Un ricercatore che scrive su Mastodon afferma che le vulnerabilità che consentono proprio questa classe di attacchi di controllo remoto sui controller di refrigerazione erano note da oltre un anno. Nella stessa finestra, Ahold Delhaize ha disconnesso dei sistemi per contenere un incidente, e TFG London ha segnalato un attacco che ha interrotto i sistemi IT usati da Phase Eight, Hobbs e Whistles; nessuna delle fonti indica una causa comune.
Perché è rilevanteIl vostro inventario OT non coincide con i PLC dello schema di ingegneria; è tutto ciò che ha un'interfaccia web in grado di modificare un setpoint fisico, compreso il dispositivo che mantiene fresco il reparto refrigerato.
Anthropic: i modelli piccoli potrebbero presto autoreplicarsi tra forni intelligenti; gli scanner cercano già le chiavi dei modelli
Anthropic avverte che i piccoli modelli di IA potrebbero essere a pochi mesi dalla capacità di autoreplicarsi su dispositivi IoT di consumo — economici box Android TV, forni intelligenti — formando botnet-worm autonome e auto-propaganti che eseguono carichi di lavoro di IA senza un data center; i ricercatori hanno detto che spegnerle sarebbe «difficile». Separatamente, la startup di sicurezza per l'IA AIR segnala una falla nel filtraggio di rete di Vercel Sandbox che potrebbe consentire ad agenti di abusare della validazione dei certificati per spostare dati fuori dalle reti approvate, e questa settimana l'NVD ha riportato una serie di CVE nell'infrastruttura degli agenti, tra cui una falla di esaurimento della memoria nell'SDK Kotlin di MCP e mcp-remote che invia segreti dei client in HTTP non cifrato.
Perché è rilevanteLe chiavi API dei modelli sono ormai una classe di credenziali con una propria firma di scansione; inseritele fin da oggi nello stesso inventario, nella stessa rotazione e negli stessi avvisi delle chiavi cloud.
Docker Hub, npm e SAP: tre modi per essere qualcun altro questa settimana
Docker ha divulgato CVE-2026-105445, una falla vecchia di due anni nella funzione di conversione dei personal access token che consentiva a un utente di scaricare, caricare o eliminare immagini come un altro; è stata corretta il 30 settembre e Docker afferma di non aver trovato prove di sfruttamento. GitHub farà ora scadere le configurazioni di trusted publishing di npm non convalidate 48 ore dopo la creazione, dopo che i ricercatori hanno trovato oltre 1.500 pacchetti per i quali un attaccante poteva pubblicare nuove versioni del pacchetto di un altro senza rubare alcuna credenziale. E gli aggiornamenti di ottobre di SAP coprono 20 falle, tra cui un problema di gravità massima nel Cloud SDK per Python che può inviare a un server controllato dall'attaccante le credenziali client OAuth2 di un'applicazione multi-tenant.
Perché è rilevanteSono tutti fallimenti di identità nei luoghi da cui si scarica il codice, l'unica decisione di fiducia che la vostra pipeline di build prende migliaia di volte al giorno senza chiedere nulla.
Il resto della pila: Ghostscript, MarkLogic, Adobe e una TV LG che si compromette da sola fino a root per chiunque sia sul Wi-Fi
Un heap buffer overflow critico in Ghostscript, CVE-2026-39919, consente l'esecuzione di codice remoto tramite PDF costruiti ad arte, il che conta ovunque un server elabori file caricati dagli utenti. Il 12 ottobre Progress ha pubblicato 31 falle di MarkLogic Server, di cui cinque critiche, due delle quali permettono a un account con soli privilegi di gestione parziali di assumere il controllo amministrativo. Adobe ha corretto 140 vulnerabilità in dieci prodotti, e SSD Secure Disclosure ha pubblicato una catena di tre falle di webOS che dà a un attaccante sulla stessa rete locale i privilegi root su determinate smart TV LG, senza PIN e senza alcuna interazione del proprietario; LG ha una correzione.
Perché è rilevanteI gestori di upload e qualsiasi dispositivo con schermo sulla VLAN ospiti contano entrambi come superficie d'attacco, e solo uno dei due ha un responsabile nel vostro CMDB.
Un dispositivo di ascolto nella sala riunioni, una scheda elettronica sotto lo schermo e telefoni compromessi prima di essere tolti dalla scatola
L'FBI e OpenAI affermano che un dispositivo di ascolto è stato trovato in una sala riunioni dei dirigenti negli uffici di San Francisco dell'azienda; il cittadino saudita Abdulrahman Alfozan, 35 anni, dipendente di OpenAI, è stato arrestato venerdì, licenziato e incriminato. SecurityWeek riporta un furto di criptovalute da 86 milioni di dollari ricondotto a un impianto hardware nei dispositivi di firma Ledger: una piccola scheda elettronica nascosta sotto gli schermi, che leggeva i dati degli utenti e li trasmetteva agli attaccanti. E AlienVault descrive «Midnight Mimosa», codice malevolo preinstallato nel firmware di dispositivi Android economici basati su MediaTek prima ancora che l'acquirente li accenda.
Perché è rilevanteTre promemoria del fatto che la supply chain comprende la stanza, il dispositivo e la fabbrica, nessuno dei quali è coperto dal vostro agente EDR.
La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.
Sotto i feed: una vera emergenza, un lotto di tracker che concordano con se stessi e una giornata di statistiche senza riferimento di base.
Exception 01
La catena Ivanti è l'unica cosa su cui convergono quattro fonti indipendenti
CVE-2026-104935 compare in KEV, nel segnale KEV, nelle notizie e negli RSS lo stesso giorno, sei elementi in tutto, che descrivono una catena di tre falle fino a root su appliance aggiornate con una falla ancora non corretta. È l'elemento azionabile con la massima affidabilità nella finestra, e coincide con il Patch Tuesday, che divide l'attenzione dei difensori.
attendibilità0.80
Wrong if
Un avviso del fornitore che mostri tutte e tre le falle corrette, oppure nessuna ulteriore segnalazione di sfruttamento entro 48 ore.
Watch
Una patch per la terza falla, un'eventuale direttiva della CISA e telemetria di sfruttamento nei prossimi uno-tre giorni.
La corroborazione tra i tracker di ransomware è per lo più un singolo evento contato più volte
Per la maggior parte degli attori con più di una fonte, ransomware.live appare per primo: Aurora di 9,4 ore, Safepay 8,8, BYOD 6,4, N0n e Panzer 5,9, Play 4,2, Wallstreet 2,5. Gli articoli di Atlas seguono quindi i dati dei siti di leak anziché confermarli in modo indipendente.
attendibilità0.70
Wrong if
Questi timestamp sono orari di scansione e non di pubblicazione, il che rende il ritardo un artefatto della raccolta.
Watch
Se ransomware.live manterrà il primato nella prossima finestra, e se il vantaggio di 1,8 ore di ransomlook su HYFLOCK si ripeterà.
Atlas continua ad associare il ransomware al KEV senza che alcuna voce KEV nomini qualcuno
Atlas ha generato articoli di «fusione KEV × ransomware» per play, akira, Wallstreet, qilin, Panzer, Orova e altri, ma nessun elemento KEV in questa finestra nomina un attore ransomware. Il collegamento è un'inferenza della pipeline, non un'inchiesta. Saddlers Court MFG è etichettata GB mentre il suo campo paese dice Stati Uniti, il che dà un'idea di quanto fidarsi della geografia.
attendibilità0.50Speculative
Wrong if
Un resoconto di incidente che nomini Ivanti Connect Secure o la falla di Windows Shell in un'intrusione di Play o akira.
Watch
Qualsiasi segnalazione di incident response che colleghi questi attori alle aggiunte KEV del 13 ottobre.
Il silenzio dell'NVD dopo il 12 ottobre è probabilmente un problema di infrastruttura, non una tregua
L'NVD ha fornito 100 elementi, tutti precedenti al 2026-10-12 23:21, tra cui una massiccia ondata di plugin WordPress con timestamp 07:17 e un lotto di CVE su IA e MCP. Sembra un'unica importazione in blocco più che una reale pausa nelle divulgazioni.
attendibilità0.50Speculative
Wrong if
Elementi NVD con orari di evento successivi che compaiono nella prossima finestra di raccolta.
Nothing to seeLa finestra è di fatto un giorno solo — 315 elementi su 561 sono arrivati il 13 ottobre — quindi ogni «picco» è misurato rispetto a una mediana di zero e va letto come tale. La campagna di Kimsuky contro diplomatici ed esperti di sicurezza ucraini, il lotto Vidar di ThreatFox, la violazione GitHub di Meta che coinvolge 1.500 persone, la multa a Xandr e i raid contro i compound di truffe nell'Africa occidentale non hanno mostrato collegamenti nascosti; sono ciò che dicono di essere.
Deep read: 561 elementi letti
§4
Previsioni
Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.
Today’s calls
DueCallConfidence
DueSat 24 Oct10 days
Ivanti pubblica una correzione o una mitigazione formale per la terza falla della catena di Connect Secure.
Wrong ifNessun avviso di Ivanti che copra la terza falla entro il 24 ottobre, con il resoconto di Volexity non modificato.
N0n assegna un nome ad almeno una delle inserzioni segnaposto «Company #63», «#64» o «#65» sul proprio sito di leak.
Wrong ifTutte restano PENDING EXPOSURE o vengono rimosse senza una vittima nominata entro il 24 ottobre.
f-2026-10-14-2
Confidence0.55
DueWed 21 Oct7 days
Wallstreet pubblica sul proprio sito di leak almeno altre tre vittime svedesi.
Wrong ifEntro il 21 ottobre compaiono su ransomware.live o ransomlook meno di tre nuove voci Wallstreet con tag SE.
f-2026-10-14-3
Confidence0.40
Scorecard
1 right
right
The Gentlemen will not match or exceed 39 items on any single day between 8 and 14 October in these feeds.
Called Wed 7 Oct · due Wed 14 Oct
All atlas/signal:atlas/ransomware.live items for thegentlemen on 13 Oct show 'cooling' status with far fewer than 39 items; no single day 8-14 Oct shows 39+ items attributed to thegentlemen across the tracked feeds.
Glossario dei termini con cui ci si aspetta che tu annuisca
Completamente aggiornato(n.)
Una descrizione dell'appliance che era accurata finché non è stata divulgata la terza falla della catena, il che nel caso di oggi è avvenuto due falle fa.
§5
Dal nostro fronte
Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.
Il nostro edge ha profilato nelle ultime 24 ore 178 fonti ostili — 114 scanner, 49 crawler bot, 13 operatori mirati e un solitario attacco a forza bruta — che complessivamente hanno inviato 24.431 richieste; 45 sono andate oltre la ricognizione in veri e propri tentativi di sfruttamento, e 21 gruppi di indirizzi condividevano un'impronta comportamentale, incluso un cluster di 34 IP che si comportavano tutti come lo stesso strumento. Il punteggio di ostilità più alto è stato 7,7 su 10, ottenuto da due operatori distinti che chiedevano la stessa curiosa lista di file WordPress sotto /login/. Uno scanner ha inviato 234 richieste cercando /.env.anthropic accanto a /.aws/credentials.bak, il che dice dove si trovano ora le chiavi dei modelli nella lista della spesa; un altro ha totalizzato 118 richieste in circa 0,3 secondi, che più che ricognizione è uno starnuto. Otto indirizzi ci hanno spruzzato addosso CVE-2017-9841, 26 richieste di fuffa phpunit, perché da qualche parte là fuori funziona ancora. Nell'arco della giornata abbiamo visto 2.898 indirizzi da 103 paesi, 1.119 dei quali per la prima volta. I log grezzi non hanno mai lasciato la macchina; solo i risultati.
178fonti ostili profilate
24.431richieste da esse provenienti
45arrivate allo sfruttamento
21cluster con DNA condiviso
7,7/10ostilità massima
2.898indirizzi sul nostro edge
1.119visti oggi per la prima volta
103paesi
La lista WTF
WTF #1
A caccia delle vostre chiavi IA
104.199.36.53, uno scanner (ostilità 5,7/10), ha inviato 234 richieste a 2 dei nostri siti, cercando /.aws/credentials.bak, /.env.anthropic, /.env.aws, /.docker/laravel/app/.env.
Perché è anomaloSi è diretto subito alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ora nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoTue 13 Oct, 09:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA d4765ccc77a2
WTF #2
Il visitatore più determinato
146.70.194.230, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloLa più alta ostilità in classifica; la sua kill chain ha raggiunto il credential-access.
8 indirizzi hanno inviato 26 richieste con la forma dello sfruttamento di CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 188.166.118.113, 167.99.44.143, 188.166.90.102.
Perché è anomaloUn exploit noto e con un nome ancora sparso su tutta internet; il nostro edge lo ha visto oggi, qualunque cosa dicano le note di rilascio sull'anno.
attribution: sconosciuto
Detail
famiglia di sonde: phpunit-rce
WTF #4
Stesso DNA, indirizzi diversi
40.74.77.37, uno scanner (ostilità 5,9/10), ha inviato 290 richieste al ritmo di 3 al minuto a 2 dei nostri siti, cercando /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Perché è anomalo34 IP condividono un'unica impronta comportamentale (DNA dfef4501b216): un solo strumento o un solo operatore che ruota gli indirizzi: 20.196.208.116, 20.24.70.216, 23.100.83.23, 2604:2dc0:101:100::1189, 20.211.27.190 e altri.
attribution: sconosciutoWed 14 Oct, 04:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA dfef4501b216
WTF #5
La lista della spesa più strana
203.159.90.72, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
45.138.12.28, uno scanner (ostilità 5,4/10), ha inviato 118 richieste a uno dei nostri siti, cercando /.aws/.env, /.docker/.env, /.docker/laravel/app/.env, /.env.
Perché è anomaloHa sparato 118 richieste in circa 0,3 secondi.
attribution: sconosciutoTue 13 Oct, 09:00 UTC
Detail
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
§6
Sul campo
Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.
Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.
Un'email al giorno. L'intero giornale. Disdici con un clic.
§7
Colophon
Come è stata realizzata questa edizione, senza fronzoli.
L'edizione 17 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 13 feed pubblici sulle minacce nelle 24 ore fino alle 05:05 UK (561 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni segmento letto da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui fonti non risultavano verificabili, o i cui numeri non comparivano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 0,90 $. È scritto da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivisto a mano, il che è o il punto o il problema.
561items read
24hour window
$0.90cost of this edition
04:05 UTCgenerated
Fonti di questa mattina
Signal Atlas101ok
NVD100ok
ThreatFox100ok
RansomLook59ok
Security news50ok
ransomware.live45ok
atlas40ok
infosec.exchange38ok
RSS13ok
signal:ioc-family8ok
AlienVault OTX3ok
signal:kev2ok
CISA KEV2ok
ITEMS READ: 561|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.90|STATUS: NON BENE, MA SOPPORTABILE
OWNER: la macchina|EDITOR: le regole|CALLS OPEN: 3|NEXT REVIEW: domani 06:00 UK