Apertura · Vulnerabilità

L'MFA non ha ceduto su PAN-OS. Semplicemente non è mai stata richiesta

Palo Alto afferma che gli attori ransomware continuano a sfruttare CVE-2026-0257, un bypass dell'autenticazione corretto a maggio, per attivare connessioni VPN non autorizzate e aggirare l'autenticazione a più fattori; sono citati Qilin e INC.

attendibilità 0.85

L'autenticazione a più fattori non è un muro. È una domanda posta con garbo davanti a una porta, e CVE-2026-0257 è il trucco di entrare da una parte dell'edificio in cui nessuno fa domande. Palo Alto Networks ha comunicato di continuare a osservare lo sfruttamento della falla — CVSS 7.8, un bypass dell'autenticazione in PAN-OS e Prisma Access — da parte di attori ransomware che allestiscono connessioni VPN non autorizzate. Il rilancio del rapporto su Mastodon lo dice senza giri di parole: Qilin e INC, aggirando l'MFA, contro un bug corretto a maggio. Cinque mesi non sono un periodo di tolleranza. Sono una finestra con la tenda tirata davanti.

Nella stessa finestra Qilin ha avuto la giornata più rumorosa tra tutti gli attori nei feed: un picco di diciannove voci il 19 ottobre contro una mediana di una negli altri giorni, con rivendicazioni contro Belcorp, CREDIN, Salauno, Grupo Cronica, Dental Team FL, Johnson & Pace, SkyWorld Air Cargo, WalkingTree Technologies, GardaWorld e Toyota Canarias, seguite dai mirror dei leak site. INC ha rivendicato Seetelhotels.de e centralrogers.com negli stessi giorni. Nessuno ha dimostrato che quelle vittime siano state raggiunte tramite il bug di Palo Alto, e non faremo finta del contrario — ma il vendor dice che il vettore è attivo, e gli attori citati nell'avviso sono gli stessi che riempiono i leak site.

Il lavoro di oggi è dunque noioso e preciso: verificare, tramite la stringa di versione e non a memoria, che il vostro parco PAN-OS e Prisma Access abbia davvero ricevuto la correzione di maggio, poi andare a esaminare i registri di autenticazione VPN alla ricerca di sessioni arrivate senza che nessuno sia mai stato interpellato. La seconda metà è quella che tutti saltano, perché la prima produce la spunta verde. Un apparato aggiornato vi parla del futuro. I log vi parlano dei cinque mesi che avete già alle spalle.

Perché è rilevanteSe questo è il vostro perimetro, il controllo compensativo che avete citato al consiglio di amministrazione — l'MFA sulla VPN — è esattamente ciò che l'exploit elimina.

Prove

Today’s revelation

Una radice di fiducia non è un fatto matematico. È il racconto della peggiore mattinata vissuta da qualcuno durante una cerimonia delle chiavi, conservato per un decennio nel vostro trust store.

— Sturgeon's Revelations · Probably Fine Daily No. 24

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Otto chiavi di CA erano abbastanza deboli da essere recuperate, e quattro programmi root hanno smesso in silenzio di fidarsi

L'autorità di certificazione eMudhra ha revocato otto certificati intermedi compromessi dopo che i ricercatori hanno scoperto che le chiavi private erano così deboli da poter essere recuperate da chiunque quasi all'istante, consentendo di falsificare certificati attendibili per siti legittimi. Go ha rilasciato il 20 ottobre le versioni 1.27.3 e 1.26.10, facendo sì che il suo verificatore rifiuti qualsiasi catena che passi per quelle otto chiavi intermedie; Mozilla, il Chrome Root Program di Google e Apple si sono accodati. Come le chiavi siano diventate così deboli non è chiarito in nessuna delle ricostruzioni di oggi. Un post sull'argomento recita, per intero, che le autorità di certificazione hanno dimostrato ancora una volta di non essere affidabili in nulla, e nessuno nelle risposte ha obiettato.

Perché è rilevanteTutto ciò che effettua pinning, verifica o compilazione con Go richiede la nuova toolchain; tutto il resto eredita la correzione da un fornitore e non vi avviserà che è avvenuto.

attendibilità 0.85

Prove

Vulnerabilità

La CISA ha aggiunto sei voci al KEV, e quattro riguardano il vostro media server

Il 20 ottobre la CISA ha aggiunto CVE-2026-96652, 96654, 96655 e 96656 in Plex Media Server — due SSRF, una falla nello schema URI codificato e una scrittura arbitraria di file, esplicitamente descritte come concatenabili — oltre a CVE-2026-110936 in Siemens Software Center e CVE-2026-106931, una OS command injection in EG Secure Solutions SiteGuard Server Edition che esegue comandi come root o SYSTEM. Lo sfruttamento della catena Plex è iniziato un giorno dopo la pubblicazione di una proof of concept il 16 ottobre, con la consegna di un miner XMRig e di una backdoor reverse proxy per Linux, a fronte di una correzione rilasciata nella versione 1.43.3.10861 il 3 agosto. C'è una discrepanza nelle descrizioni che vale la pena notare: il KEV presenta parti della catena come subordinate a un utente amministratore o autenticato, mentre l'analisi pubblica che circola su Mastodon definisce il risultato finale una RCE non autenticata. La falla Siemens viene usata in esche ClickFix, che abbinano una copia autentica e firmata di Software Center a DLL malevole.

Perché è rilevanteDue mesi e mezzo tra la patch e l'inserimento nel KEV significano che la popolazione esposta è fatta di dispositivi domestici e di piccole imprese di cui nessuno ha un inventario.

attendibilità 0.90

Prove

Malware e IOC

Sette canali di aggiornamento fidati in una settimana: non è una coincidenza, è piuttosto un modello di business

Una credenziale API di Microsoft 365 appartenente a ConnectWise Cloud Backup, già SkyKick, è stata compromessa e usata per autenticarsi nei tenant M365 dei clienti; ConnectWise ha sospeso il servizio, reimpostato gli account e sostituito le credenziali applicative, e afferma che l'impatto sui clienti non è ancora confermato. Negli stessi giorni un attaccante ha usato l'account GitHub dirottato di un collaboratore per sostituire gli archivi di download di cinque release esistenti della CLI di OVHcloud con una build che ruba segreti; i download di Rank Math PRO tra le 20:02 UTC del 15 ottobre e le 07:12 UTC del 16 ottobre contenevano una backdoor in grado di ripristinarsi da sola; chiavi di connessione UpdraftCentral rubate sono state usate per installare backdoor su siti WordPress; l'infrastruttura di aggiornamento di AOMEI ha distribuito un downloader ShinyRoad agli utenti di un software che, secondo il fornitore, conta oltre 100 milioni di utenti; e Zeabur chiude dopo che un intruso ha usato credenziali interne in chiaro per sottrarre 3,2 milioni di record di variabili d'ambiente e dati su 321.810 account. OpenCode chiude il quadro: un intruso ha raggiunto un sistema legacy nella notte del 16 ottobre e potrebbe aver esposto le chiavi API OpenAI, Anthropic e Google salvate dagli utenti.

Perché è rilevanteLa vostra allow-list è un elenco di persone le cui credenziali fanno ormai parte della vostra superficie di attacco; fate l'inventario dei fornitori che detengono token nel vostro tenant e ruotate quelli che li hanno.

attendibilità 0.90

Prove

Ransomware

226 rivendicazioni in sette giorni, e il gruppo in più rapida crescita pubblica diagrammi di rete invece di richieste di riscatto

Il conteggio settimanale riporta 226 rivendicazioni sui leak site da parte di 38 dei 130 gruppi monitorati, con N0n in impennata a 51 rivendicazioni contro le 20,74 attese in base al suo tasso precedente, iah6477 a 8 contro 1,0 e Helix a 7 contro 0,81. Gli annunci di N0n non somigliano a quelli di una normale crew di cifratura: file di configurazione di rete e dispositivi di un sito di messa in onda televisiva, segreti di accesso a infrastrutture di pagamento e topologia cloud, credenziali di amministratore di hosting ERP e di accesso remoto, e una serie di segnaposto anonimizzati — da Company #92 a #98 — tra Corea del Sud, Svizzera, Trinidad e Tobago, Tunisia ed Etiopia. Altrove Booba Project ha pubblicato sette vittime in un giorno, tra cui 295 GB attribuiti alla Research Foundation of The City University of New York, Redact ha elencato Baker Donelson con 355 GB in 102.390 file, e l'FBI, insieme ad agenzie britanniche e tedesche, ha definito SafePay tra i gruppi più attivi, con oltre 600 vittime dal 2024, che ottiene l'accesso indovinando password, sfruttando vulnerabilità e con il phishing.

Perché è rilevanteUn gruppo che privilegia credenziali e topologia rispetto alla cifratura sta vendendo accessi e leva negoziale, il che significa che la vostra finestra di rilevamento è prima che qualcosa si rompa, non dopo.

attendibilità 0.80

Prove

1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…

IA e sicurezza

Una piattaforma di penetration test basata su IA è stata puntata su 1.200 siti web e ha semplicemente fatto il suo lavoro

Almeno tre attori delle minacce hanno abusato della piattaforma di IA Cairn per ottenere accesso persistente e commettere furti finanziari; uno di loro, un operatore di lingua cinese, ha puntato agenti autonomi su oltre 1.200 siti web aziendali raggiungendo più di 100 organizzazioni, tra cui John Deere, SharkNinja e Cummins; un ricercatore ha potuto osservare tutto perché gli operatori avevano lasciato i pannelli di controllo esposti su internet. Negli stessi due giorni NIST, CISA e NSA hanno pubblicato dieci pratiche volontarie per prepararsi a incidenti causati da agenti di IA fuori controllo, rilevarli, rispondere e segnalarli, e Microsoft ha affermato che le aziende dovrebbero trattare gli agenti come insider, concedendo l'accesso per singolo compito e restringendolo man mano che il punteggio di rischio dell'agente sale. Nella stessa finestra è arrivato anche MITRE ATT&CK v20, che cataloga l'abuso dell'IA, l'elusione dell'MFA e gli attacchi alle reti idriche con 15 nuove strategie di rilevamento e 38 analitiche.

Perché è rilevanteL'agente dell'attaccante è già in produzione; il vostro è in fase pilota con un comitato di coordinamento.

attendibilità 0.80

Prove

Vulnerabilità

PHP rilascia oggi patch d'emergenza perché i dettagli sono trapelati prima

Il 20 ottobre il team di sicurezza di PHP ha avvertito gli amministratori di prepararsi ad aggiornamenti d'emergenza il giorno seguente — cioè oggi — per due vulnerabilità critiche, dopo che le informazioni sulle falle sarebbero trapelate prima della divulgazione programmata; un post circolato nella notte le identifica come CVE-2026-109618 e CVE-2026-109619. Parallelamente, è disponibile un exploit proof-of-concept pubblico per CVE-2026-106173, una path traversal critica in Fortinet FortiSIEM con CVSS 9.4 che consente l'esecuzione di codice remoto non autenticata; Drupal ha avvertito del rischio di sfruttamento rapido per una RCE critica nel core; F5 ha rilasciato patch fuori ciclo per tre falle critiche di NGINX; e un bypass dell'autenticazione critico in BeyondTrust Remote Support, CVE-2026-102764, risulta sfruttato in the wild.

Perché è rilevanteI tempi della divulgazione sono ormai un dato di pianificazione per gli attaccanti; se i dettagli trapelano prima della correzione, siete in una corsa allo sfruttamento a cui non avete scelto di partecipare.

attendibilità 0.85

Prove

Attori delle minacce

Le persone che chiamate durante un'estorsione potrebbero essere state in confidenza con gli estorsori

KrebsOnSecurity riferisce che gli investigatori federali statunitensi sulle tracce di ShinyHunters, il gruppo che di recente ha rubato dati altamente sensibili all'FBI, hanno individuato dirigenti di due distinte società di negoziazione con i ransomware che intrattenevano rapporti insolitamente stretti con il gruppo di estorsione, uno dei quali sospettato di gestire un sito di estorsione. Per ora la notizia si basa su una sola fonte e le società non sono nominate nell'articolo. Arriva in una settimana in cui Ahold Delhaize ha confermato che azioni malevole hanno messo fuori uso i sistemi della maggior parte dei suoi marchi negli Stati Uniti e in Europa, senza che alcun gruppo abbia rivendicato l'attacco.

Perché è rilevanteLa due diligence sul vostro panel di risposta agli incidenti è ormai un controllo di sicurezza, non una formalità di acquisto — chiedete chi possiede il negoziatore e con chi ha lavorato.

attendibilità 0.50

Prove

Curiosità

Le pagine di aiuto di WhatsApp dicevano al proprio chatbot di non menzionare l'autorità di controllo

Le pagine di aiuto di WhatsApp contenevano istruzioni nascoste per il chatbot di assistenza, con l'ordine di non consigliare un'autorità per la protezione dei dati o un regolatore agli utenti che non riuscivano più a eliminare il proprio account — una posizione contraddetta dalla stessa informativa europea sulla privacy, che dice agli utenti di poter presentare reclamo. Altrove, nell'archivio dell'improbabile di questa settimana: un ex dipendente di OpenAI accusato di aver collocato un registratore nascosto in una sala riunioni stava, secondo la procura, per volare in Arabia Saudita, e la sua famiglia ha lasciato il paese il giorno dopo il suo arresto. E nei dati dei leak site, l'annuncio di Global Secret Group relativo a Seminole Schools abbina un dominio della Florida al sito di un distretto scolastico dell'Oklahoma, il che dà un'idea di quanta cura ci sia nei record delle vittime che tutti citiamo.

Perché è rilevanteIl testo di un prompt in una pagina di aiuto è ormai una policy, e nessuno in governance lo sta rivedendo.

attendibilità 0.75

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: un'unica osservazione a monte in sei costumi diversi, e una comunicazione dei programmi root che si è mossa prima delle notizie.

Exception 01
Go ha bloccato le chiavi ore prima che eMudhra venisse nominata
La modifica della blocklist di Go è arrivata il 20 ottobre circa tre-cinque ore prima che gli organi di stampa attribuissero le otto chiavi a eMudhra, con il flusso di notizie di cybersicurezza in anticipo di 7,6 ore sugli RSS riguardo a questa entità, e con Mozilla, Google e Apple a seguire. Questa sequenza sembra indicare una divulgazione coordinata e discreta tra gli operatori dei programmi root, più che una scoperta indipendente. La causa all'origine delle chiavi deboli resta ignota.
attendibilità 0.70
Wrong if
Prove che il rilascio di Go non fosse collegato a eMudhra, o che le chiavi non fossero deboli.
Watch
Rapporti post-incidente di eMudhra, il bug tracker di Mozilla ed eventuali prove concrete di emissioni illecite.
Prove
Exception 02
I conteggi incrociati sugli attori ransomware sono per lo più una sola fonte, riecheggiata
Ransomware.live precede ransomlook su quasi tutte le entità condivise, di un intervallo compreso tra 1 e 23,2 ore, e Atlas ha emesso un blocco di articoli su «thegentlemen» con un unico timestamp, le 17:18 del 19 ottobre, che signal:atlas ha poi ripetuto 29,7 ore dopo. L'ampiezza delle fonti è dunque un cattivo indicatore di corroborazione in questo caso, e il peso apparente di sei fonti dietro Qilin va ridimensionato di conseguenza.
attendibilità 0.70
Wrong if
Conferme indipendenti di vittime che compaiano su ransomlook prima che su ransomware.live.
Watch
Se il prossimo ricalcolo di Atlas verrà di nuovo raggruppato alle 17:xx.
Prove
1. 1ransomware.liveqilin claimed Belcorp (Retail & E-Commerce · PE) —…
Exception 03
N0n appare automatizzato e orientato ai soli dati
N0n conta 34 elementi su tre fonti, con almeno undici vittime pubblicate in circa 24 ore e poi i segnaposto numerati da Company #95 a #98 rilasciati insieme, con annunci che puntano su configurazioni di rete, topologia e segreti di accesso più che sulla cifratura. Questo schema è coerente con un'automazione a lotti e con un modello di access broker o di estorsione dei dati più che con un'operazione ransomware convenzionale. Parte del volume apparente si sovrappone a un cluster di aggregatori di 38 elementi nell'ora delle 17:00 UTC del 19 ottobre.
attendibilità 0.50Speculative
Wrong if
Vittime che confermino la cifratura o l'interruzione operativa, oppure voci numerate che si risolvano in vittime con nome a un ritmo ordinario.
Watch
Se i segnaposto verranno de-anonimizzati e se la produzione resterà sopra il tasso settimanale atteso di 20,74.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…
Exception 04
Il cluster della supply chain condivide una forma, non ancora una campagna
ConnectWise, OVHcloud, Rank Math PRO, UpdraftCentral, AOMEI e Zeabur sono state tutte colpite nel giro di pochi giorni, e lo schema comune è il furto di credenziali, chiavi e segreti da strumenti di sviluppo e amministrazione piuttosto che un singolo exploit. Che si tratti di un'unica campagna non è dimostrato; ConnectWise è comparsa in OTX 3,3 ore prima della copertura giornalistica, il che è coerente con una divulgazione che parte dagli indicatori.
attendibilità 0.50Speculative
Wrong if
Cause radice distinte e non correlate, senza infrastrutture o strumenti condivisi negli indicatori degli incidenti.
Watch
ConnectWise che confermi l'impatto sui clienti, ed eventuali IOC in comune tra gli incidenti di OVHcloud, Rank Math e Updraft.
Prove

Nothing to seeI picchi di indicatori Mozi e Mirai alle 04:06 sono un feed che espira, senza alcun significato attribuibile a un attore. Gli articoli «crisi composta» di Atlas su Taiwan, Russia, Colombia e Vanuatu non hanno alcun elemento a supporto nella finestra. I rapporti su Swallowtail e APT28 sono quasi certamente due fornitori che nominano la stessa attività di spionaggio russa, non una seconda campagna. La rivendicazione di 250 GB su AfD su Mastodon non è verificata e resta fuori finché qualcuno non mostra il proprio lavoro. E i silenzi dopo le 05:48 del 20 ottobre in atlas, KEV e Qilin sono cadenza di scraping, non quiete.

Deep read: 391 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueFri 23 Oct72h
PHP pubblica entro la fine del 23 ottobre le correzioni per le due falle critiche segnalate il 20 ottobre (riportate come CVE-2026-109618 e CVE-2026-109619).
Wrong ifNessuna release di PHP che risolva tali falle entro le 23:59 UTC del 23 ottobre.
Prove
f-2026-10-21-1
Confidence0.85
DueWed 28 Oct7d
N0n pubblica almeno altre dieci vittime sui leak site, tra ransomware.live e ransomlook, entro il 28 ottobre, incluso almeno un segnaposto numerato risolto in un'organizzazione con nome.
Wrong ifMeno di dieci nuovi annunci di N0n, oppure nessun segnaposto numerato de-anonimizzato, entro il 28 ottobre.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…
f-2026-10-21-2
Confidence0.60
DueWed 4 Nov14d
La CISA aggiunge al catalogo KEV la path traversal di FortiSIEM CVE-2026-106173 entro il 4 novembre, a seguito della proof-of-concept pubblica.
Wrong ifCVE-2026-106173 assente dal KEV il 4 novembre.
Prove
1. 1Security newsCritical FortiSIEM Flaw Gets Public Exploit PoC for…
2. 2CISA KEVCVE-2026-96656 Plex Media Server: Plex Media Server…
f-2026-10-21-3
Confidence0.40

Scorecard

1 right · 4 open

open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
No T-Mobile item in today's feed either way; absence alone doesn't settle it.
open
CVE-2026-102255 (SonicWall SMA1000) is added to the CISA KEV catalogue.
Called Sun 11 Oct · due Wed 21 Oct
Today's KEV additions (SiteGuard, Plex x4, Siemens) don't include CVE-2026-102255, but the due date is today and the feed isn't complete.
Prove
1. 1CISA KEVCVE-2026-106931 EG Secure Solutions SiteGuard Serve…
open
No confirmation of a breach at KFC, MoneyGram or Confluent appears in these feeds, leaving The Gentlemen's big-brand listings unverified.
Called Sun 11 Oct · due Wed 21 Oct
No KFC, MoneyGram or Confluent confirmation appears in today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
No confirmation by any of the five appears in today's items, but absence doesn't settle a negative call.
right
CISA will add at least one of the Plex2Shell CVEs (CVE-2026-96652, -96654, -96655 or -96656) to the KEV catalogue by 3 November 2026.
Called Tue 20 Oct · due Tue 3 Nov
CISA KEV added all four Plex2Shell CVEs (96652, 96654, 96655, 96656) on 20 Oct, well before 3 Nov.
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

CA intermedia (n.): Un'autorità di certificazione che non è la radice, ed è per questo che finisce per essere una nota a margine nel vostro trust store, una riga nelle note di rilascio d'emergenza di qualcuno, e qualcosa su cui facevate affidamento senza saperlo fino al giorno in cui vi è stato detto di smettere.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, intanto, ha continuato la sua imitazione di una placida cittadina di mare. Nelle ultime 24 ore il sensore Adversary DNA ha profilato 13 fonti ostili — 8 scanner, 4 crawler bot e 1 brute forcer — che complessivamente hanno inviato 1.834 richieste; due sono passate dalla ricognizione ai tentativi di sfruttamento, e un'impronta comportamentale (DNA dfef4501b216) ha coperto due indirizzi diversi, 178.211.139.240 e 20.207.202.183, il che significa un solo strumento o un solo operatore che cambia cappotto. Il primo in classifica, 20.194.17.163 con 6,1 su 10, ha inviato 50 richieste a 26 al minuto chiedendo /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php — notate la I maiuscola dove dovrebbe esserci una l — e /bdroot.php. Un altro, 94.26.106.162, ha chiesto /.env, /.env.local, /.env.staging e /.env.development 82 volte in circa 1,7 secondi, il che indica o un problema di taratura o genuino entusiasmo. E due indirizzi hanno inviato richieste modellate su CVE-2015-2051 verso /hnap1, perché da qualche parte un router D-Link è ancora in ascolto e la speranza è l'ultima a morire. Su 6.862 indirizzi visti al nostro perimetro in 89 paesi, 3.024 erano nuovi oggi. I log grezzi non hanno mai lasciato la macchina.

13fonti ostili profilate

1.834richieste da esse inviate

2arrivate allo sfruttamento

1cluster a DNA condiviso

6,7/10massima ostilità

6.862indirizzi al nostro perimetro

3.024visti per la prima volta oggi

89paesi

La lista WTF

WTF #1
Il visitatore più determinato
20.194.17.163, uno scanner (ostilità 6,1/10), ha inviato 50 richieste a 26 al minuto a uno dei nostri siti, alla ricerca di /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Perché è anomaloLa più alta ostilità in classifica; la sua kill chain è arrivata alla weaponization.
attribution: sconosciutoWed 21 Oct, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA bccc30d19899
```
WTF #2
Stesso DNA, indirizzi diversi
20.207.202.183, uno scanner (ostilità 6,7/10), ha inviato 16 richieste a uno dei nostri siti, alla ricerca di /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /403.php, /aaa.php.
Perché è anomalo2 IP condividono un'unica impronta comportamentale (DNA dfef4501b216): un solo strumento o un solo operatore che ruota gli indirizzi: 178.211.139.240, 20.207.202.183.
attribution: sconosciutoWed 21 Oct, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```
WTF #3
CVE-2015-2051 provato su di noi
2 indirizzi hanno inviato 2 richieste modellate sullo sfruttamento di CVE-2015-2051 (/hnap1), tra cui 103.213.112.213, 223.123.43.62.
Perché è anomaloUn exploit noto e con un nome preciso ancora spruzzato su internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di rilascio sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: dlink-hnap
```
WTF #4
La lista della spesa più strana
74.225.146.100, uno scanner (ostilità 5,9/10), ha inviato 50 richieste a uno dei nostri siti, alla ricerca di /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php, /c.php.
attribution: sconosciutoWed 21 Oct, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA c67915f564de
```
WTF #5
Di fretta
94.26.106.162, uno scanner (ostilità 4,9/10), ha inviato 82 richieste a uno dei nostri siti, alla ricerca di /.env.development, /.env, /.env.staging, /.env.local.
Perché è anomaloHa inviato 82 richieste in circa 1,7 secondi.
attribution: sconosciutoWed 21 Oct, 01:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

226claims, 7 days

38of 130 groups active

N0n51 this week · surging

thegentlemen37 this week · surging

qilin29 this week

SurgingN0n — 51 claims in 7 days against 20.7 expected from its own prior rate (p < 0.001)
Surgingiah6477 — 8 claims in 7 days against 1.0 expected from its own prior rate (p < 0.001)
SurgingHelix — 7 claims in 7 days against 0.8 expected from its own prior rate (p < 0.001)
SurgingRedact — 3 claims in 7 days against 0.3 expected from its own prior rate (p = 0.004)
Surgingthegentlemen — 37 claims in 7 days against 25.3 expected from its own prior rate (p = 0.017)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.022)

Gone quiet: xpl0itrs (62 days), CRPxO (80 days), cmdorganization (82 days), ExfilSquad (87 days).

Sector pressure, 30 days

UpTransportation — 2.3× its own prior share (72 claims, 31 expected)
UpEducation — 1.9× its own prior share (47 claims, 25 expected)
UpHealthcare — 1.5× its own prior share (115 claims, 76 expected)
DownRetail & E-Commerce — 0.7× its own prior share (44 claims, 60 expected)

22% of claims carry no sector label.

Brand churn

Of the 79 leak-site brands first seen since 2026-06-01, 79% were still claiming 30 days after their first post and 79% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 53 old enough to judge posted on one day and never again; 40% made at least half their claims in their first week. New brands this month: 10 — newest: Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims), 0x00 (2026-10-15, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 24 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 12 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (391 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si fonda; gli articoli le cui fonti non erano verificabili, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni sono valutate pubblicamente nelle edizioni successive. «Dal nostro perimetro» è un dato di attacco in tempo reale proveniente dai nostri server. Costoo di questa edizione: 0,72 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

391items read

24hour window

$0.72cost of this edition

04:05 UTCgenerated

Fonti di questa mattina

Security news82ok
infosec.exchange72ok
RansomLook56ok
ransomware.live55ok
Signal Atlas39ok
atlas33ok
RSS22ok
AlienVault OTX13ok
signal:kev6ok
CISA KEV6ok
signal:ioc-family6ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Otto chiavi di CA erano abbastanza deboli da essere recuperate, e quattro programmi root hanno smesso in silenzio di fidarsi

La CISA ha aggiunto sei voci al KEV, e quattro riguardano il vostro media server

Sette canali di aggiornamento fidati in una settimana: non è una coincidenza, è piuttosto un modello di business

226 rivendicazioni in sette giorni, e il gruppo in più rapida crescita pubblica diagrammi di rete invece di richieste di riscatto

Una piattaforma di penetration test basata su IA è stata puntata su 1.200 siti web e ha semplicemente fatto il suo lavoro

PHP rilascia oggi patch d'emergenza perché i dettagli sono trapelati prima

Le persone che chiamate durante un'estorsione potrebbero essere state in confidenza con gli estorsori

Le pagine di aiuto di WhatsApp dicevano al proprio chatbot di non menzionare l'autorità di controllo

Go ha bloccato le chiavi ore prima che eMudhra venisse nominata

I conteggi incrociati sugli attori ransomware sono per lo più una sola fonte, riecheggiata

N0n appare automatizzato e orientato ai soli dati

Il cluster della supply chain condivide una forma, non ancora una campagna

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Il visitatore più determinato

Stesso DNA, indirizzi diversi

CVE-2015-2051 provato su di noi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina