Apertura · Vulnerabilità

La CISA aggiunge due bug sfruttati, e uno è il terzo zero-day di Arista VeloCloud in quattro mesi

Un orchestratore colpito da tre zero-day dall'estate non sta attraversando una striscia di sfortuna: sta intavolando una conversazione con noi.

attendibilità 0.90

La CISA ha aggiunto CVE-2026-114625, una SQL injection in Arista VeloCloud Orchestrator on-premise, EPSS 0.00555, e CVE-2026-110447, una OS command injection nel CODE Server integrato di Collabora Online, impiegato in NextCloud, EPSS 0.01225. SecurityWeek, in ritardo di dieci ore sul catalogo, inquadra il bug di Arista come il terzo zero-day di VCO sfruttato in quattro mesi: una SQL injection critica che porta l'attaccante a funzioni interne privilegiate e ai privilegi di operatore.

Prima di aprire il ticket vale la pena notare una discrepanza. La voce KEV afferma che un attaccante remoto può raggiungere funzioni interne privilegiate e compromettere l'host VCO; l'analisi su OTX sostiene invece che utenti autenticati con privilegi minimi possono ottenere i privilegi di superuser operator. Sono modelli di minaccia diversi e solo uno consente di dormire sonni tranquilli: conviene assumere quello sfavorevole finché Arista non dirà altro. La voce su Collabora, intanto, descrive un'esecuzione di codice remota che funziona quando il server CODE non è in esecuzione, la descrizione più onesta del software moderno che mi sia capitato di leggere questo mese.

Tre zero-day distinti nello stesso orchestratore in quattro mesi non sono una sequenza di eventi scollegati: sono un componente portante scavato da persone con molto tempo a disposizione. Il principio della staccionata di Chesterton vale in entrambe le direzioni: qualcuno ha costruito quel percorso di query per una ragione, e qualcun altro ha ora capito quale fosse. Si aggiorni prima l'orchestratore: gestisce tutto il resto.

Perché è rilevanteSe il vostro controller SD-WAN è raggiungibile da internet, è la via più breve da un'unica credenziale rubata a basso privilegio a ogni filiale di vostra proprietà.

Prove

Today’s revelation

Tre feed che concordano non sono una corroborazione. Sono un solo feed con un hobby e due amici che lo ripubblicano entro dieci ore.

— Sturgeon's Revelations · Probably Fine Daily No. 27

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

PHP2Shell: milioni di tentativi, nessuna compromissione confermata e ora una seconda falla senza patch

CVE-2026-109618 e CVE-2026-109619, entrambe CVSS v4.0 9.2, sono trapelate prima della patch programmata per il 21 ottobre, e la rete ha subito cominciato a sfruttarle: i ricercatori collegano i tentativi a una variante di Mirai chiamata Potassium, dimostrano un bypass dell'ASLR e continuano a non riportare alcuna compromissione riuscita confermata. Gli handler del SANS hanno passato giovedì a un livello Infocon elevato e venerdì erano tornati a Green, mentre un articolo di approfondimento avverte che risolvere il problema non si riduce a un clic su Aggiorna. Due giorni dopo le patch d'emergenza, PHP ha reso nota CVE-2026-115560, un'altra via per eseguire codice su un server web, priva di patch, che riguarda solo applicazioni configurate in modo inusuale, il che per PHP rappresenta un rischio improbabile, e per la quale il team ha pubblicato mitigazioni anziché una correzione.

Perché è rilevanteLo sfruttamento è rumoroso e per ora infruttuoso, ed è proprio la finestra in cui conviene inventariare build e configurazioni PHP anziché aggiornare Twitter.

attendibilità 0.85

Prove

Ransomware

Qilin ha pubblicato le vittime di un'intera giornata lavorativa in circa nove ore

Il conteggio del ritmo di Ninja Signal registra 195 rivendicazioni su leak site in sette giorni da parte di 41 dei 131 gruppi monitorati, con SilentRansomGroup a 10 contro le 2,29 attese dal suo tasso precedente e BrainCipher a 8 contro 1,57, entrambi con p < 0,001. In questo quadro spicca la giornata di giovedì di Qilin: 56 voci il 23 ottobre contro una mediana di 1,5 negli altri giorni, con vittime rivendicate in Italia, Messico, Australia, Cile, Argentina, Turchia e Bangladesh, mentre LockBit5, N0n, Akira, Wallstreet e Orova hanno tutti pubblicato serie proprie lo stesso giorno. Prima che qualcuno costruisca una slide sull'escalation coordinata, si noti che ransomware.live precede costantemente ransomlook sulle stesse vittime di un intervallo compreso tra 1,1 e 10,5 ore, per cui buona parte della presunta conferma multi-fonte è un'unica osservazione a monte travestita in tre modi.

Perché è rilevanteLa pubblicazione in blocco di norma indica la capacità produttiva degli affiliati, non una nuova capacità tecnica; contate le vittime distinte, non le voci di feed distinte, prima di riferire a chiunque.

attendibilità 0.75

Prove

IA e sicurezza

L'agente ha imparato la kill chain, e fattura a compito

Un attore sponsorizzato dallo Stato cinese ha usato un agente autonomo di penetration testing basato su IA, chiamato ARTEX, negli attacchi contro ConnectWise a danno di centinaia di organizzazioni, ottenendo accesso privilegiato ad alcune; l'analisi su OTX attribuisce a Storm-0940 gli stessi strumenti per tutto ottobre contro fornitori IT e software, con un obiettivo preciso: i provider di identità, tra cui Okta ed Entra. Separatamente, i ricercatori hanno individuato un'infrastruttura esposta appartenente ad affiliati dei gruppi ransomware INC e The Gentlemen su cui girava un «Autonomous Red Team Kill Chain Framework» chiamato Phantom, e The Gentlemen ha pubblicato tre vittime lo stesso giorno. Le cifre di Dark Reading rendono il quadro più nitido: una campagna ha colpito 105 siti con modelli open-weight, e modelli pubblici hanno ottenuto il controllo completo del dominio per 12 dollari.

Perché è rilevanteSe il controllo del dominio costa dodici dollari di inferenza, l'economia del «troppo piccoli per essere un bersaglio» ha smesso in silenzio di funzionare.

attendibilità 0.65

Prove

IA e sicurezza

Settimana nera per l'impiantistica dell'economia degli agenti: LiteLLM avvelenato, wallet x402 senza limiti

Gli attaccanti hanno usato token OAuth compromessi di GitHub CLI per pubblicare e approvare pacchetti LiteLLM malevoli su PyPI e Docker: un attacco alla supply chain condotto interamente con credenziali legittime e senza alcun malware degno del nome. Nello stesso periodo V12 ha segnalato il 22 ottobre che gli agenti IA che pagano le chiamate API tramite gli SDK x402 potevano essere indotti da un'API malevola a cedere l'intero saldo di un token supportato, perché il client predefinito non impostava alcun limite di spesa fino alle versioni del 18 agosto che ne hanno introdotto uno.

Perché è rilevanteLe chiavi API dei modelli e i wallet degli agenti sono ormai credenziali con un problema di limite di spesa, e nessuno ha ancora scritto il turno per ruotarli.

attendibilità 0.80

Prove

Attori della minaccia

Due campagne statali, nessuna infrastruttura condivisa, entrambe sotto il sistema operativo

Kaspersky attribuisce ad APT41 BlackX, un bootkit UEFI che aggira Secure Boot su host Windows completamente aggiornati che non hanno applicato le revoche DBX, in una campagna contro enti diplomatici in Tagikistan, Uzbekistan e Turkmenistan all'inizio del 2026; la persistenza risiede nel firmware, sotto il sistema operativo, dove il vostro EDR non ha opinioni. Separatamente, ESET descrive Sandworm che opera con UAC-0099 contro un'azienda ucraina di logistica cerealicola: spearphishing il 16 luglio 2025 che recapita la backdoor MATCHWOK, seguita da MythicRatatoskr, una backdoor di rete mesh basata su Yggdrasil, in un attacco distruttivo di tipo wiper. Sono segnalate lo stesso giorno e non condividono indicatori, il che merita di essere detto ad alta voce prima che qualcuno tracci una freccia tra le due. L'iraniano Prince of Persia, intanto, ha ospitato un server C&C Tornado su hosting condiviso statunitense, il suo primo server negli Stati Uniti dal 2016.

Perché è rilevantePatchato non significa revocato: se non avete mai distribuito gli aggiornamenti DBX, la spunta su Secure Boot è una spunta e nient'altro.

attendibilità 0.80

Prove

Vulnerabilità

La pila di patch che nessuno toccherà prima di lunedì: 72 falle ArubaOS, 176 voci Atlassian, quattro RCE di GitLab riconducibili a un solo motore di espressioni regolari

HPE ha rilasciato correzioni per 72 vulnerabilità di ArubaOS, otto delle quali di gravità massima tra bypass dell'autenticazione ed esecuzione di codice, e il bollettino di ottobre di Atlassian elenca 176 voci di vulnerabilità che coprono 75 falle, di cui 14 critiche, tutte in componenti di terze parti. Ruby ha rilasciato le versioni 4.0.9, 3.4.12 e 3.3.13 per correggere tre bug in Onigmo, il motore di espressioni regolari, che si rivelano alla base di quattro RCE critiche di GitLab corrette nell'ultimo mese, mentre Pillow, la libreria di immagini più usata di Python, presenta CVE-2026-112900, in cui il nome di un file EPS viene passato a Ghostscript e diventa un comando del sistema operativo. Microsoft ha inoltre confermato che Windows Server 2016 cesserà di ricevere aggiornamenti di sicurezza a gennaio 2027: un problema di patch con una risposta da ufficio acquisti.

Perché è rilevanteQuattro RCE critiche di GitLab che si riducono a tre bug a monte nelle regex sono l'intero argomento a favore dell'inventario delle dipendenze, consegnato gratis.

attendibilità 0.85

Prove

Malware e IOC

Le credenziali vengono raccolte sul perimetro e lette dal cavo, e i nostri stessi log concordano

I ricercatori hanno reso nota una campagna su larga scala contro dispositivi di rete perimetrali esposti, tra cui Fortinet FortiGate e Palo Alto GlobalProtect, nella quale gli operatori hanno ottenuto oltre 70.000 credenziali, mentre 333 nodi di uscita Tor sono stati dirottati per intercettare il traffico SSH ed estrarre email in chiaro.

Perché è rilevanteI dispositivi perimetrali e i portali VPN restano la fonte di credenziali più economica di internet, e la raccolta è continua anziché a forma di campagna.

attendibilità 0.80

Prove

Stranezze

Un gruppo ransomware ha annunciato il proprio sito web e i tracker lo hanno registrato come vittima

Whitearmor ha pubblicato cinque voci il 23 ottobre, una delle quali recita «Hi. We now have a clearnet domain for easy-access. WhiteArmor.cc», e sia ransomware.live sia ransomlook hanno diligentemente registrato whitearmor.cc come vittima rivendicata: un gruppo criminale è così riuscito a estorcere sé stesso nella vostra pipeline di threat intelligence. Le altre sue rivendicazioni di quel giorno, tra cui 140.838 record di dipendenti attribuiti a un'azienda logistica statunitense, restano non verificate. Altrove nella stranezza, il governo britannico propone pene fino a 14 anni di carcere per il sabotaggio dei cavi sottomarini, perché la normativa vigente è il Submarine Telegraph Act 1885, che al momento prevede al massimo una multa di 1.000 sterline e cinque anni.

Perché è rilevanteLa logica di classificazione del vostro feed di intelligence è un controllo, e oggi ha classificato un comunicato stampa come una violazione.

attendibilità 0.75

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: un giovedì rumoroso, rispecchiato tre volte, più un NVD che ha smesso di parlare mercoledì sera.

Exception 01
Gran parte della conferma tra fonti di oggi è puro rispecchiamento
ransomware.live precede costantemente ransomlook sulle stesse vittime di un intervallo da 1,1 a 10,5 ore, e Atlas di 5,9–15,5 ore, su Lido, Zelsior, Mount Lebanon, vinsolutions, Aurora e Chaos. Va trattato come un'unica osservazione a monte, non come quattro.
attendibilità 0.70
Wrong if
Gli elementi di ransomlook cominciano ad apparire prima di ransomware.live per le stesse vittime, oppure i due feed mostrano insiemi di vittime disgiunti.
Watch
Se i casi in cui ransomlook arriva per primo, come emperador a 4,5 ore, diventano la norma, il che suggerirebbe una raccolta indipendente.
Prove
Exception 02
Le etichette «fusione KEV × ransomware» non sono verificabili
Atlas associa storie di fusione in stile KEV a Qilin, LockBit5, Akira e Orova, eppure nessuna CVE del KEV compare negli elementi ransomware sottostanti, e Orova ha dieci elementi con post di vittime ma nessun collegamento a una CVE dichiarato.
attendibilità 0.50Speculative
Wrong if
Atlas pubblica la mappatura specifica tra CVE e attore alla base delle storie di fusione.
Watch
Qualsiasi voce KEV collegata a questi attori nei prossimi giorni, e se l'etichetta di fusione sopravvive al confronto.
Exception 03
L'NVD è andato in silenzio dopo il 22 ottobre alle 23:36
L'NVD ha fornito 100 elementi, tutti all'inizio della finestra, in schemi di lotto evidenti: circa nove CVE di Apache bRPC in un'ora, cinque di Unbound, tre di IoTDB, tre di OpenJ9, poi il nulla. Questo schema somiglia a un'ingestione, non a un mondo in cui le divulgazioni si sono fermate.
attendibilità 0.60Speculative
Wrong if
L'NVD riprende a volume normale senza modifiche al collettore, oppure il vuoto viene confermato come una genuina pausa di pubblicazione.
Watch
I conteggi degli elementi NVD del 24 e 25 ottobre.
Prove

Nothing to seeNon è stato mostrato alcun collegamento tra attore o CVE e l'attività ransomware e le due nuove voci KEV. La command injection con root su OnePlus OxygenOS, la pila di plugin WordPress, i bug di parsing SVG e i problemi di divulgazione tra progetti di OpenStack sono singole vulnerabilità senza nulla alle spalle. Le storie Atlas sulle crisi composte dei vari paesi stanno a 0,425 di confidenza e non dicono nulla su cui un difensore possa agire. I post sul burnout da infosec.exchange non sono un segnale di minaccia; sono persone, e sono stanche.

Deep read: 390 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueTue 3 Nov10 days
Né CVE-2026-109618 né CVE-2026-109619 (PHP2Shell) verranno aggiunte al KEV della CISA.
Wrong ifAlmeno una delle due CVE compare in una voce KEV della CISA entro il 3 novembre 2026 incluso.
Prove
f-2026-10-24-1
Confidence0.65
DueSat 31 Oct7 days
Qilin pubblicherà su ransomware.live almeno altre 10 vittime rivendicate tra il 24 e il 31 ottobre.
Wrong ifIn quella finestra compaiono su ransomware.live meno di 10 nuovi post distinti di vittime di Qilin.
Prove
f-2026-10-24-2
Confidence0.70
DueTue 27 Oct72h
L'NVD riprende a pubblicare a volume normale, con almeno un giorno di 20 o più nuove voci CVE nel nostro feed, entro il 27 ottobre.
Wrong ifNessun giorno tra il 24 e il 27 ottobre mostra 20 o più voci NVD.
Prove
1. 1NVDCVE-2026-114039: A weakness has been identified in…
2. 2NVDCVE-2026-48830: Improper authentication in Apache b…
f-2026-10-24-3
Confidence0.80

Scorecard

1 right · 1 partly · 2 wrong

wrong
Ivanti publishes a fix or formal mitigation for the third flaw in the Connect Secure chain.
Called Wed 14 Oct · due Sat 24 Oct
Due 24 Oct. No item shows an Ivanti advisory, fix or mitigation for a third Connect Secure flaw.
wrong
N0n names at least one of the placeholder listings 'Company #63', '#64' or '#65' on its leak site.
Called Wed 14 Oct · due Sat 24 Oct
Due 24 Oct. No item shows Company #63, #64 or #65 being named. N0n's named claims on 23 Oct are other victims.
partly
CISA adds at least one further edge or remote-access device CVE (Fortinet, Ivanti, Cisco, Palo Alto, BeyondTrust class) to KEV by 30 October 2026.
Called Sat 17 Oct · due Fri 30 Oct
CISA added Arista VeloCloud Orchestrator (an SD-WAN edge-management product) to KEV on 23 Oct. It is not one of the named vendors, so whether it counts as the same class is arguable.
Prove
1. 1CISA KEVCVE-2026-114625 Arista VeloCloud Orchestrator: Aris…
right
The Arista VeloCloud Orchestrator SQL injection zero-day is added to CISA KEV.
Called Fri 23 Oct · due Fri 6 Nov
CISA KEV added CVE-2026-114625, Arista VeloCloud Orchestrator SQL injection, on 23 Oct. SecurityWeek reports it as exploited.
Prove
1. 1CISA KEVCVE-2026-114625 Arista VeloCloud Orchestrator: Aris…
2. 2Security newsAttackers Exploit Third Arista VCO Zero-Day in Four…

Glossario dei termini con cui ci si aspetta che tu annuisca

Zero-day (il terzo in quattro mesi) (n.): Non uno zero-day. Un componente. Il primo è sfortuna, il secondo è uno schema, e il terzo è il prodotto che ti dice dove custodisce i suoi segreti, lentamente, in pubblico, con un numero CVE allegato.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, nelle ultime 24 ore: 113 fonti ostili profilate, di cui 49 ricercatori, 32 scanner, 28 crawler automatici e 3 brute forcer, che hanno inviato complessivamente 6.160 richieste, 72 delle quali sono passate dalla ricognizione ai tentativi di sfruttamento. Tredici gruppi di indirizzi condividevano un'impronta comportamentale, incluso un cluster di 45 IP che si comportavano come un unico strumento, e 1.258 dei 7.360 indirizzi visti in 89 paesi erano nuovi oggi. I due che mi hanno fatto posare la tazza: uno scanner a 34.52.133.111 che ha chiesto 231 volte risorse come /.env.anthropic e /.docker/config.json, e 130.211.85.163 che ha sparato 113 richieste per /.git/config, /api/.env e /sendgrid.env in circa 0,4 secondi. I log grezzi non hanno mai lasciato il server; sono usciti soltanto i risultati.

113fonti ostili profilate

6.160richieste da esse

72arrivate allo sfruttamento

13cluster con DNA condiviso

8,2/10massima ostilità

7.360indirizzi al nostro perimetro

1.258visti per la prima volta oggi

89paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
34.52.133.111, uno scanner (ostilità 4,3/10), ha inviato 231 richieste a 2 dei nostri siti, cercando /.docker/.env, /.docker/laravel/app/.env, /.env.anthropic, /.docker/config.json.
Perché è anomaloHa puntato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner, accanto alle chiavi cloud.
attribution: sconosciutoSat 24 Oct, 00:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 6df93820bbb8
```
WTF #2
Il visitatore più determinato
85.204.70.104, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloLa più alta ostilità della classifica; la sua kill chain è arrivata all'accesso alle credenziali.
attribution: sconosciutoSat 24 Oct, 00:00 UTC
Detail
```
kill chain: ricognizione → weaponization → sfruttamento → accesso alle credenziali · DNA 82a939927b85
```
WTF #3
Provano CVE-2024-4577 su di noi
6 indirizzi hanno inviato 15 richieste conformi allo sfruttamento di CVE-2024-4577 (/index.php), tra cui 2a0f:ca80:b00b:b63c::5, 45.153.34.249, 43.134.64.138.
Perché è anomaloUn exploit noto e con nome proprio ancora spruzzato su tutta internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
```
famiglia di probe: webshell
```
WTF #4
Stesso DNA, indirizzi diversi
47.82.55.22, un ricercatore (ostilità 0,8/10), ha inviato 9 richieste a uno dei nostri siti, cercando /threat-check/Microsoft%20GDI%20Remote%20Code%20Execution%20Vulnerabil, /threat-check/F5%20BIG-IP%20and%20BIG-IQ%20Centralized%20Management%20.
Perché è anomalo45 IP condividono una sola impronta comportamentale (DNA b77200c2c27d): un unico strumento o un unico operatore che ruota gli indirizzi: 47.82.8.122, 47.82.55.22, 47.82.50.199, 47.82.54.185, 47.82.13.21 e altri.
attribution: sconosciutoFri 23 Oct, 09:00 UTC
Detail
```
kill chain: ricognizione → sfruttamento · DNA b77200c2c27d
```
WTF #5
La lista della spesa più strana
20.239.201.109, uno scanner (ostilità 6,4/10), ha inviato 48 richieste a uno dei nostri siti, cercando /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /inputs.php, /ioxi-o.php, /function/function.php, /rip.php, /admin.php.
attribution: sconosciutoFri 23 Oct, 09:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 83562bd8e880
```
WTF #6
Di fretta
130.211.85.163, uno scanner (ostilità 5,5/10), ha inviato 113 richieste a uno dei nostri siti, cercando /.git/config, /api/.env, /sendgrid.env, /.env.
Perché è anomaloHa sparato 113 richieste in circa 0,4 secondi.
attribution: sconosciutoFri 23 Oct, 09:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

195claims, 7 days

41of 131 groups active

N0n43 this week · surging

qilin28 this week

SilentRansomGroup10 this week · surging

SurgingSilentRansomGroup — 10 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.6 expected from its own prior rate (p < 0.001)
SurgingN0n — 43 claims in 7 days against 25.0 expected from its own prior rate (p < 0.001)
Surginglamashtu — 6 claims in 7 days against 1.2 expected from its own prior rate (p = 0.001)
SurgingHelix — 5 claims in 7 days against 1.2 expected from its own prior rate (p = 0.009)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.020)

Gone quiet: blackwater (61 days), coinbasecartel (62 days), xpl0itrs (65 days), CRPxO (83 days).

Sector pressure, 30 days

UpTransportation — 2.2× its own prior share (70 claims, 32 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (112 claims, 78 expected)
DownRetail & E-Commerce — 0.8× its own prior share (47 claims, 61 expected)

23% of claims carry no sector label.

Brand churn

Of the 80 leak-site brands first seen since 2026-06-01, 78% were still claiming 30 days after their first post and 78% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 56 old enough to judge posted on one day and never again; 41% made at least half their claims in their first week. New brands this month: 11 — newest: Whitearmor (2026-10-23, 3 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.9× every other brand's share); N0n put 38% of its claims on Transportation (8.3× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: qilin across 10.0 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 68% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 181 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 41% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 27 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 13 feed pubblici di threat intelligence nelle 24 ore fino alle 05:05 UK (390 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni segmento letto da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui fonti non risultavano verificabili, o i cui numeri non comparivano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro perimetro» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 0,77 $. È scritto da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivisto a mano, il che è o il punto o il problema.

390items read

24hour window

$0.77cost of this edition

04:05 UTCgenerated

Fonti di questa mattina

NVD100ok
Signal Atlas67ok
RansomLook49ok
Security news41ok
infosec.exchange38ok
ransomware.live37ok
atlas28ok
AlienVault OTX11ok
signal:ioc-family7ok
RSS7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

PHP2Shell: milioni di tentativi, nessuna compromissione confermata e ora una seconda falla senza patch

Qilin ha pubblicato le vittime di un'intera giornata lavorativa in circa nove ore

L'agente ha imparato la kill chain, e fattura a compito

Settimana nera per l'impiantistica dell'economia degli agenti: LiteLLM avvelenato, wallet x402 senza limiti

Due campagne statali, nessuna infrastruttura condivisa, entrambe sotto il sistema operativo

La pila di patch che nessuno toccherà prima di lunedì: 72 falle ArubaOS, 176 voci Atlassian, quattro RCE di GitLab riconducibili a un solo motore di espressioni regolari

Le credenziali vengono raccolte sul perimetro e lette dal cavo, e i nostri stessi log concordano

Un gruppo ransomware ha annunciato il proprio sito web e i tracker lo hanno registrato come vittima

Gran parte della conferma tra fonti di oggi è puro rispecchiamento

Le etichette «fusione KEV × ransomware» non sono verificabili

L'NVD è andato in silenzio dopo il 22 ottobre alle 23:36

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Provano CVE-2024-4577 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina