Apertura · Vulnerabilità

PHP è due volte nel KEV, e le shell sono arrivate prima dell'avviso

Il 26 ottobre la CISA ha aggiunto due falle di esecuzione di codice remoto non autenticata nello stesso PHP; shell funzionanti sono state osservate su honeypot il 24, e Siemens, Schneider Electric e ABB hanno cominciato a controllare i propri armadi.

attendibilità 0.85

CVE-2026-109618 è una corruzione della memoria. CVE-2026-109619 è un bug di stato interno obsoleto delle richieste. Entrambe sono descritte dalla CISA con la stessa voce piatta che usa per tutto: contains a vulnerability that allows for unauthenticated remote code execution. I loro punteggi EPSS sono 0.99981 e 0.99997, che è il modo in cui il sistema di scoring alza le spalle e dice sì, ovviamente, tutti, presto. Insieme vengono chiamate PHP2Shell, e SecurityWeek riferisce che il 24 ottobre gli aggressori sono passati dalle sonde a shell funzionanti contro gli honeypot: trentacinque shell, due indirizzi IP, un sabato.

La cronologia è la parte da tenere a mente. Sfruttamento il 24, KEV il 26, e un pulse OTX datato 26 che descrive un attore di lingua coreana, tracciato come campagna Minjun di giugno 2026 e collegato con confidenza moderata a Lazarus Group, intento a pianificare attivamente lo sfruttamento mirato delle due falle. Pianificare. Uno di questi documenti è in ritardo rispetto all'altro, e non è l'honeypot. Considerate «pianificare» un verbo che era vero la settimana scorsa.

Poi la portata. Non si tratta di un plugin, ma dell'interprete che sta sotto una quantità enorme del web, compreso WordPress, che in un giorno qualsiasi fornisce circa metà del flusso di CVE in questi feed. Siemens, Schneider Electric e ABB hanno confermato che alcuni loro prodotti sono interessati, ed è la frase che nel giro di qualche mese trasforma un bug web in un problema OT. Non si aggiorna PHP in una sottostazione il martedì pomeriggio.

Perché è rilevanteSe usate PHP in qualunque punto esposto a internet — e lo usate, semplicemente non avete finito di trovarlo — questo è il lavoro di stanotte, non del prossimo trimestre.

Prove

Today’s revelation

Il bug con tre nomi di marketing ha una patch e nessuna vittima; il bug con un nome noioso ha trentacinque shell e una scadenza.

— Sturgeon's Revelations · Probably Fine Daily No. 30

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Il bug di Brotli ha tre nomi, quattro patch d'emergenza e nessuno che lo sfrutti

CVE-2026-111497 è un heap overflow nel decoder Brotli alla versione 1.2.0 o precedenti, in cui un flusso compresso malformato fa traboccare un buffer interno di otto byte, e viene chiamato di volta in volta HTTP2Shell, Node2Shell e Broccoli2Shell a seconda di chi ha segnalato per primo. Microsoft ha rilasciato aggiornamenti d'emergenza per .NET; PHP ha ricostruito i suoi pacchetti Windows ufficiali per le versioni dalla 8.2 alla 8.5, il secondo aggiornamento di sicurezza per Windows in cinque giorni, precisando che la falla è raggiungibile tramite l'estensione cURL; secondo le segnalazioni, tra i prodotti interessati figurano Node.js, .NET, PowerShell, pacchetti Python, Envoy e Istio. La proof of concept è pubblica e non risulta alcuno sfruttamento in the wild, ed è per questo che CyberScoop ha pubblicato un pezzo su esperti che stemperano gli allarmi da emergenza. Corretto in Brotli 1.2.1 e Node 26.12.1.

Perché è rilevanteApplicate la patch nel ciclo ordinario, ma non lasciate che si mangi la serata che dovete alle due voci KEV di PHP che sono effettivamente sfruttate.

attendibilità 0.80

Prove

Ransomware

Qilin ha pubblicato circa venti vittime in cento minuti, e il motore di correlazione ha pubblicato settantasei storie al riguardo

Tra le 11:33 e le 13:13 del 26 ottobre, il sito di leak di Qilin ha accolto edilizia, scuole, acciaio, laminati, reumatologia, dolciumi e due enti energetici — tra cui la Natural Energy Laboratory of Hawaii Authority e la Delta Electric Power Association. Il nostro feed di tempo mostra Qilin a 42 rivendicazioni in sette giorni contro le 25 attese in base al suo ritmo precedente, in una settimana di 199 rivendicazioni pubblicate da 38 dei 267 gruppi monitorati; anche lamashtu (7 contro 1,25 attese) e BrainCipher (8 contro 1,86) sono in impennata. Una cautela per chiunque stia per fare lo screenshot di una dashboard: Atlas riporta 76 elementi Qilin per la giornata contro una mediana di zero negli altri giorni, e la maggior parte sono le stesse vittime rivalutate in serie per paese, per settore e per settore ponderato sulla velocità, non eventi nuovi.

Perché è rilevanteL'ondata è reale e l'esposizione del settore energetico è reale; i settantasei sono un artefatto del contare la stessa cosa in quattro sistemi di coordinate.

attendibilità 0.70

Prove

Ransomware

Un sistema ospedaliero del New Mexico sta deviando i pazienti; un gruppo chiamato BYOD dice di avere 36.000 delle sue macchine

L'University of New Mexico Health System ha invitato la popolazione a non recarsi al suo ospedale principale di Albuquerque e ha annullato gli appuntamenti in più di 30 ambulatori a causa di un problema di cybersicurezza. Separatamente, lo stesso giorno, un attore che pubblica come BYOD ha rivendicato la University of New Mexico, elencando 36.000 macchine compromesse, entrambe le foresta Active Directory che coprono il campus principale e il settore ospedaliero, GPO, due database Oracle e dati personali di studenti e dipendenti, compresi i numeri di previdenza sociale. Nessuno dei due elementi cita l'altro: la segnalazione del disservizio non indica una causa, e il post sul leak site non fa riferimento alle chiusure degli ambulatori. Teneteli come due fatti che condividono una data e un'organizzazione finché qualcuno non dirà altro.

Perché è rilevanteSe la rivendicazione di entrambe le foreste fosse accurata, in qualunque misura, l'identità è il progetto di ripristino e tutto il resto è pianificazione.

attendibilità 0.60

Prove

1Security newsCybersecurity Issue Forces a Major New Mexico Hospi…

Attori della minaccia

Whitearmor è irritato che le sue vittime continuino a reagire da adulti

Whitearmor ha rivendicato J.B. Hunt e si è lamentato, pubblicamente e a lungo, che invece di aprire una trattativa l'azienda ha scritto discretamente ai clienti chiedendo di cambiare le password. Ha rivendicato anche LoveSac — un rivenditore che descrive come titolare di più di 250 showroom e di circa 700 milioni di dollari di ricavi annui — con un database di 1.113.285 record di ordini, e Gamdom, un casinò crypto non regolamentato il cui fondatore Felix Romer ha dichiarato perdite per oltre 3 milioni di dollari da una violazione di un hot wallet, mentre gli analisti on-chain le stimano più vicine a 4,2 milioni. In nessuno dei tre casi si menziona la cifratura; è furto di dati con un rancore allegato. Atlas segnala la serie USA in escalation a 0.78.

Perché è rilevanteIl vostro playbook per l'estorsione ha bisogno di un ramo per il caso in cui non c'è nulla da decifrare e l'unica leva è il vostro calendario di divulgazione.

attendibilità 0.65

Malware e IOC

Tre campagne distinte, un solo bersaglio: le credenziali che la vostra pipeline di build tiene in un cassetto

Gheist è attiva dal 15 settembre: una campagna automatizzata che usa token GitHub rubati per fare il commit di un workflow chiamato sync-check in ogni repository accessibile, stampa i secret del repository nei log di Actions, li scarica ed elimina le esecuzioni, riuscendo sia nei repository privati sia negli ambienti GitHub Enterprise. LiteLLM 1.107.0 è stato compromesso il 21 ottobre e distribuito tramite PyPI e immagini di container ufficiali, sfruttando i meccanismi di avvio di Python per eseguire il furto di credenziali. E i ricercatori hanno trovato 42 repository GitHub armati, appartenenti a 11 proprietari legittimi, legati all'operazione npm testmetest e nascosti dietro un camuffamento da addon nativo. Su Gheist, le notizie sono arrivate a OTX in circa tre ore e mezza, quindi gli indicatori si muovono.

Perché è rilevanteCercate un workflow chiamato sync-check, ruotate tutto ciò che un job di build abbia mai letto e trattate i log della CI come un canale di esfiltrazione, non come un diario.

attendibilità 0.75

Prove

IA e sicurezza

Un file nella cartella Download ha dato ordini a un agente di coding, e l'agente li ha eseguiti

Forever Security ha riferito di aver individuato, sulla macchina di un cliente reale, un file di istruzioni malevolo nella cartella Download di uno sviluppatore che cercava di indurre il suo agente di coding IA a installare un pacchetto npm noto come malevolo; Dark Reading lo inquadra come prompt injection che abusa del modo in cui gli assistenti consumano i file di istruzioni locali, confondendo il confine tra un documento di testo e un'azione eseguibile. Arriva nella stessa finestra di una guida di NIST, CISA e NSA che tratta gli agenti fuori controllo come incidenti da provare, dove la domanda difficile è con quale autorità l'agente abbia agito — una risposta che deve esistere prima dell'incidente. Intanto la polizia sudcoreana ha indicato sette sospettati, tra cui un ex pentester, in un'operazione che ha violato più di 90 organizzazioni e sottratto 8,2 milioni di record, con il framework di pentesting IA ARTEX usato nella maggior parte degli attacchi.

Perché è rilevanteSe un agente detiene una credenziale, quella credenziale richiede oggi un responsabile, un log e un percorso di revoca, perché il markdown che legge è ormai input non attendibile.

attendibilità 0.75

Prove

Attori della minaccia

L'accesso iniziale di questa settimana è un messaggio Teams e un token riutilizzato, e nessuno dei due chiede il permesso al vostro firewall

I ricercatori descrivono uno schema ricorrente di ingegneria sociale su centinaia di casi in cui gli aggressori sfruttano la creazione predefinita di chat esterne di Microsoft Teams per spacciarsi per l'assistenza IT e consegnare malware e ransomware; un'analisi parallela di oltre 400 incidenti giunge alla stessa conclusione sulla chat esterna come via di accesso iniziale. Separatamente, Huntress ha divulgato una campagna Microsoft 365 che usa un relay adversary-in-the-middle per catturare le sessioni di accesso e riutilizzare i token rubati, compromettendo 97 account presso 79 organizzazioni. Nessuna delle due tecniche coinvolge una CVE, un payload su disco o qualcosa che la vostra finestra di patch avrebbe risolto.

Perché è rilevanteLimitate la chat esterna di Teams a una allow-list e iniziate a generare avvisi sul riutilizzo dei token da nuove combinazioni di dispositivo e rete, perché l'MFA non è mai stata il traguardo.

attendibilità 0.80

Prove

Stranezze

Un uomo trasmette in diretta PHP 8.4.26 finché non verrà bucato, il che oggi è meno un esperimento che un bollettino meteo

Su Mastodon stamattina: una dashboard di honeypot, in diretta su Twitch, con PHP 8.4.26 in esecuzione finché non verrà bucato — pubblicata poche ore dopo che la CISA ha aggiunto due RCE PHP non autenticate al KEV. Altrove nella colonna delle stranezze: Doommageddon ha rivendicato Referans Lab con 3,07 GB in due file, stato leaked, scadenza 2026-10-26T00:00:00Z, pubblicata alle 09:22 dello stesso giorno, un conto alla rovescia già terminato prima che qualcuno potesse leggerlo. E due fornitori hanno corretto un incidente sui certificati che nessuno ha nominato — BigFix ha rilasciato una correzione perché i bundle CA di Mozilla datati prima del 2026/10/20 si fidano ancora di certificati le cui chiavi private sono state compromesse, mentre Python ha aggiunto al modulo ssl una denylist di certificati compromessi noti, in modo che vengano rifiutati a prescindere dalla policy di SSLContext. Apple, a parte, ha rilasciato patch per 304 vulnerabilità.

Perché è rilevanteQuando due progetti indipendenti rilasciano soluzioni alternative per la revoca nella stessa settimana, la storia interessante è quella che nessuno dei due è ancora autorizzato a raccontare.

attendibilità 0.60

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: il bug con il marchio non ha vittime, il bug silenzioso ha shell, e un terzo del volume ransomware di ieri è lo stesso evento con quattro cappelli.

Exception 01
Lo sfruttamento di PHP2Shell precede la narrazione dell'attribuzione
O il pulse è obsoleto o descrive un'ondata successiva e separata. Poiché PHP sostiene WordPress, il flusso ordinario di CVE dei plugin diventa una strada più breve verso la RCE completa, e Siemens, Schneider Electric e ABB hanno confermato prodotti interessati.
attendibilità 0.70
Wrong if
La telemetria delle shell si rivela rumore di scanner e non sfruttamento riuscito, oppure il pulse reca una data anteriore agli avvistamenti del 24 ottobre.
Watch
Nuovi IOC di PHP2Shell, applicazione delle scadenze KEV e la prima compromissione di un CMS basato su PHP o di un sistema OT resa pubblica con nome.
Prove
Exception 02
I 76 di Qilin sono per lo più rivalutazioni
Qilin mostra 76 elementi il 26 ottobre contro una mediana di zero negli altri giorni, ma il leak site mostra circa venti vittime tra le 11:33 e le 13:13 e il cluster delle 17:00 di 73 elementi è elaborazione in batch, non eventi separati. Contare 76 come attività indipendente sovrastima la giornata.
attendibilità 0.65
Wrong if
I post distinti di vittime risultano corrispondere uno a uno al conteggio degli elementi di Atlas.
Watch
Il ritmo del leak site di Qilin nelle prossime 48 ore.
Prove
1. 1ransomware.liveqilin claimed Seufert Construction (Manufacturing ·…
2. 2ransomware.liveqilin claimed Premier Medical Group (Healthcare · U…
Exception 03
I leak site anticipano lo strato di correlazione di cinque-dodici ore
Per Scarlettgroup, Whitearmor, Aurora, Falcon, Qilin, Payload e Dragonforce, ransomware.live riporta la rivendicazione per primo e Atlas segue da 4,8 a 12,4 ore dopo. N0n è l'eccezione, comparendo in Atlas 1,6 ore prima. Le etichette «escalating» di Atlas sono quindi conferme in ritardo, non allerta precoce.
attendibilità 0.60
Wrong if
I ritardi scompaiono una volta separati i timestamp dei batch da quelli degli eventi.
Watch
Se l'ordine di N0n si ripete, il che suggerirebbe un diverso percorso di ingestione.
Prove
1. 1ransomware.liveScarlettgroup claimed mahsing.com.my (Hospitality ·…
2. 2ransomware.liveaurora claimed Ernesto Malvestiti S.p.A. (Manufactu…
Exception 04
Quattro attori, un settore, una rivendicazione sensibile per l'OT
Dragonforce (Inside Passage Electric Cooperative), Qilin (Delta Electric Power Association, Natural Energy Laboratory of Hawaii Authority), Rhysida (MISC Group) e N0n (Ingelectus) hanno tutti rivendicato vittime del settore energetico o dei servizi pubblici nell'arco di un giorno. Il post di N0n elenca telemetria elettrica in tempo reale dalla rete di controllo di un impianto registrata il 23 ottobre e un inventario di 49 dispositivi di rete tra cui quadri di sottostazione. Una sovrapposizione opportunistica è la spiegazione più probabile, ma il dettaglio OT aumenta il rischio a valle.
attendibilità 0.45Speculative
Wrong if
Le vittime non sono correlate e le settimane precedenti mostrano una base comparabile di rivendicazioni nel settore energetico.
Watch
Se N0n pubblicherà campioni, e qualunque avviso ICS che nomini le utility interessate.
Prove
Exception 05
Il feed NVD si interrompe di colpo dopo le 00:22 del 26 ottobre
Tutti i 100 elementi NVD di questa finestra cadono prima di quell'ora e nulla segue. O l'ingestione si è fermata o la quiete è un artefatto di raccolta; in ogni caso, qualunque CVE pubblicata dopo, compresi i seguiti della coppia PHP, manca dalla lettura di oggi.
attendibilità 0.50Speculative
Wrong if
Nuovi elementi NVD compaiono con timestamp di evento successivi nel prossimo ciclo di raccolta.
Watch
L'ingestione NVD nella finestra di domani.
Prove

Nothing to seeI cluster di plugin WordPress (GeoDirectory, GiveWP, WPVR), l'ondata di object injection, i bug di autorizzazione dei framework cinesi, Cervantes, Travisun Opptrix e le 304 patch di Apple risultano ordinari o isolati, senza alcun legame nascosto oltre all'esposizione PHP già segnalata. L'attribuzione a Lazarus poggia su un solo pulse a confidenza moderata, e le storie «compound crisis» di Atlas con confidenza da 0.42 a 0.51 sono troppo deboli per essere interpretate come altro che il motore che si schiarisce la voce.

Deep read: 369 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueTue 3 Nov7 days
La CISA non aggiungerà CVE-2026-111497 (Brotli / HTTP2Shell / Node2Shell / Broccoli2Shell) al catalogo KEV.
Wrong ifUna voce KEV per CVE-2026-111497 compare entro il 3 novembre.
Prove
f-2026-10-27-1
Confidence0.70
DueMon 2 Nov7 days
Qilin pubblicherà almeno altre dieci rivendicazioni di vittime sul leak site su ransomware.live da ora al 2 novembre.
Wrong ifEntro il 2 novembre compaiono meno di dieci nuove rivendicazioni di Qilin nel feed di ransomware.live.
Prove
f-2026-10-27-2
Confidence0.75
DueFri 6 Nov10 days
Nuovi indicatori di PHP2Shell — indirizzi sorgente di sfruttamento o artefatti di shell oltre ai due IP visti il 24 ottobre — compariranno nelle notizie o nei report OTX.
Wrong ifEntro il 6 novembre non viene pubblicato alcun nuovo IOC di PHP2Shell oltre ai due indirizzi originali.
Prove
f-2026-10-27-3
Confidence0.60

Scorecard

5 right · 3 wrong

wrong
At least three of N0n's 'Company #71'–'Company #83' placeholders appear on the leak trackers as named victims by 27 October 2026.
Called Sat 17 Oct · due Tue 27 Oct
Due today. No item shows any 'Company #71'–'#83' placeholder replaced by a named victim. The only N0n item names Ingelectus.
wrong
At least one of N0n's placeholder listings (Company #92, #93 or #94) will reappear under a real organisation name on ransomware.live or ransomlook by 27 October 2026.
Called Tue 20 Oct · due Tue 27 Oct
Due today. No item shows Company #92, #93 or #94 named on the trackers.
right
CVE-2026-109618 and/or CVE-2026-109619 (PHP2Shell) are added to the CISA KEV catalogue.
Called Thu 22 Oct · due Thu 29 Oct
CISA KEV added both PHP2Shell CVEs on 26 October, before the 29 October deadline.
Prove
1. 1CISA KEVCVE-2026-109618 PHP Group PHP: PHP Memory Corruptio…
2. 2CISA KEVCVE-2026-109619 PHP Group PHP: PHP Stale Internal R…
right
CVE-2026-109618 and/or CVE-2026-109619 (PHP2Shell) are added to the CISA KEV catalogue.
Called Fri 23 Oct · due Fri 30 Oct
Both PHP2Shell CVEs were added to KEV on 26 October, before the 30 October deadline.
Prove
1. 1CISA KEVCVE-2026-109618 PHP Group PHP: PHP Memory Corruptio…
2. 2CISA KEVCVE-2026-109619 PHP Group PHP: PHP Stale Internal R…
wrong
Neither CVE-2026-109618 nor CVE-2026-109619 (PHP2Shell) will be added to CISA KEV.
Called Sat 24 Oct · due Tue 3 Nov
Both CVEs appear in KEV as of 26 October, which contradicts the call.
Prove
1. 1CISA KEVCVE-2026-109618 PHP Group PHP: PHP Memory Corruptio…
2. 2CISA KEVCVE-2026-109619 PHP Group PHP: PHP Stale Internal R…
right
Qilin will post at least 10 further claimed victims to ransomware.live between 24 and 31 October.
Called Sat 24 Oct · due Sat 31 Oct
Today's items alone show 17 distinct Qilin claims on 26 October, past the threshold of 10.
Prove
right
NVD resumes publishing at normal volume, with at least one day of 20 or more new CVE items in our feed, by 27 October.
Called Sat 24 Oct · due Tue 27 Oct
The feed shows dozens of NVD items on 24 October and again on 25 October, well over 20 in a day.
Prove
right
Qilin will post at least one more victim tagged Spain (ES) on ransomware.live by 30 October 2026.
Called Sun 25 Oct · due Fri 30 Oct
Qilin claimed TeleTronic, tagged ES, on 26 October.
Prove
1. 1ransomware.liveqilin claimed TeleTronic (Technology · ES) — N/A

Glossario dei termini con cui ci si aspetta che tu annuisca

2Shell (suffisso) (n.): Convenzione di denominazione che indica che un bug di sicurezza della memoria ha completato le pratiche e ha ricevuto un marchio. Il suffisso viaggia più veloce della patch, e molto più veloce dell'inventario degli asset che vi direbbe se eseguite quella cosa.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro edge, ultime 24 ore: il sensore locale Adversary DNA ha profilato 90 sorgenti ostili — 50 scanner, 25 crawler bot, 9 ricercatori e 4 operatori mirati — che hanno inviato complessivamente 9.994 richieste, di cui 32 hanno superato la ricognizione e sono passate a veri tentativi di sfruttamento, da 5.667 indirizzi di 114 paesi, 1.627 dei quali visti per la prima volta oggi. Due dettagli meritano spazio. Uno scanner a 34.62.25.61 (ostilità 5,5/10) ha inviato 116 richieste alla ricerca di /.docker/.env, /.env-example e — questa è la novità nella lista della spesa — /.env.anthropic, il che dice che le chiavi API dei modelli stanno ormai nella stessa tabella del bottino insieme alle chiavi cloud; un suo simile a 195.178.110.242 ha sparato le proprie 116 richieste in circa 0,3 secondi, perché la pazienza è per chi paga la banda. L'ostilità più alta della classifica, 7,7/10, spettava a una coppia di operatori mirati a 143.244.57.84 e .123 che hanno richiesto venti volte ciascuno /login/wp-includes/wlwmanifest.xml e /login/xmlrpc.php, raggiungendo il credential-access nella kill chain; altri tre indirizzi hanno tentato CVE-2018-10561 contro /gponform/diag_form, un exploit abbastanza vecchio da avere opinioni. Sedici gruppi di indirizzi condividevano un'impronta comportamentale, uno dei quali esteso su otto IP in un singolo intervallo. I log grezzi non hanno mai lasciato il server; solo i risultati.

90sorgenti ostili profilate

9.994richieste da esse

32arrivate allo sfruttamento

16cluster a DNA condiviso

7,7/10ostilità massima

5.667indirizzi al nostro edge

1.627visti per la prima volta oggi

114paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
34.62.25.61, uno scanner (ostilità 5,5/10), ha inviato 116 richieste a uno dei nostri siti, cercando /.docker/.env, /.env-example, /.env.anthropic, /.aws/config.
Perché è anomaloSi è diretto subito alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoTue 27 Oct, 04:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
143.244.57.84, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloOstilità più alta della classifica; la sua kill chain ha raggiunto il credential-access.
attribution: sconosciutoTue 27 Oct, 04:00 UTC
Detail
```
kill chain: reconnaissance → weaponization → exploitation → credential-access · DNA 82a939927b85
```
WTF #3
Provano CVE-2018-10561 su di noi
3 indirizzi hanno inviato 3 richieste modellate sullo sfruttamento di CVE-2018-10561 (/gponform/diag_form), tra cui 110.38.8.235, 98.148.243.98, 103.152.101.118.
Perché è anomaloUn exploit noto e con un nome continua a essere spruzzato su internet; il nostro edge lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: gpon-router
```
WTF #4
Stesso DNA, indirizzi diversi
47.82.8.116, un ricercatore (ostilità 1,1/10), ha inviato 4 richieste a 2 dei nostri siti, cercando /threat-check/Microsoft%20.NET%20Framework,%20SharePoint,%20and%20Visu.
Perché è anomalo8 IP condividono un'unica impronta comportamentale (DNA b77200c2c27d): un solo strumento o un solo operatore che ruota gli indirizzi: 47.82.14.167, 47.82.49.167, 47.82.48.59, 47.82.15.96, 47.82.54.114 e altri.
attribution: sconosciutoMon 26 Oct, 16:00 UTC
Detail
```
kill chain: reconnaissance → exploitation · DNA b77200c2c27d
```
WTF #5
La lista della spesa più strana
143.244.57.123, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: sconosciutoTue 27 Oct, 04:00 UTC
Detail
```
kill chain: reconnaissance → weaponization → exploitation → credential-access · DNA 82a939927b85
```
WTF #6
Di fretta
195.178.110.242, uno scanner (ostilità 5,5/10), ha inviato 116 richieste a uno dei nostri siti, cercando /.aws/.env, /.docker/.env, /.env, /.docker/laravel/app/.env.
Perché è anomaloHa sparato 116 richieste in circa 0,3 secondi.
attribution: sconosciutoTue 27 Oct, 04:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

199claims, 7 days

38of 267 groups active

qilin42 this week · surging

N0n32 this week

emperador9 this week · surging

Surginglamashtu — 7 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.9 expected from its own prior rate (p < 0.001)
Surgingqilin — 42 claims in 7 days against 25.4 expected from its own prior rate (p = 0.002)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.008)
Surgingpayoutsking — 3 claims in 7 days against 0.6 expected from its own prior rate (p = 0.024)
SurgingSilentRansomGroup — 6 claims in 7 days against 2.4 expected from its own prior rate (p = 0.035)

Gone quiet: AiLock (62 days), abyss (62 days), blackwater (64 days), coinbasecartel (65 days).

Sector pressure, 30 days

UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 1.8× its own prior share (48 claims, 26 expected)
UpEnergy & Utilities — 1.4× its own prior share (36 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (114 claims, 82 expected)
DownProfessional Services — 0.9× its own prior share (117 claims, 137 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 8 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 30 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 12 feed di minacce pubblici nelle 24 ore fino alle 05:05 UK (369 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni storia cita gli elementi su cui si fonda; le storie le cui fonti non risultavano verificabili, o i cui numeri non erano nelle fonti, sono state scartate prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro edge» sono dati di attacco dal vivo provenienti dai nostri server. Costoo di questa edizione: 0,68 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

369items read

24hour window

$0.68cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

NVD100ok
Signal Atlas98ok
Security news55ok
infosec.exchange36ok
ransomware.live32ok
atlas18ok
RSS10ok
signal:ioc-family8ok
AlienVault OTX7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Il bug di Brotli ha tre nomi, quattro patch d'emergenza e nessuno che lo sfrutti

Qilin ha pubblicato circa venti vittime in cento minuti, e il motore di correlazione ha pubblicato settantasei storie al riguardo

Un sistema ospedaliero del New Mexico sta deviando i pazienti; un gruppo chiamato BYOD dice di avere 36.000 delle sue macchine

Whitearmor è irritato che le sue vittime continuino a reagire da adulti

Tre campagne distinte, un solo bersaglio: le credenziali che la vostra pipeline di build tiene in un cassetto

Un file nella cartella Download ha dato ordini a un agente di coding, e l'agente li ha eseguiti

L'accesso iniziale di questa settimana è un messaggio Teams e un token riutilizzato, e nessuno dei due chiede il permesso al vostro firewall

Un uomo trasmette in diretta PHP 8.4.26 finché non verrà bucato, il che oggi è meno un esperimento che un bollettino meteo

Lo sfruttamento di PHP2Shell precede la narrazione dell'attribuzione

I 76 di Qilin sono per lo più rivalutazioni

I leak site anticipano lo strato di correlazione di cinque-dodici ore

Quattro attori, un settore, una rivendicazione sensibile per l'OT

Il feed NVD si interrompe di colpo dopo le 00:22 del 26 ottobre

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Provano CVE-2018-10561 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina