Apertura · Vulnerabilità

PHP2Shell è nel KEV con scadenza giovedì, e ogni shell confermata finora è finita in un honeypot

La CISA parla di sfruttamento attivo; l'unico successo pubblicato sono 35 shell da due indirizzi contro macchine costruite per essere violate, e questa distinzione è il vostro mercoledì.

attendibilità 0.82

Due falle use-after-free nella gestione di session.upload_progress del motore PHP, CVE-2026-109618 e CVE-2026-109619, entrambe valutate 9.2, entrambe innescate durante l'elaborazione di richieste multipart, commercializzate collettivamente come PHP2Shell. Lunedì la CISA ha confermato lo sfruttamento attivo, le ha inserite nel catalogo Known Exploited Vulnerabilities e ha ordinato alle agenzie federali di applicare le patch entro giovedì. Questo è il titolo, e il titolo è vero.

Ciò che sta sotto è più interessante. SecurityWeek descrive il passaggio dalle sonde alle shell funzionanti come 35 shell lanciate da due indirizzi IP il 24 ottobre, contro honeypot. Wiz, che osserva la vicenda dalla divulgazione pubblica del 21 ottobre, riferisce tentativi di sfruttamento e nessuna compromissione riuscita osservata. Un pulse OTX, 31 ore dopo la prima notizia, è più spiccio: attori UNC che sfruttano codice exploit pubblico contro infrastrutture pubbliche, aziendali e scolastiche. Nessuno mente. Tre persone descrivono la stessa marea da tre spiagge diverse, e solo una di loro ha una telecamera.

Che cosa significa in una stanza con una finestra di patching: l'exploit funziona, in modo affidabile, da codice pubblico, che è l'unica parte della questione a cui dovete davvero rispondere. Siemens, Schneider Electric e ABB hanno già confermato che alcuni loro prodotti sono interessati, il modo tradizionale con cui il settore industriale vi avverte che ci vorranno mesi. La CISA ha fissato giovedì. La marea si ritira venerdì, ed è sempre venerdì.

Perché è rilevanteSe eseguite PHP ovunque uno sconosciuto possa inviare una richiesta multipart, siete nel perimetro oggi, e l'orologio è federale.

Prove

Today’s revelation

Ogni «sfruttata attivamente in the wild» nasce come «l'honeypot di qualcuno ha fatto il suo lavoro»; la distanza tra queste due frasi è il luogo in cui se ne va tutta la vostra settimana.

— Sturgeon's Revelations · Probably Fine Daily No. 31

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Il bug con quattro nomi ne ottiene un quinto: CISA KEV, insieme ad Adobe Commerce

Il feed KEV stesso riportava due aggiunte datate 27 ottobre: CVE-2026-48356, un caricamento senza restrizioni di file di tipo pericoloso in Adobe Commerce e Magento che porta all'esecuzione di codice arbitrario (EPSS 0.30582), e CVE-2026-111497, un valore di ritorno non controllato in Google Brotli che consente a un attaccante remoto non autenticato di corrompere la memoria di stato adiacente del decodificatore, divulgare il contenuto della memoria, causare un denial of service o potenzialmente eseguire codice a partire da un flusso compresso appositamente costruito (EPSS 0.55483). La falla di Brotli è quella che la settimana ha chiamato Node2Shell, HTTP2Shell e Broccoli2Shell a seconda del comunicato stampa che vi è arrivato per primo, e arriva fino ai pacchetti Node.js, .NET, PowerShell e Python. Microsoft ha rilasciato aggiornamenti d'emergenza per .NET. Un decodificatore, quattro nomi, una lunghissima conversazione sull'inventario degli asset.

Perché è rilevanteBrotli è una dipendenza delle vostre dipendenze; lo status KEV significa che la domanda non è più se lo distribuite, ma dove.

attendibilità 0.85

Prove

Ransomware

UNM Health devia le ambulanze, e chi l'ha bloccata offre gratis la chiave all'ospedale

Il sistema sanitario dell'Università del Nuovo Messico ha invitato la popolazione a non recarsi al suo ospedale principale di Albuquerque, ha annullato gli appuntamenti in più di 30 ambulatori, sospeso gli interventi ambulatoriali e deviato le ambulanze verso strutture di Albuquerque e Santa Fe per circa due ore lunedì. Il post di rivendicazione dell'attore identificato come BYOD sostiene di aver colpito 36.000 macchine, entrambe le foreste AD che coprono il campus principale e il settore ospedaliero, le GPO, due database Oracle e dati personali di studenti e dipendenti, compresi i numeri di previdenza sociale. Un giorno dopo lo stesso attore ha pubblicato un aggiornamento offrendo la chiave di decifrazione gratuitamente solo al settore ospedaliero, dicendo di non sapere che le macchine assistessero i pazienti in tempo reale. La rivendicazione è comparsa prima su ransomlook, con la stampa in ritardo di 4,1 ore.

Perché è rilevanteIl vostro patrimonio di identità è il raggio dell'esplosione: due foreste e le GPO che le collegano sono l'intera organizzazione, non un reparto.

attendibilità 0.78

Prove

Ransomware

L'interruttore di spegnimento ha avuto una buona settimana: GMO dice ai clienti di spegnere, la Moldavia ritira più di 80 servizi

Il gruppo giapponese GMO ha esortato i clienti di Onamae Desktop Cloud a scollegarsi da internet e spegnere i computer dopo che un intruso, già penetrato nella piattaforma, aveva minacciato di far detonare un ransomware; una sintesi molto diffusa stima l'esposizione fino a 26.739 server di clienti, afferma che la richiesta di circa ¥8 miliardi (circa 50 milioni di dollari) è stata respinta e che i dati rubati sono stati pubblicati. Nello stesso ciclo di notizie, la Moldavia ha messo offline più di 80 servizi pubblici dopo un attacco informatico. Due organizzazioni, due continenti, un solo controllo, ed è quello che nessuno inserisce in un modello di maturità perché ottiene zero in automazione.

Perché è rilevanteSe il vostro piano di risposta agli incidenti non prevede un modo documentato e autorizzato per spegnere rapidamente cose grandi, non avete un piano di risposta agli incidenti, avete un saggio.

attendibilità 0.70

Prove

Ransomware

Lunedì è stato il giorno più rumoroso per i siti di leak della finestra: 291 elementi su 524 sono arrivati il 27 ottobre

Il tempo di Ninja Signal per oggi conta 203 rivendicazioni sui siti di leak in sette giorni da 40 dei 267 gruppi monitorati, con Booba Project in forte crescita a 10 rivendicazioni contro le 2,4 attese dal suo tasso precedente, qilin a 44 contro 25,41 e everest a 10, tutti con p inferiore a 0,001. Il quadro giornaliero è più netto: Everest ha pubblicato 28 elementi il 27 ottobre contro una mediana di zero negli altri giorni, Booba Project 26, Play 24, The Gentlemen 21 (e 31 il giorno prima con una grafia diversa), WhiteArmor 13. Le vittime nominate sono il solito ventaglio di organizzazioni ordinarie: il Bristol City Council rivendicato da Wallstreet, due credit union statunitensi da qilin, il comune belga di Machelen da rhysida con 1,3 milioni di file e circa 2,9 TB. Una cautela da tenere presente: ransomlook e ransomware.live si rispecchiano a vicenda con ritardi da una a venticinque ore, quindi buona parte della corroborazione apparente è lo stesso post visto due volte.

Perché è rilevanteLa pubblicazione in blocco sembra una campagna in un grafico; contate le vittime distinte, non le righe di feed distinte, prima di fare un briefing a qualcuno.

attendibilità 0.65

Prove

IA e sicurezza

Le chiavi dei modelli sono ormai bottino: uno stealer per i portachiavi degli sviluppatori, file di istruzioni avvelenati e una violazione dei log decisionali degli agenti

Quattro elementi distinti, una sola direzione di marcia. Lo stealer 'Aokigahara' prende di mira i portachiavi degli sviluppatori e gli assistenti IA, esponendo sessioni IA, dati aziendali e infrastrutture di sviluppo da un unico endpoint. Una tecnica osservata in natura abusa del modo in cui gli assistenti di programmazione consumano i file locali di istruzioni in Markdown, sfumando il confine tra un documento di testo e un'azione eseguibile. Warp ha reso nota una violazione presso un fornitore terzo che ha esposto i log decisionali degli agenti IA e la telemetria degli utenti. E gli harness Cairn AI per test di intrusione privi di protezione sono stati compromessi sistematicamente dal 20 ottobre circa da campagne automatizzate che inseriscono attività malevole. Nel frattempo NIST, CISA e NSA hanno pubblicato linee guida che trattano gli agenti fuori controllo come incidenti da simulare, dove la domanda difficile è con l'autorità di chi abbia agito l'agente, e la risposta deve esistere prima dell'incidente.

Perché è rilevanteIdentità, memoria e log degli agenti sono ormai asset di produzione con conseguenze di produzione; inventariateli prima che qualcun altro li enumeri al posto vostro.

attendibilità 0.72

Prove

Vulnerabilità

Tailscale sta correggendo in pubblico quasi una dozzina di falle SSH, perché i dettagli sono usciti prima delle correzioni

Il team di sicurezza di Tailscale sta lavorando a quasi una dozzina di vulnerabilità in Tailscale SSH che potrebbero servire a rubare credenziali, mandare in crash i server e ottenere privilegi di root. I dettagli dell'insieme, ribattezzato 'Tailworm', sono diventati pubblici nel fine settimana prima che fosse rilasciata qualsiasi correzione, così il fornitore ora scrive le patch davanti a un pubblico. Non risulta alcuno sfruttamento in questi elementi; c'è però una mappa pubblicata.

Perché è rilevanteTailscale SSH si trova sul percorso verso risorse che considerate interne; sappiate se lo avete abilitato prima di decidere che questa è la storia di qualcun altro.

attendibilità 0.78

Prove

Vulnerabilità

Un 9.5 nel firmware UEFI, sotto il sistema operativo e sotto il Secure Boot

Segnalata stamattina tramite l'infosec su Mastodon che rimanda a Ars Technica: CVE-2026-97631 in TianoCore EDK II, il codice UEFI open source incorporato nel firmware dalla maggior parte dei produttori di server e dei fornitori cloud, valutata 9.5. La falla è un problema di corruzione della memoria in un componente ICMP che consente l'esecuzione di codice prima del caricamento del sistema operativo, e i post sono espliciti: il Secure Boot non protegge, perché è la stessa catena di fiducia a essere il punto debole. La correzione consiste negli aggiornamenti firmware del vostro fornitore di server o cloud. Una precisazione sulle fonti, detta chiaramente: nella nostra finestra la notizia è arrivata tramite post sui social e un articolo collegato, non tramite NVD o KEV.

Perché è rilevanteSe colpisce sotto il sistema operativo, nessuna telemetria dei vostri endpoint è testimone; questa è una campagna sul firmware dei fornitori, non un Patch Tuesday.

attendibilità 0.55

Prove

Stranezze

Il sito di leak che non riesce a confermare l'esistenza delle proprie vittime

L'ondata di rivendicazioni di Everest del 27 ottobre è arrivata con descrizioni delle vittime generate da IA, alcune delle quali si rifiutano di stare al gioco: di 'SleepEx LabRetriever' la scheda dice che non corrisponde ad alcuna organizzazione verificabile e che la costruzione insolita del nome suggerisce che potrebbe essere fittizio o un test; 'Burris & MacOmber' e 'Point Robotics' ricevono un trattamento analogo; altre tre riportano semplicemente N/A. Altrove, l'attore ULose ha pubblicato sul proprio sito di leak due voci chiamate 'zzq-test' e 'probe-011637cabbf94076', con codice paese 'zz', che è l'aspetto del test in produzione quando la produzione è l'estorsione. E WhiteArmor, in una giornata di intensa pubblicazione, ha trovato il tempo di dire per iscritto a KuCoin che non è un gruppo hacktivista e che si concentra principalmente su estorsione di dati e ransomware, la cosa più vicina a una dichiarazione di intenti prodotta da questa settimana.

Perché è rilevanteI conteggi delle vittime sui siti di leak sono artefatti di marketing; considerate non verificato un nome non verificato finché qualcosa al di fuori del sito di leak non dice il contrario.

attendibilità 0.68

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Una vera storia di vulnerabilità trasversale ai feed, una montagna di post di leak rispecchiati e due feed che si sono fermati nello stesso minuto.

Exception 01
PHP2Shell: la notizia ha anticipato il feed di minacce di 31 ore, e le fonti non concordano sull'impatto
La stessa coppia di CVE compare in cyber-news, OTX e RSS. Cyber-news ha riferito per prima; OTX ha seguito 31 ore dopo con un pulse che descrive attori UNC contro obiettivi pubblici, aziendali e scolastici, mentre Wiz riferisce tentativi e nessuna compromissione riuscita. Le 35 shell funzionanti provenivano da honeypot, quindi dimostrano che il codice exploit funziona, non che qualcuno sia stato compromesso. Non presentate il pulse OTX come compromissione confermata di vittime.
attendibilità 0.60
Wrong if
Una vittima nominata, o telemetria da un ambiente non honeypot, che mostri una compromissione riuscita.
Watch
La scadenza KEV di giovedì, le note di patch dei fornitori e se OTX o Wiz rivedranno le proprie affermazioni nelle prossime 48 ore.
Prove
Exception 02
Le voci KEV in nostro possesso non sono le CVE di PHP
Cyber-news e RSS riferiscono entrambi che la CISA ha aggiunto le falle di PHP2Shell al KEV con scadenza giovedì. Le due voci KEV nella nostra finestra, datate 27 ottobre, sono CVE-2026-48356 (Adobe Commerce e Magento) e CVE-2026-111497 (Google Brotli). Entrambe le cose possono essere vere, e la lettura più semplice è che il nostro prelievo KEV sia incompleto, ma non possiamo confermare l'inserimento di PHP dai dati di catalogo di cui disponiamo.
attendibilità 0.35Speculative
Wrong if
Leggere il catalogo KEV dal vivo e trovare CVE-2026-109618 e CVE-2026-109619 elencate, oppure no.
Watch
Il prossimo prelievo KEV.
Prove
Exception 03
L'ondata del 27 ottobre potrebbe essere uno scraping, non un'ondata vera
291 elementi su 524 nella finestra cadono il 27 ottobre, con Everest, Booba Project, Play, The Gentlemen e WhiteArmor che registrano tutti picchi rispetto a mediane prossime allo zero. Non sono stati rilevati cluster temporali, e ransomware.live in genere anticipa ransomlook di una o due ore sugli stessi post, il che è rispecchiamento e non corroborazione. Il quadro è coerente tanto con una pubblicazione in blocco o un effetto di scraping quanto con una campagna coordinata.
attendibilità 0.40Speculative
Wrong if
Se gli elementi del 27 ottobre condividono un unico orario di scraping o un backfill, o se gli stessi post riportano date precedenti altrove, si tratta di un artefatto di acquisizione.
Watch
I conteggi giornalieri di questi gruppi per il 28 e il 29 ottobre; un ritorno al livello di base significa un blocco una tantum.
Prove
1. 1ransomware.liveBooba Project claimed Regent Christian Online Acade…
2. 2RansomLookwhitearmor leaked Kucoin — Dear Kucoin, We are NOT…
Exception 04
NVD e SafePay tacciono entrambi a 2026-10-27T01:31
Il feed NVD (81 elementi) e l'attore SafePay (9 elementi) si fermano nello stesso minuto. Un taglio identico tra una fonte di vulnerabilità non correlata e una singola banda ransomware indica un confine di raccolta condiviso, non due eventi indipendenti del mondo reale. L'ondata di SafePay del 26 ottobre seguita dal silenzio totale è con ogni probabilità lo stesso artefatto.
attendibilità 0.50Speculative
Wrong if
Nuove voci NVD o post di SafePay con data successiva a 2026-10-27T01:31.
Watch
Il prossimo prelievo NVD; se è ancora vuoto, la pipeline è guasta e va trattata come tale.
Prove

Nothing to seeNon sono stati trovati cluster temporali in tutta la finestra. La maggior parte della sovrapposizione ransomware tra fonti è ransomlook e ransomware.live che riportano due volte lo stesso post di leak, il che non è corroborazione indipendente per quanto soddisfacente appaia in un grafico. L'affermazione OTX sugli 'attori UNC' non reca alcun dettaglio di attribuzione che possiamo vedere. Molte delle entità 'x:' sono duplicati delle entità 'actor:' e non vanno contate due volte.

Deep read: 525 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueWed 4 Nov7 days
Entro il 4 novembre, nessuna organizzazione nominata e non honeypot sarà segnalata pubblicamente in questi feed come compromessa con successo tramite CVE-2026-109618 o CVE-2026-109619.
Wrong ifQualsiasi rapporto di un fornitore, articolo di stampa o post di un sito di leak che nomini un'organizzazione vittima reale compromessa tramite PHP2Shell.
Prove
f-2026-10-28-1
Confidence0.60
DueWed 4 Nov7 days
Booba Project pubblicherà almeno altre cinque rivendicazioni sui siti di leak su ransomware.live o ransomlook entro il 4 novembre.
Wrong ifMeno di cinque nuovi post di vittime di Booba Project o booba team in quella finestra.
Prove
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-28. In th…
2. 2ransomware.liveBooba Project claimed Regent Christian Online Acade…
f-2026-10-28-2
Confidence0.65
DueSat 31 Oct72h
Elementi NVD con data successiva a 2026-10-27T01:31 compariranno nel nostro feed entro il 31 ottobre, confermando che il silenzio era un confine di acquisizione e non un arresto alla fonte.
Wrong ifIl feed NVD resta vuoto oltre il 31 ottobre, il che rende il problema la nostra pipeline e nostro.
Prove
1. 1NVDCVE-2026-116048: A vulnerability was detected in kr…
2. 2RansomLooksafepay leaked goldencrops.com.tw — The company spe…
f-2026-10-28-3
Confidence0.75

Scorecard

3 right · 1 partly · 2 wrong

right
Public reporting of in-the-wild exploitation of CVE-2026-103849 in Magento or Adobe Commerce appears in the news feeds by 31 October 2026.
Called Sat 17 Oct · due Sat 31 Oct
CISA KEV added CVE-2026-48356 (Adobe Commerce and Magento) on 2026-10-27, confirming active exploitation before 31 October deadline
Prove
1. 1CISA KEVCVE-2026-48356 Adobe Commerce and Magento: Adobe Co…
wrong
A public proof of concept or in-the-wild exploitation report appears for the Magento BlockStrap flaw CVE-2026-103849.
Called Sun 18 Oct · due Wed 28 Oct
No PoC or exploitation report for CVE-2026-103849 (Magento BlockStrap flaw) appears in today's feeds; the KEV addition is for CVE-2026-48356, a different Adobe Commerce CVE, and the due date of 28 October has now passed
Prove
1. 1CISA KEVCVE-2026-48356 Adobe Commerce and Magento: Adobe Co…
right
At least one named Booba Project victim appears on a leak-site tracker, giving the escalating healthcare alerts something to stand on.
Called Thu 22 Oct · due Thu 29 Oct
Booba Project posted multiple named victim claims on ransomware.live/ransomlook on 2026-10-27, well before the 29 October deadline
Prove
partly
Tailscale publishes a fix or advisory for the Tailscale SSH port-forwarding privilege-escalation flaws by 2 November 2026.
Called Mon 26 Oct · due Mon 2 Nov
Tailscale published an advisory warning of SSH privilege-escalation flaws and announced patches are being rushed, but fixes not yet released as of today's feeds; deadline is 2 November
Prove
wrong
CISA will not add CVE-2026-111497 (Brotli / HTTP2Shell / Node2Shell / Broccoli2Shell) to the KEV catalogue.
Called Tue 27 Oct · due Tue 3 Nov
CISA KEV added CVE-2026-111497 (Google Brotli / Node2Shell / HTTP2Shell / Broccoli2Shell) on 2026-10-27, falsifying the prediction
Prove
1. 1CISA KEVCVE-2026-111497 Google Brotli: Google Brotli Unchec…
right
Fresh PHP2Shell indicators — exploitation source addresses or shell artefacts beyond the two IPs seen on 24 October — will appear in news or OTX reporting.
Called Tue 27 Oct · due Fri 6 Nov
OTX and SecurityWeek reporting on 2026-10-27 describe exploitation from two IPs on 24 October and broader UNC actor exploitation, with additional IOC details published beyond the original two addresses
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

In the wild (n.): Osservata su una macchina messa su internet con lo scopo esplicito di essere osservata. Promossa, nel racconto, a macchina di vostra proprietà, e poi alla scadenza che vi è stata assegnata.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, ultime 24 ore: il sensore locale Adversary DNA ha profilato 40 fonti ostili — 25 scanner, 13 crawler bot, due operatori mirati — che insieme hanno inviato 7.920 richieste; 13 sono andate oltre la ricognizione fino a tentativi di sfruttamento, e quattro gruppi di indirizzi condividevano un'impronta comportamentale. La lista della spesa è stata aggiornata all'era attuale: 34.156.56.233, ostilità 5,6 su 10, ha inviato 228 richieste a due dei nostri siti chiedendo /.env.anthropic, /.aws/.env, /.aws/credentials e /.aws/config, ovvero chiavi API di modelli archiviate accanto alle chiavi cloud come se ci fossero sempre state. 35.241.239.86 ha sparato 117 richieste in circa mezzo secondo, tutte su percorsi di credenziali AWS. Tre indirizzi, 24 richieste, ci hanno inondato di CVE-2017-9841 tramite /vendor/phpunit/phpunit/, e otto IP condividevano un'unica impronta (DNA 672df8667b3d), cioè un solo strumento o un solo operatore che ruota gli indirizzi mentre il foglio di calcolo li chiama otto avversari. In totale 4.549 indirizzi di 96 paesi hanno toccato il perimetro, 1.746 dei quali visti qui per la prima volta oggi. I log grezzi non hanno mai lasciato il server; solo questi risultati.

40fonti ostili profilate

7.920richieste da esse

13arrivate allo sfruttamento

4cluster a DNA condiviso

6,7/10massima ostilità

4.549indirizzi sul nostro perimetro

1.746visti per la prima volta oggi

96paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
34.156.56.233, uno scanner (ostilità 5,6/10), ha inviato 228 richieste a 2 dei nostri siti, cercando /.env.anthropic, /.aws/.env, /.aws/credentials, /.aws/config.
Perché è anomaloHa puntato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ora nella lista della spesa degli scanner, accanto alle chiavi cloud.
attribution: sconosciutoTue 27 Oct, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 9427f6c77bf1
```
WTF #2
Il visitatore più determinato
20.24.222.184, uno scanner (ostilità 6,5/10), ha inviato 42 richieste a uno dei nostri siti, cercando /file2.php, /general.php, /666.php, /file.php.
Perché è anomaloLa massima ostilità in classifica; la sua kill chain è arrivata alla weaponization.
attribution: sconosciutoTue 27 Oct, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA dfef4501b216
```
WTF #3
Provano CVE-2017-9841 su di noi
3 indirizzi hanno inviato 24 richieste con la forma di uno sfruttamento di CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 185.238.231.89, 94.26.0.103, 185.177.72.29.
Perché è anomaloUn exploit noto e con un nome continua a essere sparso su internet; il nostro perimetro lo ha visto oggi, qualunque cosa dicano le note di patch sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: phpunit-rce
```
WTF #4
Stesso DNA, indirizzi diversi
94.180.163.194, un crawler bot (ostilità 1,2/10), ha inviato 60 richieste a uno dei nostri siti, cercando /threat-check/%22Next%20Exploit%20Opportunities%22%3A%20How%20a%20Thre.
Perché è anomalo8 IP condividono un'unica impronta comportamentale (DNA 672df8667b3d): un solo strumento o un solo operatore che ruota gli indirizzi: 94.180.163.194, 85.208.96.208, 185.191.171.10, 85.208.96.204, 85.208.96.197 e altri.
attribution: sconosciutoTue 27 Oct, 08:00 UTC
Detail
```
kill chain: ricognizione → sfruttamento · DNA 672df8667b3d
```
WTF #5
La lista della spesa più strana
20.53.239.152, uno scanner (ostilità 6,4/10), ha inviato 46 richieste a uno dei nostri siti, cercando /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /wk/index.php, /inputs.php, /ioxi-o.php, /function/function.php, /rip.php.
attribution: sconosciutoTue 27 Oct, 08:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 83562bd8e880
```
WTF #6
Di fretta
35.241.239.86, uno scanner (ostilità 5,5/10), ha inviato 117 richieste a uno dei nostri siti, cercando /.aws/.env, /.aws/credentials.bak, /.aws/config, /.aws/credentials.
Perché è anomaloHa sparato 117 richieste in circa 0,5 secondi.
attribution: sconosciutoTue 27 Oct, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

203claims, 7 days

40of 267 groups active

qilin44 this week · surging

N0n24 this week

Whitearmor11 this week · new

SurgingBooba Project — 10 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingqilin — 44 claims in 7 days against 25.4 expected from its own prior rate (p < 0.001)
Surgingeverest — 10 claims in 7 days against 2.8 expected from its own prior rate (p < 0.001)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.008)
Surgingpayoutsking — 3 claims in 7 days against 0.6 expected from its own prior rate (p = 0.024)
Surgingrhysida — 4 claims in 7 days against 1.2 expected from its own prior rate (p = 0.039)

Gone quiet: lynx (60 days), AiLock (63 days), abyss (63 days), blackwater (65 days).

Sector pressure, 30 days

UpTransportation — 2.1× its own prior share (70 claims, 33 expected)
UpEducation — 2.0× its own prior share (52 claims, 26 expected)
UpEnergy & Utilities — 1.5× its own prior share (38 claims, 25 expected)
UpHealthcare — 1.4× its own prior share (116 claims, 81 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 210 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 11 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (6.8× every other brand's share); N0n put 34% of its claims on Transportation (7.7× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 193 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 31 è stata realizzata da una macchina e controllata dal codice. Ogni elemento pubblicato da 13 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (525 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui ricevute non risultavano risolvibili, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. 'From our edge' sono dati di attacco dal vivo provenienti dai nostri server. Costoo di questa edizione: $1.02. È scritto da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno lo ha ritoccato a mano, il che è o il punto o il problema.

525items read

24hour window

$1.02cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

RansomLook100ok
Signal Atlas98ok
Security news88ok
NVD81ok
atlas41ok
ransomware.live41ok
infosec.exchange36ok
signal:ioc-family12ok
AlienVault OTX12ok
RSS11ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Il bug con quattro nomi ne ottiene un quinto: CISA KEV, insieme ad Adobe Commerce

UNM Health devia le ambulanze, e chi l'ha bloccata offre gratis la chiave all'ospedale

L'interruttore di spegnimento ha avuto una buona settimana: GMO dice ai clienti di spegnere, la Moldavia ritira più di 80 servizi

Lunedì è stato il giorno più rumoroso per i siti di leak della finestra: 291 elementi su 524 sono arrivati il 27 ottobre

Le chiavi dei modelli sono ormai bottino: uno stealer per i portachiavi degli sviluppatori, file di istruzioni avvelenati e una violazione dei log decisionali degli agenti

Tailscale sta correggendo in pubblico quasi una dozzina di falle SSH, perché i dettagli sono usciti prima delle correzioni

Un 9.5 nel firmware UEFI, sotto il sistema operativo e sotto il Secure Boot

Il sito di leak che non riesce a confermare l'esistenza delle proprie vittime

PHP2Shell: la notizia ha anticipato il feed di minacce di 31 ore, e le fonti non concordano sull'impatto

Le voci KEV in nostro possesso non sono le CVE di PHP

L'ondata del 27 ottobre potrebbe essere uno scraping, non un'ondata vera

NVD e SafePay tacciono entrambi a 2026-10-27T01:31

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Provano CVE-2017-9841 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina