Apertura · Vulnerabilità

La CISA inserisce uno zero-day dei firewall Cisco il cui unico effetto è mandare in crash il firewall

La CVE-2026-76418 in Secure Firewall ASA e FTD è nel KEV ed è sfruttata in attacchi reali: è il secondo zero-day Cisco sulle VPN dei firewall dall'agosto scorso.

attendibilità 0.90

Ci raccontiamo che il firewall sia il perimetro. Non lo è. È un apparato esposto a internet che esegue codice C scritto da altri, termina gli accessi remoti SSL VPN di persone che non si trovano in sede, e mercoledì la CISA ha aggiunto la CVE-2026-76418 al catalogo Known Exploited Vulnerabilities perché un aggressore non autenticato può raggiungerlo e costringerlo al riavvio. Cisco ha rilasciato la patch. Gli attaccanti sono arrivati prima, ed è questo che significa zero-day una volta tolta la patina del marketing.

I numeri sono insieme la beffa e la prova di credibilità. CVSS 8,6, sfruttata in attacchi reali e un EPSS di 0,00574: un sistema di punteggio che continua a borbottare che lo sfruttamento è improbabile, mentre lo sfruttamento è già nel titolo. SecurityWeek la conta come il secondo zero-day Cisco sulle VPN dei firewall sfruttato dall'agosto scorso. Due giorni prima l'NVD ha pubblicato la CVE-2026-106174, un difetto di locking improprio in FortiOS 8.0.0 e 7.6.4 fino a 7.6.6 che consente a un aggressore non autenticato di mettere fuori uso l'interfaccia di gestione HTTPS con richieste appositamente costruite. Fornitore diverso, stesso scaffale dello stesso armadio.

La versione scomoda è che il denial of service non è un esito minore. L'apparato che cede è quello che teneva in piedi la VPN, i log, le policy e gran parte del vostro racconto sulla segmentazione; quando si riavvia, scoprite quanta parte della vostra architettura era in realtà un singolo apparato con un logo sicuro di sé. Applicate la patch oggi, perché è venerdì, e il venerdì è quando sale la marea.

Perché è rilevanteSe usate ASA, FTD o una build FortiOS interessata, si tratta di falle non autenticate, remote e già utilizzate: le scadenze del KEV non terranno conto del vostro blocco delle modifiche.

Prove

Today’s revelation

Una scadenza che non avete fissato voi è comunque una scadenza. Il calendario di rilascio del leak site è l'unico programma dell'incidente che non ha mai subito ritardi.

— Sturgeon's Revelations · Probably Fine Daily No. 33

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

GitLab raggiunge CVSS 10,0 e qualcuno l'ha provata sul server di Alpine Linux

Il 29 ottobre la CISA ha aggiunto la CVE-2026-97229 al KEV: un integer overflow in GitLab Community ed Enterprise Edition che consente a un utente non autenticato di eseguire codice sul server tramite un'espressione regolare appositamente costruita, con punteggio 10,0. Alpine Linux ha dichiarato il 28 ottobre che un aggressore ha tentato di sfruttarla contro il GitLab del progetto Alpine una settimana dopo il rilascio della correzione da parte di GitLab. L'EPSS è a 0,18, a ricordare che l'EPSS è una previsione meteo mentre il KEV è qualcuno che sta sotto la pioggia. Se ospitate GitLab in proprio, l'asset in gioco è ciò che custodisce la vostra CI/CD, i runner e le credenziali di distribuzione.

Perché è rilevanteUna RCE non autenticata su un server di build non è un problema di qualità del codice: è una chiave di tutto ciò che quel server è autorizzato a distribuire.

attendibilità 0.85

Prove

Attori delle minacce

KeyDrift ruba le chiavi che cifrano il traffico site-to-site, e nessuno concorda su chi sia alla guida

Gli attaccanti hanno sfruttato la CVE-2026-20127, un bypass dell'autenticazione nei Cisco Catalyst SD-WAN Controllers, per installare un framework personalizzato chiamato KeyDrift, che copia le chiavi che cifrano il traffico tra le sedi e le conserva per un uso successivo. BleepingComputer e The Record descrivono UAT-11473 come un APT di recente identificazione e osservano che la falla è stata corretta a febbraio; SecurityWeek riferisce che Talos collega l'infrastruttura alla rete Silent Train che Lumen ha associato a Volt Typhoon. Le due ricostruzioni non coincidono, e «per un uso successivo» è la parte da rileggere due volte: è una raccolta con una data di scadenza, non un colpo di mano.

Perché è rilevanteSe gestite controller Catalyst SD-WAN, lo stato delle patch da febbraio non è una rassicurazione: ruotate il materiale crittografico e andate a cercare, perché le chiavi rubate non generano alcun allarme.

attendibilità 0.60

Prove

Ransomware

L'estorsione è ormai un calendario editoriale, e il 29 ottobre era giorno di chiusura dell'edizione

I tracker hanno registrato 179 rivendicazioni sui leak site in sette giorni da parte di 36 dei 267 gruppi monitorati, con Booba Project a 17 rivendicazioni contro le 2,35 attese in base al proprio tasso precedente e rhysida a 6 contro 1,38. Qilin ha prodotto un picco in un solo giorno su quattro mirror il 29 ottobre, elencando City of Columbia SC, Proterial, W Interactive e Udima; Booba Project ha pubblicato voci relative a pubblica amministrazione, istruzione e sanità con volumi dichiarati da meno di 1 GB a 295 GB. Everstake è andato oltre e ha pubblicato un calendario: 417,94 Gb contrassegnati come Published, poi 494 Gb per il 4 novembre, 370,73 Gb per il 6 novembre e 1,35 Tb per il 7 novembre. Non è una sottocultura hacker, è una cadenza di rilascio con un piano editoriale.

Perché è rilevanteDue delle voci datate di Everstake cadono nelle prossime due settimane: per qualcuno l'orologio degli obblighi di notifica è già in funzione, che se ne sia accorto o meno.

attendibilità 0.70

Prove

Vulnerabilità

PHP2Shell: lo sfruttamento di massa non è arrivato, e questo è il dato

La CISA ha ordinato alle agenzie federali di correggere una vulnerabilità di escalation dei privilegi di alta gravità nel kernel Linux, Fragnesia, che gli attaccanti concatenano con le falle PHP2Shell in attacchi reali. Una società ha censito circa una mezza dozzina di sfruttamenti di PHP2Shell e un'altra ha individuato una presunta campagna cinese mirata contro server collegati al governo statunitense, il che è ben lontano dalla catastrofe su scala internet promessa dalla prima settimana. Una nota di ricerca ne spiega il motivo: gli exploit funzionanti dovevano essere adattati alla build PHP esatta di ciascun bersaglio, con l'eccezione dei sistemi che condividono un'unica immagine, come gli apparati di rete, dove un solo exploit ottimizzato raggiunge ogni dispositivo che lo esegue.

Perché è rilevanteIl vostro parco PHP su misura è, per caso, difficile da sfruttare su larga scala; la vostra flotta identica di apparati è, per caso, facile: è questa la domanda di inventario a cui rispondere oggi.

attendibilità 0.75

Prove

IA e sicurezza

Il modello ha scritto l'exploit, e il benchmark ha una percentuale con due cifre decimali

Il 27 ottobre Anthropic ha dichiarato che il proprio modello ha scritto un exploit usando la CVE-2026-98432, una falla TCP del kernel Linux valutata 9,8 dal team CVE del kernel stesso e che interessa Ubuntu, RHEL e altre distribuzioni, e, separatamente, che una versione non ancora rilasciata ha individuato e concatenato più vulnerabilità in Chrome, Safari, Android, Windows e Linux. Nella stessa settimana Google ha lanciato Gemini 4 Carbon, dichiarando l'88,2% su SEC-bench Pro e rendendolo disponibile in via prioritaria a difensori informatici selezionati tramite il Fairwind Programme. Sono affermazioni dei fornitori, cioè di chi vende i modelli, e vanno lette come tali. Sono anche la stessa tesi che i difensori sostengono con apprensione da due anni, ora stampata sulla confezione.

Perché è rilevanteLa finestra tra una CVE pubblica e un exploit funzionante è l'unica risorsa davvero scarsa nella gestione delle patch, ed entrambi i fornitori sostengono di poterla accorciare.

attendibilità 0.60

Prove

IA e sicurezza

Qualcuno ha installato veri Claude Code e Codex su macchine aziendali e ha disattivato la sandbox

Un servizio di relay non autorizzato installa sui sistemi aziendali strumenti a riga di comando autentici di OpenAI Codex e Anthropic Claude Code, riconfigurandoli per instradare ogni richiesta attraverso il relay, con la sandbox impostata sull'accesso completo; Dark Reading riferisce che lo stesso servizio rifornisce regioni in cui quei prodotti non sono ufficialmente venduti. Attorno a questo: un finto starter kit Solana su GitHub pensato per indurre gli agenti di programmazione IA a installare un RAT NetSupport, una campagna di cryptomining su Hugging Face che ritorna, con un modello scaricato oltre 28.000 volte, il ransomware Aurora che abusa di Cursor Agent, false app desktop di ChatGPT e Claude che distribuiscono miner con il nome Yoba, e 26.400 credenziali cloud e IA ancora valide trovate in 7,25 milioni di repository pubblici di Gitee. Sono comparse anche le difese: Cisco ha reso open source Project Quarry per gli attacchi agli agenti che emergono solo da sequenze di passaggi benigni, e GitHub ha presentato in anteprima un firewall per l'installazione di npm.

Perché è rilevanteUn agente di programmazione privato delle protezioni è una postazione di sviluppo con un paio di mani in più e nessuna istruzione di assunzione; censite dove girano gli agenti e a che cosa possono accedere.

attendibilità 0.55

Prove

Attori delle minacce

Binance indaga su fino a 5,8 miliardi di dollari, e i colpi minori restano i più istruttivi

Binance sta indagando su una potenziale violazione che coinvolge fino a 5,8 miliardi di dollari in asset digitali, il che, se confermato, la renderebbe il più grande furto di criptovalute mai registrato. Polymarket ha sospeso le negoziazioni dopo che un servizio di terze parti è stato compromesso per distribuire JavaScript svuota-wallet, con circa 2,5 milioni di dollari ricondotti a un presunto wallet dell'attaccante, e un'app di trading falsa chiamata Padre Terminal, presente sull'Apple App Store, è stata collegata a circa 23.000 dollari sottratti a 27 wallet Solana. Una ricerca ha inoltre rilevato che i team di traffer di lingua russa hanno spostato dalla primavera 2026 i propri modelli di frode in affiliazione sui mercati predittivi: l'ecosistema segue il denaro con meno attriti di quanti ne incontriamo noi per una richiesta di modifica.

Perché è rilevanteDue casi su tre riguardano la supply chain di terze parti e la fiducia negli app store, non la crittografia dell'exchange; il controllo che ha ceduto è «chi altro può eseguire codice davanti ai vostri utenti».

attendibilità 0.60

Prove

Stranezze

Un indirizzo email, un gruppo ransomware chiamato Booba Project e una telefonata a cui non dovreste rispondere

I ricercatori hanno trovato una falla nella forge di codice di GNU che avrebbe potuto consentire agli attaccanti di inserire una backdoor in Bash, raggiungibile tramite un indirizzo email appositamente costruito: una frase da leggere lentamente due volte. Una falla in Telegram per Android poteva essere concatenata con altri due bug per ottenere il controllo completo di un telefono una volta che la vittima rispondeva a una chiamata vocale, usando soltanto un normale account Telegram; è corretta nella versione 12.10.4. E su Mastodon qualcuno ha scoperto che esiste ormai una banda ransomware che opera con il nome Booba Project, e che in questa settimana ha pubblicato voci di pubblica amministrazione e istruzione mentre noi continuiamo a mantenere la finzione di raccontare avversari sofisticati.

Perché è rilevanteAggiornate Telegram su Android, e accettate che il campo identificativo che non avete mai validato sia il percorso di esecuzione di qualcun altro.

attendibilità 0.70

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: un giovedì enorme, quattro mirror che si danno ragione a vicenda e un NVD che ha smesso di parlare

Exception 01
Il picco di Qilin potrebbe essere un lotto, non cinquanta incidenti
Qilin compare in 50 elementi datati 29 ottobre tra atlas, ransomlook, ransomware.live e signal:atlas, contro una mediana di 0 negli altri giorni della finestra. In parte è molto probabilmente un post in blocco o un backfill dello scraper e non 50 vittime distinte, e questi dati non permettono di dire quale.
attendibilità 0.60Speculative
Wrong if
Gli elementi di Qilin si risolvono in nomi di vittime distinti con date di rivendicazione distribuite nei giorni precedenti, oppure le stesse vittime compaiono prima su altri tracker.
Watch
Se i conteggi di Qilin tornano alla norma il 30 e il 31 ottobre e se l'elenco delle vittime è univoco tra i mirror.
Prove
Exception 02
La vostra «conferma» dei leak site è quattro mirror di un'unica fonte
Ransomlook ha preceduto ransomware.live di circa 1-5 ore su Everstake, Shiba ed Emperador; ransomware.live ha preceduto ransomlook di 1-2 ore su WhiteArmor e Booba Project; signal:atlas segue ransomware.live di 3-8 ore. Nessun aggregatore è il primo su tutto, e la concordanza tra loro è un effetto specchio, non una conferma indipendente.
attendibilità 0.55
Wrong if
I ritardi seguono gli intervalli di polling o le differenze nei campi di timestamp, non l'ordine di scoperta.
Watch
Se lo stesso ordine si ripete per i gruppi osservati per la prima volta nei prossimi giorni.
Prove
Exception 03
L'NVD è rimasto in silenzio dopo il 28 ottobre e nessuno se n'è accorto
L'NVD ha fornito 100 elementi, tutti all'inizio della finestra, senza nulla dopo il 2026-10-28T19:32. Più probabilmente si tratta di un limite di acquisizione o di un'interruzione del polling che di una pausa nelle pubblicazioni, ma tutto ciò che è stato pubblicato da allora manca in questa lettura, compresi i dettagli che starebbero dietro le nuove voci del KEV.
attendibilità 0.50Speculative
Wrong if
Elementi NVD successivi esistono nell'archivio e sono stati esclusi dalla finestra o dal tetto di 100 elementi.
Watch
Se l'acquisizione dell'NVD riprende nella prossima raccolta.
Prove

Nothing to seeNessun cluster temporale, dunque nessun segno statistico di pubblicazione coordinata. Le corrispondenze di entità su «payload», «s.com» e «g.com» sono artefatti di estrazione e non significano nulla. La finestra è sbilanciata, con 216 elementi su 381 il 29 ottobre: ogni tendenza qui va letta come un solo giorno travestito da tendenza.

Deep read: 382 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueSat 7 Nov8 days
Almeno una delle pubblicazioni programmate di Everstake (la voce da 494 Gb datata 4 novembre o quella da 370,73 Gb datata 6 novembre) compare come pubblicata su ransomlook o ransomware.live.
Wrong ifEntrambe le voci superano le date indicate senza uno stato di pubblicazione, oppure scompaiono dal leak site.
Prove
f-2026-10-30-1
Confidence0.70
DueMon 2 Nov72h
Le voci di Qilin sui leak site scendono sotto le dieci al giorno su tutti i tracker, confermando che il dato del 29 ottobre era un lotto e non un'impennata operativa sostenuta.
Wrong ifQilin pubblica dieci o più voci distinte di vittime in un singolo giorno fino al 2 novembre.
Prove
f-2026-10-30-2
Confidence0.60
DueMon 9 Nov10 days
Dettagli pubblici sullo sfruttamento o una proof of concept funzionante per la CVE-2026-97229 di GitLab vengono segnalati in questi feed, oltre al tentativo contro Alpine Linux.
Wrong ifNessun ulteriore resoconto di sfruttamento o copertura di PoC per la CVE-2026-97229 compare nelle notizie, nel KEV o nei feed OTX entro la scadenza.
Prove
1. 1CISA KEVCVE-2026-97229 GitLab Community Edition and Enterpr…
2. 2Security newsAttacker Tried to Exploit Alpine Linux’s GitLab via…
f-2026-10-30-3
Confidence0.45

Scorecard

1 right · 2 wrong

wrong
A ransomware or extortion group will claim Ahold Delhaize on a leak site tracked by ransomware.live or ransomlook by 30 October 2026.
Called Tue 20 Oct · due Fri 30 Oct
The call is due today, and no ransomware.live or ransomlook item names Ahold Delhaize or one of its brands.
wrong
Majinahanashi's pending Jons Civil Engineering Company Ltd. (JCEL) post moves from PENDING to published by the end of 29 October 2026, in line with its stated 28 October schedule.
Called Mon 26 Oct · due Thu 29 Oct
The call is past its 29 Oct due date, and no item shows a Majinahanashi JCEL post. The only Majinahanashi item is an Atlas Manufacturing story.
right
CISA adds at least one further vulnerability to the Known Exploited Vulnerabilities catalog.
Called Thu 29 Oct · due Thu 5 Nov
CISA KEV added CVE-2026-97229 (GitLab) and CVE-2026-76418 (Cisco ASA/FTD) on 29 Oct.
Prove
1. 1CISA KEVCVE-2026-97229 GitLab Community Edition and Enterpr…
2. 2CISA KEVCVE-2026-76418 Cisco Secure Firewall ASA Software a…

Glossario dei termini con cui ci si aspetta che tu annuisca

Programmato (n.): Uno stato su un leak site, come in «494 Gb, Stato: Scheduled, 4 November». Significa che i dati hanno ormai un proprietario, una dimensione, una categoria e una data di pubblicazione: tre elementi di project management in più rispetto a quelli che il vostro piano di risposta agli incidenti ha oggi.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro edge ha profilato 97 fonti ostili in 24 ore: 55 crawler automatici, 34 scanner, cinque operatori mirati e tre brute forcer, che hanno inviato complessivamente 9.724 richieste, di cui 56 sono andate oltre la ricognizione fino a veri tentativi di sfruttamento. Nove gruppi di indirizzi condividevano un'impronta comportamentale, incluso un cluster di 30 IP che si muovevano come un unico strumento o un unico operatore che ruota gli indirizzi. Il premio per l'ostilità è andato a 143.244.57.121 con 7,7 su 10, che ha speso 20 richieste chiedendo wlwmanifest.xml e xmlrpc.php sotto un percorso /login, e così facendo ha raggiunto l'accesso alle credenziali. Altrove 93.123.109.165 ha lanciato 353 richieste ai nostri percorsi di amministrazione in circa 12,5 secondi, 20.211.122.120 è andato a caccia di /aa.php e /wp-act.php, e due indirizzi spruzzavano ancora la CVE-2017-9841, un exploit noto del 2017, perché internet non legge le note di rilascio. Abbiamo visto in tutto 12.534 indirizzi da 125 paesi, 8.636 dei quali per la prima volta oggi. I log grezzi non hanno mai lasciato il server.

97fonti ostili profilate

9.724richieste da esse generate

56sono arrivate allo sfruttamento

9cluster a DNA condiviso

8,5/10massima ostilità

12.534indirizzi sul nostro edge

8.636visti per la prima volta oggi

125paesi

La lista WTF

WTF #1
Il visitatore più ostinato
143.244.57.121, un operatore mirato (ostilità 7,7/10), ha inviato 20 richieste a uno dei nostri siti, cercando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Perché è anomaloLa massima ostilità in classifica; la sua kill chain ha raggiunto l'accesso alle credenziali.
attribution: sconosciutoThu 29 Oct, 22:00 UTC
Detail
```
kill chain: reconnaissance → weaponization → exploitation → credential-access · DNA 82a939927b85
```
WTF #2
Stesso DNA, indirizzi diversi
185.191.171.15, un crawler automatico (ostilità 0,6/10), ha inviato 170 richieste a 3 dei nostri siti, cercando /threat-check/HP%20Multiple%20Products%20Remote%20Code%20Execution%20V, /threat-check/Multiple%20SugarCRM%20Products%20Remote%20Code%20Executi, /threat-check/Microsoft%20Windows%20Runtime%20Remote%20Code%20Executio, /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%.
Perché è anomalo30 IP condividono un'unica impronta comportamentale (DNA 2581d8d3e47e): un solo strumento o un solo operatore che ruota gli indirizzi: 85.208.96.202, 185.191.171.18, 85.208.96.212, 185.191.171.10, 85.208.96.197 e altri.
attribution: sconosciutoThu 29 Oct, 22:00 UTC
Detail
```
kill chain: reconnaissance → exploitation · DNA 2581d8d3e47e
```
WTF #3
Provano la CVE-2017-9841 su di noi
2 indirizzi hanno inviato 8 richieste conformi allo sfruttamento della CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 185.177.72.13, 161.248.179.19.
Perché è anomaloUn exploit noto e con un nome ancora spruzzato su internet; il nostro edge lo ha visto oggi, qualunque cosa dicano le note di rilascio sull'anno.
attribution: sconosciuto
Detail
```
probe family: phpunit-rce
```
WTF #4
La lista della spesa più strana
20.211.122.120, uno scanner (ostilità 6,4/10), ha inviato 47 richieste a uno dei nostri siti, cercando /aa.php, /upload.php, /wp-act.php, /wp-content/index.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /aa.php, /upload.php, /wp-act.php, /wp-content/index.php, /wp-content/uploads/wpr-addons/forms/b1ack.php.
attribution: sconosciutoThu 29 Oct, 22:00 UTC
Detail
```
kill chain: reconnaissance → weaponization · DNA dfef4501b216
```
WTF #5
Di fretta
93.123.109.165, un brute forcer (ostilità 4,5/10), ha inviato 353 richieste a 3 dei nostri siti, cercando /admin/login, /admin/login/livewire/update, /admin, /admin/dashboard.
Perché è anomaloHa lanciato 353 richieste in circa 12,5 secondi.
attribution: sconosciutoThu 29 Oct, 22:00 UTC
Detail
```
kill chain: reconnaissance → credential-access · DNA a8561adb3b5b
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

179claims, 7 days

36of 267 groups active

qilin32 this week

Booba Project17 this week · surging

N0n14 this week

SurgingBooba Project — 17 claims in 7 days against 2.4 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.4 expected from its own prior rate (p = 0.003)
Surgingeverest — 8 claims in 7 days against 2.7 expected from its own prior rate (p = 0.007)
SurgingFalcon — 3 claims in 7 days against 0.4 expected from its own prior rate (p = 0.007)
Surgingemperador — 10 claims in 7 days against 4.6 expected from its own prior rate (p = 0.020)
Surgingpayload — 5 claims in 7 days against 1.6 expected from its own prior rate (p = 0.022)

Gone quiet: lynx (62 days), AiLock (65 days), abyss (65 days), blackwater (67 days).

Sector pressure, 30 days

UpTransportation — 2.3× its own prior share (71 claims, 31 expected)
UpEducation — 2.1× its own prior share (54 claims, 25 expected)
UpEnergy & Utilities — 1.4× its own prior share (34 claims, 24 expected)
UpHealthcare — 1.4× its own prior share (108 claims, 79 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 212 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 16 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 34% of its claims on Germany (6.7× every other brand's share); N0n put 34% of its claims on Transportation (7.5× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 64% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 196 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 38% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 33 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 13 feed pubblici sulle minacce nelle 24 ore fino alle 05:05 UK (382 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni sezione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui fonti non risultavano verificabili, o i cui numeri non comparivano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 0,75 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

382items read

24hour window

$0.75cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

NVD100ok
Signal Atlas74ok
Security news60ok
ransomware.live37ok
infosec.exchange37ok
RansomLook28ok
RSS13ok
AlienVault OTX13ok
atlas8ok
signal:ioc-family7ok
signal:kev2ok
CISA KEV2ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

GitLab raggiunge CVSS 10,0 e qualcuno l'ha provata sul server di Alpine Linux

KeyDrift ruba le chiavi che cifrano il traffico site-to-site, e nessuno concorda su chi sia alla guida

L'estorsione è ormai un calendario editoriale, e il 29 ottobre era giorno di chiusura dell'edizione

PHP2Shell: lo sfruttamento di massa non è arrivato, e questo è il dato

Il modello ha scritto l'exploit, e il benchmark ha una percentuale con due cifre decimali

Qualcuno ha installato veri Claude Code e Codex su macchine aziendali e ha disattivato la sandbox

Binance indaga su fino a 5,8 miliardi di dollari, e i colpi minori restano i più istruttivi

Un indirizzo email, un gruppo ransomware chiamato Booba Project e una telefonata a cui non dovreste rispondere

Il picco di Qilin potrebbe essere un lotto, non cinquanta incidenti

La vostra «conferma» dei leak site è quattro mirror di un'unica fonte

L'NVD è rimasto in silenzio dopo il 28 ottobre e nessuno se n'è accorto

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Il visitatore più ostinato

Stesso DNA, indirizzi diversi

Provano la CVE-2017-9841 su di noi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina