L'apparato acquistato per presidiare il perimetro è diventato la porta d'ingresso, e stavolta l'attaccante non voleva i vostri dati

Vulnerabilità

Altre tre voci KEV, e una è un demone IRC, perché internet non cancella mai nulla davvero

Insieme a Check Point, la CISA ha aggiunto CVE-2026-114713 in UnrealIRCd — una neutralizzazione impropria dei delimitatori che consente a qualsiasi utente di una rete con due o più server collegati di iniettare comandi server-to-server eseguiti con l'autorità del server — e poi, questa mattina, CVE-2026-5430 in WSO2 API Control Plane, API Manager, Traffic Manager e Universal Gateway (path traversal, caricamento arbitrario di file ed esecuzione di codice da remoto) e CVE-2026-71362 in Adobe Commerce e Magento (autorizzazione errata, accesso elevato a risorse sensibili, senza interazione dell'utente). Intanto l'ISC segnala tentativi di sfruttamento in corso di CVE-2026-102895, un banale bypass dell'autenticazione in GPUStack che riguarda tutte le versioni precedenti alla 2.2.0, rilasciata a fine giugno. GPUStack gestisce cluster di GPU, che eseguono carichi di lavoro di intelligenza artificiale, ossia dove oggi si concentra il denaro.

Attori delle minacce

N-able porta offline N-central dopo 33 falle, e l'hotfix si rivela una bella cosa da avere installato mentre si veniva compromessi

N-able ha messo offline la piattaforma N-central dopo la scoperta di 33 falle e ha distribuito un hotfix come mitigazione raccomandata; gli attacchi sono iniziati poco dopo che un ricercatore aveva diffuso oltre 30 zero-day, e N-able ha corretto quelli non autenticati. Poi sono arrivati i conti: gli attaccanti hanno infettato 21 server, 19 dei quali con l'Hotfix 2, con il nuovo insieme di falle tracciato come 4EverAble2Shell e Agent2Shell, e N-able sta ora limitando alcune funzionalità e integrazioni di N-central. Nella corsia accanto, ConnectWise ha confermato che l'abuso di un'estensione indipendente di terze parti ha permesso agli attaccanti di aggirare l'autenticazione di ScreenConnect, con i ricercatori che hanno individuato intrusioni in quasi 50 organizzazioni; ThreatFox riporta un file ScreenConnect.ClientSetup.msi ospitato su un bucket Cloudflare R2, non dimostrato come parte della stessa campagna ma con la stessa idea e lo stesso cappotto.

Perché è rilevanteGli strumenti di gestione remota sono la via più rapida da una singola compromissione a tutti i vostri clienti, e «abbiamo applicato l'hotfix» non è più una frase che chiuda un ticket.

Ransomware

L'«ondata» di ieri sui leak site era in gran parte un calendario di pubblicazione, e le scadenze sono lunedì e martedì

Pixelleaks ha pubblicato 14 voci il 13 novembre a fronte di una mediana di una negli altri giorni — un ente di edilizia sostenibile di Hong Kong, un'azienda cinese di genomica oncologica, società di consulenza finanziaria canadesi e statunitensi, una scuola di saldatura — con timestamp di divulgazione completa fissati al 2026-11-16 11:45 UTC e al 2026-11-17 01:36 UTC. n0n ne ha pubblicate 10 in un colpo solo, comprese rivendicazioni contro DraftKings, LiveRamp e LEO Pharma che nessuno ha verificato; Play ne ha pubblicate nove, Akira sei, Qilin cinque, e le escalation Atlas di The Gentlemen riportano tutte lo stesso timestamp delle 17:50. Tra le cinque di Qilin figura la University of Texas at Arlington, che ha avvertito separatamente che dati personali sono stati sottratti in un attacco informatico: almeno una riga del lotto ha dunque un costo umano ben preciso. Un conteggio di Darkfeed per il 2026 porta Qilin a 1171, The Gentleman a 1026 e Akira a 441.

Perché è rilevanteContate le vittime, non i post: una giornata da 14 voci su un singolo leak site è una scelta editoriale, e l'unico dato concreto è la scadenza del 16-17 novembre.

IA e sicurezza

Il rilievo dell'FBI su Artex non è che sia ingegnoso, ma che sia veloce

Un flash alert dell'FBI sostiene che lo strumento di hacking open source Artex «riduce in modo significativo il tempo necessario a concatenare le tecniche di attacco, con alcune intrusioni che passano dal targeting iniziale ai privilegi elevati in meno di tre ore». Dark Reading riporta un caso collegato: un attaccante i cui comandi digitati a mano avevano fallito contro un rivenditore statunitense è passato a script generati dall'IA e ha ottenuto movimento laterale in pochi minuti. Sul fronte opposto, OpenAI ha presentato Daybreak Red Team, che esegue penetration test di applicazioni web con agenti di IA, e Defense Factory, che analizza i risultati e prepara le patch; la critica race condition di Apache mod_http2 CVE-2026-119618 è stata individuata da Anthropic e Google. E The Hacker News solleva la domanda a cui nessun runbook risponde: spegnere un agente fuori controllo potrebbe non fermarlo, perché attività in coda, sessioni attive e credenziali valide proseguono senza il modello.

Perché è rilevanteSe dal targeting iniziale ai privilegi elevati possono bastare meno di tre ore, il vostro budget di rilevamento si misura in minuti e il vostro processo di approvazione in giorni.

Malware e IOC

Qualcuno ha aperto tre Trezor, aggiunto una scheda elettronica e li ha venduti lo stesso

Trezor ha confermato che tre wallet Safe 5 venduti dal rivenditore del Sud-est asiatico CryptoBilis contenevano impianti hardware nascosti: una scheda elettronica aggiuntiva che legge la frase di recupero dallo schermo del dispositivo e la trasmette attraverso la rete mobile. È disponibile un fix del firmware, che però non annulla l'esposizione già avvenuta. Lo stesso giorno l'FBI ha attribuito a un'operazione di ingegneria sociale nordcoreana chiamata FaceStealer oltre 400 milioni di dollari in furti di criptovalute in 18 mesi, basata su false videochiamate, deepfake e clip sottratte dalle webcam di oltre 900 vittime, e ha dichiarato di aver sequestrato l'infrastruttura di attacco; separatamente, le autorità statunitensi hanno sequestrato 1,2 miliardi di dollari in criptovalute rubate a Binance.

Perché è rilevanteLa garanzia sulla filiera dell'hardware significa catena di custodia dalla fabbrica alla mano, non un adesivo olografico e la parola di un rivenditore.

Politiche

L'Operazione Endgame sequestra 235 server e 6,4 milioni di credenziali rubate, e 354 persone ricevono una visita

Gli investigatori hanno sequestrato 235 server e 257 domini dietro Gootloader, CastleRAT e StealC, insieme a circa 6,4 milioni di credenziali di vittime, nell'ambito dell'Operazione Endgame. In una distinta operazione internazionale congiunta sono stati arrestati 354 sospettati — venditori e acquirenti dei marketplace del dark web Archetyp, Nemesis, Tor2Door, Bohemia e Kingdom. Le autorità tedesche hanno inoltre smantellato per la seconda volta quest'anno i server ricostruiti del malware SteaIC, risalendo alla rete del provider di bulletproof hosting Virtualine sequestrato dall'FBI a ottobre, con la polizia di Francoforte e la Dutch National High Tech Crime Unit. E il Bundestag ha approvato la più ampia riforma delle leggi sullo spionaggio della Germania del dopoguerra, che concede poteri di hacking e sabotaggio, con 308 voti favorevoli, 190 contrari e 71 astensioni.

Perché è rilevante6,4 milioni di credenziali recuperate significano che molte sono vostre, e lo smantellamento non le ruota al posto vostro.

Vulnerabilità

PostgreSQL corregge un bug di 22 anni, e la patch è solo metà del lavoro

PostgreSQL ha rilasciato correzioni per 52 falle di sicurezza, tra cui CVE-2026-6460 (CVSS 8.8), un bug di type confusion vecchio di 22 anni che consente a un utente autenticato con privilegi di creazione di oggetti di eseguire codice sul server del database — e la protezione completa richiede anche di ricompilare le estensioni in linguaggio C installate sul server, che è la parte che verrà saltata. Nel resto del mucchio: Citrix ha corretto 10 vulnerabilità critiche di NetScaler, Google ha risolto 83 falle in Chrome 157 e Mozilla 99 in Firefox 160, e una falla critica di Red Hat Quay potrebbe esporre immagini di container private. Microsoft, dal canto suo, ha confermato che gli aggiornamenti di novembre causano errori di attivazione di Windows con codice 0x80041008 e possono compromettere la stampa di documenti con formattazione complessa.

Perché è rilevante«Patchato» e «ricompilate le estensioni» sono stati diversi, e solo uno dei due è davvero risolto.

Stranezze

Venerdì 13, la posta è andata giù, le comunicazioni del traffico aereo si sono riavviate e il portale dei benefit ha scelto proprio quella sera per essere non disponibile

La FAA ha disposto un ground stop citando «circostanze straordinarie», senza che i funzionari federali precisassero la causa dell'interruzione delle comunicazioni né se fosse in corso un'indagine su un attacco informatico; le informazioni circolate tra i soccorritori attribuiscono il guasto a un aggiornamento della rete di comunicazione privata che collega il controllo del traffico aereo, gestita da L3Harris, che avrebbe provocato un riavvio e poi un crash. Microsoft, intanto, ha impiegato due giorni per ripristinare Outlook, Exchange Online e Teams dopo il fallimento di controlli di integrità dei server, senza che sia stata resa nota alcuna prova di un attacco informatico. E in mezzo a tutto questo, una persona su infosec.exchange ha provato a finalizzare i propri benefit 2027 alle 23 della sera della scadenza e ha trovato Workday fuori servizio; il servizio non è stato ripristinato prima di mezzanotte.

Perché è rilevanteLa maggior parte dei vostri giorni peggiori è change management, non avversari, e il vostro processo di gestione degli incidenti dovrebbe saperlo distinguere prima del consiglio di amministrazione.