In breve: il 13 ottobre 2026 le notizie di cybersecurity partono da Atlassian, che corregge una falla CVSS 9.3 in otto prodotti Data Center self-hosted, e da AhsayCBS, piattaforma di backup per MSP con due vulnerabilità sfruttate anche nell'ultima versione. CrowdStrike collega a un singolo attaccante, che usava la suite ARTEX AI e agenti Claude, gli attacchi alle banche sudcoreane. Completano il quadro i finti installer di Claude nelle ricerche Google, l'advisory CISA sugli attori cinesi e l'attacco ad Ahold Delhaize.
Nove notizie di sicurezza dell'ultima settimana, scelte per chi sviluppa e gestisce servizi esposti. Per ogni voce trovi chi è coinvolto, cosa è stato corretto e cosa fare adesso. Le altre sezioni sono in Notizie tech, le cinque notizie principali sono nel numero di oggi e l'archivio di questa sezione è in Notizie cybersecurity.
Vulnerabilità da patchare
Atlassian: path traversal pre-autenticazione in otto prodotti Data Center
Fonte: The Hacker News · 6 ottobre 2026
La CVE-2026-21589 (CVSS 9.3) permette a chi non ha credenziali di leggere file noti nella web root. Le versioni corrette indicate da Atlassian al 6 ottobre sono: Bitbucket 9.4.26, 10.2.8 e 10.5.1; Confluence 9.2.26 e 10.2.19; Jira Software 9.12.40, 10.3.26 e 11.3.12; Jira Service Management 5.12.40, 10.3.26 e 11.3.12; Bamboo 10.2.24 e 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 e 7.2.4; Crucible e Fisheye 4.9.15. Il cloud è già corretto. The Hacker News segnala che per Crowd e Bamboo alcuni numeri di versione non coincidono tra ticket e record CVE.
Perché conta: le istanze raggiungibili da Internet, anche con login, vanno isolate finché non sono aggiornate o protette da una regola di blocco temporanea. Visto che i numeri di versione non coincidono ovunque, conviene controllare il proprio prodotto sull'advisory ufficiale.
AhsayCBS: due falle sfruttate per installare webshell e miner, anche nella 10.3.4
Fonte: BleepingComputer · 9 ottobre 2026
Gli attaccanti concatenano la CVE-2026-105133, un bypass dell'autenticazione con exploit pubblico, e la CVE-2026-105134, una command injection nel sistema operativo, per installare webshell e miner di criptovalute. Huntress ha visto gli attacchi il 7 ottobre contro almeno cinque organizzazioni. Le falle risultavano corrette nella 10.3.2, ma Huntress ha verificato che colpiscono anche la 10.3.4, l'ultima disponibile.
Perché conta: AhsayCBS lo usano soprattutto MSP e system integrator, quindi un solo server compromesso può toccare i backup di molti clienti. Finché non c'è una patch vera, l'unica difesa è non esporre la console di gestione su Internet.
SonicWall SMA 1000: la falla CVSS 10 è già sotto attacco dopo la patch
Fonte: The Hacker News · 12 ottobre 2026
La CVE-2026-102255 è una SSRF pre-autenticazione negli appliance di accesso remoto SMA 1000. SonicWall l'ha corretta il 6 ottobre con le versioni 12.4.3-03670 e 12.5.0-03082. I primi tentativi di sfruttamento sono stati visti l'8 ottobre: 135 finora, da due indirizzi IP.
Perché conta: tra la patch e i primi exploit sono passati due giorni. Per gli appliance VPN esposti è questa la finestra reale per aggiornare.
Una RCE da 90.000 dollari nei siti per sviluppatori di Google
Fonte: writeup di Simon Koeck · 12 ottobre 2026 (in prima pagina su Hacker News)
Il cookie di sessione Flask di developers.google.com conteneva in chiaro il client secret OAuth, che era anche la chiave usata per firmare il cookie stesso. Con quella chiave il ricercatore ha forgiato una sessione con un oggetto pickle a sua scelta, che il server ha eseguito. La falla toccava anche firebase.google.com e developer.android.com; Google l'ha corretta il 7 ottobre.
Perché conta: una firma non è cifratura, e pickle non deve mai leggere dati che passano dal client. Se usi Flask, controlla che SECRET_KEY sia unica e non coincida con nessun'altra credenziale. È uno dei controlli della checklist per portare in produzione un sito vibe-coded.
Attacchi e campagne
Banche sudcoreane attaccate con la suite ARTEX AI e agenti Claude
Fonte: BleepingComputer · 10 ottobre 2026
Un attaccante di lingua cinese ha colpito Shinhan Bank, KB Kookmin Bank e Hana Bank, esponendo dati personali e di carte di credito e causando in alcuni casi disservizi. CrowdStrike ha confermato l'uso di ARTEX AI, una suite di penetration testing con agenti fino a poco fa open source, che usava DeepSeek v4.1-flash come modello principale, più sessioni Claude Code con GLM-5.3 e Grok 4.6. Nelle cartelle aperte dell'attaccante c'erano cronologie di Claude Code e file di memoria.
Perché conta: gli agenti offensivi abbassano il costo di un attacco a più bersagli, ma lasciano anche tracce nuove: log di sessione, configurazioni, file di memoria. Chi difende deve aspettarsi più tentativi in parallelo e più veloci, e non solo da gruppi grandi.
Finti installer di Claude nelle ricerche Google, con redirect da Bing
Fonte: BleepingComputer · 9 ottobre 2026
Push Security ha scoperto una campagna, chiamata "Adception", che usa redirect legittimi dei risultati di Bing come URL degli annunci Google. Chi cercava "claude mac" vedeva un annuncio con il dominio bing.com, poi veniva portato attraverso un sito compromesso a una finta pagina di download di Claude, che lancia un attacco ClickFix. Più livelli di cloaking nascondono la pagina agli scanner.
Perché conta: gli sviluppatori installano tool AI di continuo, ed è proprio quello che la campagna sfrutta. Scarica i client solo dal sito ufficiale, mai da un annuncio, e non incollare nel terminale comandi suggeriti da una pagina web.
CISA AA26-281A: attori cinesi supportati da Integrity Technology Group
Fonte: CISA · 8 ottobre 2026
L'advisory descrive attori legati al governo cinese che uniscono scansioni automatiche, grandi botnet e sfruttamento manuale. Usano XSS per rubare credenziali, password spraying contro Microsoft Exchange, persistenza tramite software VPN ed esfiltrazione di email e credenziali con script. Tra le CVE elencate ci sono vulnerabilità vecchie, dal 2014 al 2023, come CVE-2019-11510 e CVE-2021-22205.
Perché conta: quasi tutte le CVE citate hanno anni di patch alle spalle. Le azioni chiave sono quelle di base: spegnere servizi e porte inutili, sanificare l'input delle app web, MFA ovunque e patch puntuali.
Incidenti
Ahold Delhaize spegne parte dei sistemi dopo un attacco informatico
Fonte: BleepingComputer · 12 ottobre 2026
Il gruppo, che gestisce oltre 9.400 negozi tra Europa, Stati Uniti e Indonesia, ha confermato un "problema di sicurezza" nella rete e ha messo offline alcuni sistemi. I negozi restano aperti, ma siti, app e servizio clienti di Albert Heijn, Etos, Gall & Gall e Delhaize hanno avuto disservizi.
Perché conta: è il secondo incidente grave per il gruppo dopo quello del 2024. Chi sviluppa integrazioni con grandi retailer deve prevedere che le loro API spariscano per giorni, con code, retry e messaggi chiari agli utenti.
Nippon Columbia: malware da un fornitore espone 8,7 milioni di record
Fonte: BleepingComputer · 11 ottobre 2026
Daiichi Kosho, il più grande produttore di karaoke del Giappone, affida i dati dei clienti a Nippon Columbia. Il 5 ottobre il fornitore ha trovato un malware sul computer di un dipendente e lo ha isolato il giorno dopo. Sono esposti i record di 8.631.000 clienti e 93.000 dipendenti, con nomi e altri dati personali; per ora non è confermato un furto.
Perché conta: quando affidi dati a un fornitore, il rischio resta tuo. Nei contratti conviene prevedere obblighi di notifica e controlli minimi di sicurezza, anche per i fornitori piccoli.
Cosa fare adesso
Se hai Jira, Confluence o Bitbucket self-hosted, verifica la versione oggi. Se usi AhsayCBS o SonicWall SMA 1000, controlla che la console non sia esposta. Per le dipendenze e gli script di installazione c'è slopsquatting e controlli prima di npm install, per proteggere le API rate limiting su Cloudflare Workers.
Notizie dal 6 al 12 ottobre 2026.