In breve: il 14 ottobre 2026 le notizie di cybersecurity partono dal Patch Tuesday di ottobre, il più grande di sempre per Microsoft con 1.411 vulnerabilità corrette e una zero-day sfruttata che aggira il Mark of the Web. Ivanti corregge due delle tre zero-day concatenate in Connect Secure per ottenere root senza login, e la CISA le aggiunge al catalogo KEV. Docker chiude una falla di Docker Hub aperta per oltre due anni, SAP corregge un bug CVSS 10 nel suo SDK Python e Ghostscript va aggiornato su ogni server che genera anteprime di PDF.
Dieci notizie di sicurezza dell'ultima settimana, scelte per chi sviluppa e gestisce servizi esposti. Per ogni voce trovi chi è coinvolto, cosa è stato corretto e cosa fare adesso. Le altre sezioni sono in Notizie tech, le cinque notizie principali sono nel numero di oggi, l'archivio di questa sezione è in Notizie cybersecurity e l'uscita di ieri è Notizie cybersecurity del 13 ottobre.
Vulnerabilità da patchare
Patch Tuesday di ottobre: 1.411 falle corrette, record per Microsoft
Fonte: BleepingComputer · 13 ottobre 2026
Microsoft corregge 1.411 vulnerabilità, di cui 70 critiche (57 di esecuzione di codice remoto), più altre 348 corrette all'inizio del mese in servizi come Azure App Service ed Exchange Server. La zero-day sfruttata è la CVE-2026-96951, un bypass del Mark of the Web nella Windows Shell. Le due rese pubbliche prima della patch sono la CVE-2026-108398, un bypass di sicurezza nel .NET Framework, e la CVE-2026-92707, un denial of service nella libreria MessagePack-CSharp. Da ieri Windows 11 24H2 Home e Pro non riceve più aggiornamenti.
Perché conta: il Mark of the Web è la protezione che avvisa quando apri un file scaricato, e aggirarla è il primo passo di molte campagne di phishing. Se usi MessagePack-CSharp in un servizio .NET, aggiorna il pacchetto NuGet oltre alla patch di Windows.
Ivanti Connect Secure: tre zero-day concatenate per avere root
Fonte: The Hacker News · 13 ottobre 2026, con l'avviso della CISA
Volexity ha trovato un attaccante, che chiama UTA0576, che dal 3 ottobre sfruttava tre falle concatenate su un'appliance Ivanti Connect Secure già aggiornata alla 22.8R2.4, per eseguire comandi come root senza autenticazione. Bypass dell'autenticazione ed esecuzione di codice sono tracciati insieme come CVE-2026-104935, con CVSS 8.6, e sono corretti; la terza falla, un'escalation di privilegi, sarà corretta "nelle prossime settimane". Secondo la CISA sono vulnerabili le versioni 25.1.1.1, 25.1.2.2 e 22.8R2.4 e precedenti; risultano non affette la 22.8R2.5, la 25.1.3.0 e la 25.1.3.1.
Perché conta: le VPN SSL sono tra i bersagli più colpiti degli ultimi anni. Aggiorna subito e cerca segni di compromissione: un'appliance aggiornata prima del 3 ottobre non era comunque protetta.
SAP: falla CVSS 10 nel Cloud SDK for Python
Fonte: The Hacker News · 13 ottobre 2026
La CVE-2026-89111 permette a chi controlla il sottodominio di un tenant di far inviare le credenziali OAuth2 dell'applicazione a un server esterno. Riguarda le applicazioni multi-tenant su SAP Business Technology Platform che usano l'SDK. SAP indica come correzione la versione 0.45.2 di agosto, ma The Hacker News ha verificato che le versioni dalla 0.53.0 alla 0.55.0 saltano il controllo nel modulo Destination service; il fix completo è nella 0.55.1 del 18 settembre.
Perché conta: se usi l'SDK Python di SAP, la versione da avere è almeno la 0.55.1, non la 0.45.2 indicata nell'advisory. E dopo l'aggiornamento conviene ruotare client ID e secret.
Ghostscript: un PDF caricato basta per l'esecuzione di codice
Fonte: BleepingComputer · 13 ottobre 2026
La CVE-2026-39919 è un heap buffer overflow nel decoder JPEG 2000 di Ghostscript: un PDF costruito ad arte fa scrivere 1.024 byte in un buffer da 256. Wordfence ha dimostrato l'esecuzione di codice senza autenticazione su WordPress, dove la generazione delle anteprime dei PDF passa da Imagick, ImageMagick e Ghostscript. Sono vulnerabili le versioni dalla 9.21 alla 10.07.1; la correzione è nella 10.08.0 dell'8 settembre, con backport per alcune versioni precedenti.
Perché conta: Ghostscript è dietro molte funzioni di anteprima e conversione dei PDF, non solo in WordPress. Se il tuo servizio accetta upload di PDF, controlla la versione installata nel container o sul server, anche tramite il provider di hosting.
Nix e Lix: escalation a root tramite il daemon
Fonte: LWN.net · 13 ottobre 2026
I progetti Lix e Nix hanno pubblicato insieme una serie di vulnerabilità che permettono di ottenere i privilegi di root sui sistemi che eseguono i loro daemon. Secondo l'annuncio sono colpiti tutti i sistemi che fanno build di derivation non fidate. Le release corrette sono già disponibili; al momento della pubblicazione non erano stati richiesti CVE.
Perché conta: chi usa Nix per le build in CI, soprattutto su runner condivisi o con pull request esterne, deve aggiornare subito il daemon su tutte le macchine.
Smart TV LG: root dalla rete locale senza PIN
Fonte: The Hacker News · 13 ottobre 2026, dall'advisory SSD Secure Disclosure del 12 ottobre
Tre vulnerabilità di webOS, concatenate, danno root a chi è sulla stessa rete locale, senza PIN né interazione del proprietario. L'attacco parte dal servizio di pairing sulla porta 3001 usato dall'app LG ThinQ: un manifest firmato con un certificato di test accettato dal firmware fa saltare il PIN e consegna una chiave privilegiata. La catena è stata provata su due modelli con webOS 7.5.7-25; LG ha rilasciato una correzione.
Perché conta: in un ufficio la TV della sala riunioni è un computer sulla stessa rete dei portatili. Aggiorna il firmware e tieni i dispositivi smart su una rete separata.
Attacchi e campagne
Docker Hub: per due anni un utente poteva pubblicare immagini a nome di un altro
Fonte: The Hacker News · 13 ottobre 2026, dall'advisory di Docker del 12 ottobre
La CVE-2026-105445, con CVSS 4.0 di 9.4, stava nella conversione di un account personale in organizzazione: i personal access token passavano all'utente indicato come proprietario senza cambiare il segreto. Un attaccante poteva creare un token, convertire il proprio account e indicare la vittima come owner, ottenendo push, pull e cancellazione di immagini a suo nome sul registry. La falla è rimasta aperta dal 26 agosto 2024 al 30 settembre 2026; Docker l'ha corretta lato server e dice di non aver trovato prove di sfruttamento.
Perché conta: non c'è niente da installare, ma se pubblichi immagini su Docker Hub conviene controllare la storia dei tag e firmare le immagini, così chi le scarica può verificarne l'origine.
Una catena completa contro Chrome scritta in sei giorni con agenti AI
Fonte: XBOW Labs · 13 ottobre 2026
XBOW descrive la catena di exploit che ha ricevuto da Google il primo premio da 250.000 dollari per una "full chain" di Chrome: un bug nel compilatore V8, uno nel decoder WebP animato e un bug di memoria in Crashpad portano dall'esecuzione di JavaScript in una scheda normale all'esecuzione di codice fuori dalla sandbox del renderer. Gli agenti, basati su un modello OpenAI, hanno cercato nel sorgente, verificato ipotesi e costruito i proof of concept. Secondo XBOW una catena simile richiedeva prima a un team di quattro persone dai 6 ai 9 mesi.
Perché conta: il tempo tra un bug e un exploit funzionante si accorcia, quindi anche il tempo per aggiornare. Lasciare il browser aziendale indietro di qualche versione costa più di prima.
Midnight Mimosa: telefoni Android economici con malware di fabbrica
Fonte: The Hacker News · 13 ottobre 2026, da una ricerca di Bitdefender
Bitdefender ha trovato su telefoni Android economici basati su piattaforme MediaTek, di vari marchi, un'app di sistema chiamata com.android.system.lite installata nel firmware. Con privilegi di sistema installa e rimuove almeno 32 app camuffate, si dà accesso ad accessibilità, notifiche e SMS e scarica codice remoto per frodi pubblicitarie e proxy residenziali.
Perché conta: se la tua azienda compra telefoni economici per test o per il personale, il dispositivo può uscire dalla rete come un proxy per altri. Per i dispositivi di lavoro scegli marchi con aggiornamenti verificabili.
Incidenti
TFG London: attacco informatico ai sistemi di Hobbs, Whistles e Phase Eight
Fonte: BleepingComputer · 13 ottobre 2026
TFG London, filiale britannica di The Foschini Group, ha rilevato l'11 ottobre un attacco che ha reso irraggiungibili diversi sistemi IT dei marchi Phase Eight, Hobbs e Whistles. I negozi restano aperti e l'incidente non ha toccato Inside Story, White Stuff e le attività in Australia e Africa. Il gruppo ha attivato i piani di risposta e chiamato esperti esterni.
Perché conta: è l'ennesimo attacco al retail britannico in pochi mesi. Per chi sviluppa e-commerce, un piano di continuità che tenga aperti i negozi fisici quando i sistemi centrali cadono è parte del progetto, non un extra.
Cosa fare adesso
Applica il Patch Tuesday e, se hai Ivanti Connect Secure, aggiorna oggi e cerca segni di compromissione. Controlla la versione di Ghostscript nei servizi che accettano PDF e quella del daemon Nix sui runner di CI. Per proteggere le API c'è rate limiting su Cloudflare Workers, per le dipendenze slopsquatting e controlli prima di npm install.
Notizie dal 12 al 14 ottobre 2026.