In breve: il 15 ottobre 2026 le notizie di cybersecurity partono da due zero-day sfruttate su apparati di rete: Cisco corregge una falla del Secure Email Gateway che dà root con un allegato, Palo Alto Networks una RCE nell'interfaccia di gestione di PAN-OS. curl 8.23.0 chiude un use-after-free negli upload HTTP/2 trasformato in esecuzione di codice, una falla di vhost nel kernel Linux dà root e permette a una VM di scrivere nella memoria dell'host, e un'app opzionale di Nextcloud è stata usata per installare web shell.
Dieci notizie di sicurezza degli ultimi due giorni, scelte per chi sviluppa e gestisce servizi esposti, con le versioni corrette e cosa fare. Le altre sezioni sono in Notizie tech, le cinque notizie principali sono nel numero di oggi, l'archivio di questa sezione è in Notizie cybersecurity e l'uscita di ieri è Notizie cybersecurity del 14 ottobre.
Vulnerabilità da patchare
Cisco Secure Email Gateway: zero-day sfruttata, root con un allegato
Fonte: BleepingComputer · 14 ottobre 2026
La CVE-2026-76519 è un path traversal nella funzione Advanced Malware Protection: un attaccante remoto e non autenticato invia una mail con un allegato costruito ad arte, scrive file arbitrari ed esegue comandi come root. Sono vulnerabili gli apparati con il servizio File Reputation attivo in una mail policy e con Content Scanner Tools precedenti alla 25.3.0.5525. Cisco dice di aver visto lo sfruttamento attivo a ottobre e ha pubblicato gli indicatori di compromissione.
Perché conta: basta ricevere una mail, non serve che qualcuno la apra. Chi gestisce un gateway Cisco deve controllare la versione con il comando contentscannerstatus e aggiornare, poi verificare gli indicatori pubblicati nell'advisory.
PAN-OS: RCE come root dall'interfaccia di gestione, già sfruttata
Fonte: advisory di Palo Alto Networks, riportato da BleepingComputer · 14 ottobre 2026
La CVE-2026-0322, con punteggio 8.6, permette a un attaccante autenticato con accesso di rete all'interfaccia di gestione di eseguire codice come root su firewall PA-Series e VM-Series e su Panorama. Palo Alto ha visto uno sfruttamento "molto limitato". Le correzioni ci sono per PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2, con la 11.2.16 attesa per il 15 ottobre; Cloud NGFW e Prisma Access non sono colpiti e non esistono workaround.
Perché conta: servono credenziali, ma l'interfaccia di gestione non dovrebbe mai essere raggiungibile da Internet. Limitarla a IP interni fidati riduce subito il rischio mentre si pianifica l'aggiornamento.
curl 8.23.0: use-after-free negli upload HTTP/2
Fonte: advisory di curl, riportato da The Hacker News · 14 ottobre 2026
La CVE-2026-92392 colpisce curl e libcurl dalla 8.12.0 alla 8.22.0: un server malevolo che riceve un upload di circa 135 KB via HTTP/2 può corrompere la memoria del client, e il ricercatore ha dimostrato l'esecuzione di codice sulla macchina che carica il file. Il certificato del server deve superare i controlli del client. curl la classifica High, la prima di questo livello dall'ottobre 2023, e ha anticipato di due settimane il rilascio per correggerla.
Perché conta: libcurl è dentro moltissimi programmi, linguaggi e immagini di container, non solo nel comando curl. Va aggiornato il pacchetto di sistema e vanno ricostruite le immagini che includono una libcurl compresa nell'intervallo.
Vghost: una falla di vhost nel kernel Linux dà root e scappa dalla VM
Fonte: The Hacker News · 14 ottobre 2026
La CVE-2026-74580, trovata dal Tencent Zhuque Lab, sta nella cache delle mappature di memoria di vhost, il sottosistema che accelera l'I/O di VM e container. Un utente locale che apre /dev/vhost-net o /dev/vhost-vsock ottiene lettura e scrittura arbitraria della memoria del kernel e diventa root, in modo deterministico. In una configurazione con IOMMU virtuale e vhost in modalità device-IOTLB, una VM non fidata può scrivere nella memoria del processo QEMU dell'host. La correzione è del 3 agosto, il write-up completo del 12 ottobre.
Perché conta: il bug è rimasto nel codice per circa nove anni. Chi gestisce host di virtualizzazione deve verificare che il kernel includa la correzione e limitare l'accesso ai device vhost agli utenti che ne hanno davvero bisogno.
Nextcloud: web shell tramite l'app Collabora Built-in CODE
Fonte: The Hacker News · 14 ottobre 2026
Attaccanti hanno usato una falla dell'app opzionale Collabora Online - Built-in CODE Server (richdocumentscode) per installare web shell su server Nextcloud; il primo attacco segnalato è del 10 settembre. La falla permette di eseguire un comando senza autenticazione quando il server di documenti locale non è attivo, per esempio durante un riavvio o un aggiornamento. Collabora l'ha corretta nella 26.4.303 l'11 settembre e il 14 ottobre ha pubblicato l'advisory CVE-2026-110447: disattivare l'app non basta, va aggiornata o rimossa.
Perché conta: l'app è pensata per test e piccoli team, ma è finita su server esposti. Chi usa solo Nextcloud Office con un server Collabora separato non è colpito; gli altri devono aggiornare e cercare file PHP sconosciuti nella cartella web.
Una scrittura di quattro byte basta per entrare nell'enclave di SmartScreen
Fonte: The Hacker News · 14 ottobre 2026
Doyensec ha eseguito codice proprio dentro l'enclave VBS di SFAPE.dll, il componente di Enhanced Phishing Protection di Microsoft Defender SmartScreen che conserva l'hash della password di Windows. Le enclave VBS dovrebbero restare protette anche se il kernel normale è compromesso. La falla, CVE-2026-83498 con CVSS 7.8, è stata corretta con l'aggiornamento dell'8 settembre e non risulta sfruttata; l'attacco richiede un programma già in esecuzione sulla macchina.
Perché conta: è un promemoria che anche le aree isolate dall'hypervisor contengono codice con bug. Il rimedio è già disponibile: basta che le macchine Windows abbiano gli aggiornamenti di settembre.
Attacchi e campagne
Ledger ferma le vendite in Asia: wallet con un impianto hardware
Fonte: BleepingComputer · 14 ottobre 2026
Alcuni wallet venduti dal rivenditore CryptoBilis contenevano un microcontrollore aggiuntivo che legge le 24 parole di recupero e le invia via LTE con una eSIM. L'impianto non modifica il Secure Element né il sistema di Ledger, quindi i controlli di integrità del dispositivo non lo vedono. Ledger ha chiesto ai distributori di Indonesia, Singapore, Thailandia, Filippine, Vietnam, Malesia e Hong Kong di sospendere le vendite; MediaMarkt ha ritirato i prodotti in Europa dopo alcune segnalazioni.
Perché conta: è un attacco alla supply chain hardware che nessun controllo software poteva rilevare. Per i dispositivi di sicurezza conta da dove si comprano: meglio il canale diretto del produttore.
Microsoft smantella tre kit di phishing da oltre un miliardo di messaggi
Fonte: The Hacker News · 14 ottobre 2026
Con Health-ISAC, il Japan Cybercrime Control Center e aziende come Cloudflare, Oracle e Proofpoint, Microsoft ha colpito con un'operazione autorizzata da un tribunale i kit CoGUI, Haozi e Iron Man System. Da gennaio 2026 hanno inviato oltre un miliardo di email e SMS di phishing a più di 75.000 organizzazioni. Il mercato YAM Store vendeva anche accessi ad ambienti cloud Microsoft e Google compromessi o ottenuti con frodi.
Perché conta: questi kit usano infrastruttura cloud legittima, quindi i filtri basati sulla reputazione del mittente non bastano. SPF, DKIM e DMARC configurati bene sul proprio dominio restano la difesa di base contro l'impersonificazione.
Hirudo: il trojan Android che sostituisce le app delle banche
Fonte: The Hacker News · 14 ottobre 2026
ThreatFabric ha trovato un trojan che sostituisce le app di otto banche indonesiane con versioni modificate, costruite per aggirare dall'interno i controlli di sicurezza delle app stesse. Arriva tramite app di shopping e video che funzionano davvero e poi propongono un finto aggiornamento. Ruba credenziali e SMS, cattura schermo e fotocamera e permette il controllo remoto; le credenziali prese di mira riguardano anche Cina, India, Messico, Marocco e Thailandia.
Perché conta: chi sviluppa app finanziarie non può affidarsi solo ai controlli dentro l'app, perché qui è l'app stessa a essere stata modificata. Servono verifiche lato server, come l'attestazione dell'integrità del dispositivo.
Stati Uniti: 14 incriminati e oltre 40 laptop farm chiuse
Fonte: The Hacker News · 14 ottobre 2026
Il Dipartimento di Giustizia ha incriminato 14 persone e sequestrato circa 187 computer nell'indagine sui finti lavoratori IT nordcoreani, che ha colpito oltre 70 aziende statunitensi tra il 2019 e luglio 2025. Tra il 21 e il 25 settembre sono state smantellate più di 40 laptop farm in Texas, cioè case dove computer aziendali venivano tenuti accesi per farli usare da remoto. Una società di comodo offriva sviluppo software come copertura.
Perché conta: lo schema sfrutta l'assunzione di sviluppatori da remoto. Verificare l'identità con videochiamate e controllare dove arrivano davvero i portatili aziendali sono controlli semplici che lo bloccano.
Cosa fare adesso
Aggiorna curl e libcurl alla 8.23.0 su server, CI e immagini Docker. Se gestisci Cisco SEG o firewall Palo Alto, applica le patch e chiudi l'interfaccia di gestione a Internet. Se hai Nextcloud con l'app Built-in CODE, aggiornala o rimuovila. Per il controllo delle dipendenze c'è slopsquatting e controlli prima di npm install.
Notizie dal 13 al 15 ottobre 2026.