In breve: il 16 ottobre 2026 le notizie di cybersecurity partono da AdFection: Citizen Lab conferma spyware mercenari consegnati con annunci mirati a zero clic contro dispositivi di Al Jazeera. Microsoft pubblica oltre 1.400 fix, con almeno una zero-day già sfruttata nello Shell di Windows. Il Regno Unito sanziona Cryptomus per riciclaggio legato alla Russia, l'FBI arresta un dirigente di una società di negoziazione ransomware, RPKI copre il 70% delle rotte internet e Cloudflare mostra che dopo l'outage Yandex i bot malevoli si sono spostati, non spenti.
Otto notizie di sicurezza delle ultime 72 ore circa, con versioni, CVE e cosa fare. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie cybersecurity e ieri in Notizie cybersecurity del 15 ottobre.
Vulnerabilità e attacchi
AdFection: spyware Candiru via pubblicità mirate a zero clic
Fonte: Citizen Lab Report 195 · 15 ottobre 2026
È la prima conferma tecnica pubblica di spyware mercenari consegnati tramite targeted ads senza interazione dell'utente. I dispositivi colpiti includono postazioni di Al Jazeera; dietro la pipeline ci sono Discover-Tech, Controlium e collegamenti a Candiru/Integrity Labs e ad altri vendor ADINT.
Perché conta: browser hardening, filtri ads e isolamento dei profili giornalistici non sono più «nice to have». Chi compra o vende inventario pubblicitario deve trattare il percorso ad come superficie di exploit.
Microsoft corregge oltre 1.400 falle, una zero-day nello Shell
Fonte: Krebs on Security · 13 ottobre 2026
Il Patch Tuesday di ottobre supera i 1.400 CVE, dopo il record di quasi 1.000 a settembre. Almeno 78 sono critical. CVE-2026-96951 è una security feature bypass nello Windows Shell già sfruttata (Windows 10/11 e alcuni Server). CVE-2026-108398 (.NET Framework) era pubblica prima del patch. Microsoft collega l'aumento dei CVE anche all'uso di LLM nella ricerca di bug. Il supporto gratuito di Windows 10 è stato esteso fino a ottobre 2027.
Perché conta: priorità a Shell zero-day e alle critical esposte, poi al resto. Gli inventari Windows 10 restano patchabili un altro anno, ma il volume rende obbligatorio l'automazione del deployment.
Regno Unito sanziona Cryptomus per riciclaggio RU
Fonte: Krebs on Security · 14 ottobre 2026
Londra sanziona Cryptomus (anche nota come Certa Payments, Xeltox, poi Heleket) e piattaforme collegate (VexPay, TokenSpot, Tsunami Payments) per pagamenti legati a ransomware, darknet e aggiramento delle restrizioni finanziarie russe. Chainalysis le descrive come hub di pagamento illeciti.
Perché conta: chi accetta crypto in negozi o marketplace deve aggiornare le liste di screening. I rebrand frequenti del processore non bastano a togliere il rischio sanzioni.
FBI arresta un dirigente di una società di negoziazione ransomware
Fonte: Krebs on Security · 9 ottobre 2026
Durante un summit a Philadelphia l'FBI arresta un cittadino canadese legato a indagini su ShinyHunters; fonti lo collegano a società di ransomware negotiation (Cypfer/CyberSteward). Il caso si intreccia con la fuga di dati su agenti FBI attribuita a ShinyHunters.
Perché conta: chiarisce che il perimetro legale dei negotiator è stretto. Le aziende vittima devono scegliere consulenti con mandate e canali chiari verso le autorità.
Infrastruttura e bot
RPKI protegge il 70% delle rotte internet
Fonte: IPinfo Blog · 2026
La quota di prefissi instradati con RPKI valido passa dal 54,0% (settembre 2025) al 70,3% (settembre 2026). Gran parte del salto viene dalla Cina (dal 3,7% all'83,0% degli indirizzi IPv4 in rotte valide). Un prefisso valido tipico è visto da centinaia di collector RIS/RouteViews.
Perché conta: route origin validation riduce hijack accidentali tipo Pakistan/YouTube 2008. Chi annuncia AS propri dovrebbe pubblicare ROA e verificare che i peer facciano drop o invalid.
Outage Yandex: i bot malevoli si spostano, non si spengono
Fonte: Cloudflare Blog · 14 ottobre 2026
Dopo attacchi ai data center Yandex, il crawling di ricerca si ferma ma i bot malevoli migrano su altre reti invece di sparire. Cloudflare pubblica i dati Radar sul comportamento.
Perché conta: un outage di un grande ASN non è un «giorno libero» dalla bot mitigation. Le regole basate su ASN singoli vanno affiancate a segnali comportamentali.
Capability laundering negli MCP server
Fonte: arXiv cs.CR · 2610.22301
Nei deployment locali MCP, approvare un tool lato client spesso lascia al processo permessi filesystem più ampi del contratto dichiarato (nome, descrizione, schema argomenti). Il paper propone detection a scala di questa laundering.
Perché conta: installare MCP su laptop di sviluppo o CI espone secret e repo. Serve sandbox, allowlist di path e review del codice del server, non solo del manifesto.
Cloudflare Gateway programmabile e DLP con Workers
Fonte: Cloudflare Blog · 15 ottobre 2026
Gateway può inoltrare traffico a Worker (azione Forward in beta) e DLP può chiamare funzioni di validazione custom, per esempio per verificare se un secret GitHub rilevato è ancora attivo prima di far scattare la policy.
Perché conta: riduce falsi positivi DLP e abilita risposta in linea (alert, header, interstitial). Il costo è traffico Workers: va misurato sulle regole ad alto volume.
Domande frequenti
01Cosa fare subito dopo il Patch Tuesday di ottobre?
Applicare almeno le fix per CVE-2026-96951 (Windows Shell) e le critical esposte, poi pianificare il resto entro il ciclo usuale di patch.
02AdFection richiede un clic sulla pubblicità?
No: Citizen Lab la descrive come pipeline a zero clic tramite annunci mirati.
03RPKI al 70% significa che siamo al sicuro dai hijack?
No: riduce le origini non autorizzate sui prefissi con ROA e validazione attiva; restano attacchi più sofisticati e prefissi ancora non coperti.