BeyondTrust e notizie cybersecurity, 17 ottobre 2026

In breve: il 17 ottobre 2026 le notizie cybersecurity partono da BeyondTrust Remote Support: la falla CVE-2026-102764 (CVSS 9.3) era sfruttata da fine agosto dal gruppo Armory Castle, e le installazioni self-hosted vanno patchate a mano. Segue PwnEscape, il bug del kernel Linux nato dalla sfida da un milione di dollari di Vercel, poi BlockStrap su Magento (CVSS 10), un root locale in OpenBSD nascosto da 37 anni e la manomissione degli aggiornamenti di AOMEI Backupper. Chiudono NGINX, Drupal, il ritorno di GhostAction su GitHub Actions e falsi pacchetti yay e paru su AUR.

Nove notizie dalle ultime 48 ore circa, con le versioni da installare dove esistono. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie cybersecurity e ieri in Notizie cybersecurity del 16 ottobre.

Vulnerabilità e attacchi

BeyondTrust Remote Support: zero-day sfruttato da agosto, patch urgente

Fonte: BeyondTrust, advisory BT26-05, con l'analisi di Mandiant · 15-16 ottobre 2026

CVE-2026-102764 (CVSS 9.3) è un difetto di validazione dell'origine nella messaggistica interna di Remote Support fino alla versione 26.2.3, che consente operazioni sui file senza autenticazione. Le istanze SaaS sono state corrette l'8 e 9 ottobre; le self-hosted dalla 24.3.1 alla 26.2.3 devono applicare la patch BT26-05-RS, le più vecchie aggiornare. Secondo Mandiant il gruppo Armory Castle (UNC5221) la sfrutta da fine agosto, con una web shell chiamata Sawfly e un tunnel chiamato Bareclaw.

Perché conta: Remote Support ha accesso privilegiato alle macchine dei clienti, quindi chi lo compromette eredita quell'accesso. Oltre alla patch serve cercare indicatori di compromissione dagli ultimi due mesi.

PwnEscape: dalla sfida di Vercel un bug del kernel Linux che legge la memoria dell'host

Fonte: pwn.ai, ripreso da The Hacker News · 16 ottobre 2026

CVE-2026-99999 è un bug nel codice di rete del kernel Linux trovato da pwn.ai durante la sfida da un milione di dollari lanciata da Vercel sulle sue sandbox. Pacchetti inviati da una macchina virtuale guest possono far leggere all'host circa 32 byte di memoria per pacchetto, mandarlo in crash o portare all'esecuzione di codice; la dimostrazione è avvenuta sulle sandbox di produzione di Vercel. La correzione aggiunge un controllo sui metadati di checksum IPv4 ed è nei kernel stabili del 15 ottobre, tra cui 7.2.11 e 6.18.57; non risulta sfruttata.

Perché conta: riguarda chiunque esegua VM o sandbox di terzi su Linux, perché quasi tutti i cloud isolano i clienti sullo stesso strato di rete del kernel. Aggiornare host e immagini hypervisor è la priorità.

BlockStrap: esecuzione di codice senza login in Magento e Adobe Commerce

Fonte: Sansec · 15 ottobre 2026

CVE-2026-103849 (CVSS 10.0) è un'iniezione nel motore di template corretta da Adobe il 13 ottobre con il bollettino APSB26-153: un attaccante non autenticato esegue PHP arbitrario sul server del negozio. Sono colpiti Magento Open Source e Adobe Commerce fino alla 2.4.9 e Adobe Commerce B2B fino alla 1.5.3; un'installazione Composer standard resta vulnerabile finché non si applica la release di ottobre o la patch isolata. È la seconda falla di questo tipo in sei settimane dopo StyleSmuggler, e il fix di settembre va mantenuto.

Perché conta: Sansec ha riprodotto quattro vie d'attacco in 24 ore e contesta la priorità 2 assegnata da Adobe. Chi gestisce un e-commerce Magento deve patchare oggi, non al prossimo ciclo di manutenzione.

Big Fish: un root locale nascosto in OpenBSD da 37 anni

Fonte: Calif · 15 ottobre 2026

I ricercatori di Calif hanno trovato che il contatore di attach della memoria condivisa SysV, un intero con segno a 16 bit ereditato dal BSD originale, può superare 32.767 e diventare negativo forkando abbastanza processi. L'overflow porta a un use-after-free per race condition che, combinato con una scrittura fuori limite separata, dà root locale anche con KARL, SMAP e SMEP attivi e senza una fuga di informazioni. Le correzioni sono le errata 026 e 018.

Perché conta: OpenBSD è spesso scelto proprio per firewall e gateway. Chi lo usa deve applicare le errata con syspatch, soprattutto su macchine con utenti locali non fidati.

AOMEI Backupper: aggiornamenti manomessi per pochi minuti alla volta

Fonte: Google Threat Intelligence Group · 15 ottobre 2026

Tra aprile e luglio 2026 qualcuno ha modificato per finestre di cinque-dieci minuti due file di configurazione sui server di AOMEI, quelli che dicono a Backupper quale aggiornamento scaricare e quale pop-up mostrare. Le copie che controllavano gli aggiornamenti in quei minuti scaricavano il downloader CROSSROAD e la backdoor SHINYROAD. Il programma non verifica crittograficamente quei file e il checksum dell'aggiornamento sta nello stesso file non firmato.

Perché conta: un attacco di pochi minuti sfugge facilmente a chi analizza i server dopo. AOMEI ha messo in sicurezza i server, ma le macchine già infettate vanno controllate con gli indicatori pubblicati da Google.

NGINX 1.30.6 e 1.31.7 correggono cinque vulnerabilità

Fonte: nginx.org, security advisories · 14 ottobre 2026

Le nuove versioni stable e mainline correggono cinque vulnerabilità di gravità media. La più vecchia, CVE-2026-15176, è un buffer overflow quando alias e rewrite sono combinati e riguarda le versioni dalla 0.1.29 alla 1.31.6, cioè dal 2005; le altre toccano la valutazione degli script, l'iniezione nel corpo delle richieste HTTP/3 e un bypass dei certificati client con sessioni TLS falsificate. Nessuna risultava nel catalogo KEV della CISA il 15 ottobre.

Perché conta: NGINX è davanti a moltissime app e API, spesso dentro immagini Docker mai ricostruite. Conviene aggiornare il pacchetto e ricostruire le immagini che lo includono.

Drupal: falla critica nel modulo Field UI

Fonte: Drupal Security Team, SA-CORE-2026-014, ripreso da The Hacker News · 14-15 ottobre 2026

CVE-2026-108097 colpisce il modulo Field UI del core di Drupal ed è classificata critica (19 su 25). Lo sfruttamento passa da moduli contribuiti e in un caso non richiede login. Le versioni corrette sono 11.4.10, 11.3.19 e 10.6.19.

Perché conta: Drupal regge molti siti istituzionali e di grandi organizzazioni. Va aggiornato il core anche se Field UI sembra poco usato, perché la superficie dipende dai moduli installati.

GhostAction torna: oltre 30.000 repository GitHub colpiti

Fonte: GitGuardian · aggiornamento del 13 ottobre 2026

GitGuardian segnala un'impennata della campagna GhostAction tra l'8 e il 12 ottobre: workflow GitHub Actions malevoli aggiunti a oltre 30.000 repository di circa 3.000 utenti e organizzazioni, con circa 1.900 account compromessi. I workflow hanno provato a esfiltrare 3.174 segreti dalle pipeline; la nuova versione del payload cerca segreti anche nella cronologia git.

Perché conta: un token che finisce in un workflow apre la strada a pacchetti e deploy. Controllare i commit recenti in .github/workflows e ruotare i segreti delle CI è il primo passo; ne abbiamo parlato anche in dipendenze inventate e slopsquatting.

Arch Linux: falsi pacchetti yay e paru su AUR

Fonte: mailing list aur-general di Arch Linux · 13-15 ottobre 2026

Il 13 ottobre è stato segnalato un utente AUR che aveva caricato pacchetti con nomi simili agli helper più usati, come "yyay", il cui script di installazione scaricava ed eseguiva uno script remoto con privilegi di root. Il thread che lo segnala parla di centinaia di pacchetti AUR caricati in massa con malware.

Perché conta: gli helper AUR si installano spesso a memoria, ed è lì che un errore di battitura diventa root. Leggere il PKGBUILD prima di installare resta la regola.