In breve: il 21 ottobre 2026 le notizie cybersecurity partono da eMudhra: otto certificati intermedi, sei TLS e due di firma del codice, avevano chiavi private ricavabili in meno di un secondo, e browser, Go e Cloudflare li hanno bloccati. PHP rilascia oggi due patch per falle critiche trapelate prima dell'embargo, attaccanti hanno pubblicato versioni con malware della CLI di OVHcloud e di Rank Math PRO, e chiavi rubate a UpdraftCentral servono a piazzare backdoor su siti WordPress. Completano il quadro PAN-OS sfruttato dai gruppi ransomware, l'exploit pubblico per FortiSIEM, il catalogo KEV della CISA e l'advisory su SafePay.
Undici notizie dal 18 al 21 ottobre, primo numero dopo qualche giorno di pausa. Tre riguardano la catena di distribuzione del software: release modificate dopo la pubblicazione, aggiornamenti ufficiali con malware dentro e chiavi di gestione rubate al fornitore. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie cybersecurity e l'ultima uscita nelle notizie cybersecurity del 17 ottobre. Per chi pubblica siti costruiti con l'AI resta utile la checklist per portare in produzione un sito vibe-coded.
Vulnerabilità e patch
eMudhra: le chiavi di otto CA intermedie si ricavano in meno di un secondo
Fonte: Scott Helme · 20 ottobre 2026; Cloudflare Blog · 20 ottobre 2026
Gli otto intermedi, creati ad aprile 2025 e cross-firmati dalla root AAA Certificate Services di Sectigo a maggio 2025, sono sei CA TLS (DV, OV ed EV, due generazioni ciascuna) e due CA di firma del codice. Le loro chiavi P-384 avevano un solo byte significativo, quindi bastano al massimo 255 tentativi per ricavarle: una era il numero 4. Segnalati il 17 ottobre, sono stati bloccati da Chrome via CRLSet e da Firefox via OneCRL; Mozilla ha rimosso la root di eMudhra da NSS e Chrome la toglierà nel Root Store v43. eMudhra ha revocato i certificati e sospeso le emissioni sotto la root G3, dicendo di non avere prove di abusi.
Perché conta: chiunque poteva firmare certificati TLS validi per qualsiasi dominio, o firmare codice. I browser sono protetti, ma server, container e app con trust store propri vanno aggiornati: Cloudflare chiede di aggiornare WARP, 1.1.1.1 e cloudflared, e Go e uv hanno già rilasciato correzioni.
PHP2Shell: due RCE critiche in PHP, patch oggi alle 16:00
Fonte: PHP.net · 20 ottobre 2026; The Hacker News · 21 ottobre 2026
PHP pubblica oggi alle 14:00 UTC, le 16:00 in Italia, correzioni per due vulnerabilità valutate 9,2 su CVSS 4.0, solo per i rami supportati 8.2-8.5. Il progetto ha anticipato di un giorno la data concordata dopo che il 20 ottobre identificativi e data erano trapelati online; watchTowr, che le chiama php2shell, conferma che si tratta di esecuzione di codice da remoto e dice di averne riprodotta una. L'affermazione che siano colpite tutte le versioni da PHP 5 in poi non è confermata da un advisory ufficiale.
Perché conta: dopo la patch arriveranno analisi ed exploit in poche ore. Conviene preparare oggi l'aggiornamento di server e immagini e censire le installazioni ancora su rami non supportati.
FortiSIEM: exploit pubblico per una RCE senza autenticazione
Fonte: FortiGuard · ottobre 2026; Horizon3.ai via The Hacker News · 20 ottobre 2026
CVE-2026-106173 (CVSS 9.4) è un path traversal nel servizio gRPC di FortiSIEM sulla porta TCP 27918: con metadati che combinano sequenze ../ e byte NUL un attaccante non autenticato può scrivere file fuori dalla directory prevista e arrivare all'esecuzione di codice. Fortinet ha corretto la 7.5.0 con la 7.5.1, la 7.6 non è colpita. Horizon3.ai ha pubblicato analisi tecnica e proof of concept.
Perché conta: un SIEM vede i log di tutta l'azienda ed è un bersaglio di grande valore. Con un PoC pubblico l'aggiornamento non può aspettare la prossima finestra di manutenzione.
CISA aggiunge al catalogo KEV Plex2Shell, Siemens Software Center e SiteGuard
Fonte: CISA · 20 ottobre 2026
La CISA ha inserito tra le vulnerabilità sfruttate le quattro falle di Plex Media Server note come Plex2Shell, concatenabili per eseguire codice senza autenticazione e corrette nella 1.43.3.10861 del 3 agosto, un DLL sideloading in Siemens Software Center (CVE-2026-110936) usato in campagne ClickFix e un command injection in SiteGuard Server Edition (CVE-2026-106931). Le agenzie federali devono correggere le più urgenti entro il 23 ottobre.
Perché conta: Plex gira spesso su NAS e home server esposti anche in piccoli uffici, e viene già usato per installare miner e proxy. Le scadenze CISA sono un buon promemoria anche fuori dagli Stati Uniti.
Supply chain
CLI di OVHcloud: cinque release modificate per rubare segreti
Fonte: OpenSourceMalware · 20 ottobre 2026; BleepingComputer · 20 ottobre 2026
Un attaccante ha usato l'account GitHub compromesso di uno sviluppatore per modificare le release dalla 0.11.0 alla 0.15.0 della CLI di OVHcloud, inserendo un malware che cerca segreti sul disco. Secondo il CEO Octave Klaba la versione compromessa è comparsa il 19 ottobre alle 14:47 ed è stata bloccata alle 16:21 dopo la segnalazione di un cliente; la 0.10.0 e la 0.16.0 sono pulite. L'immutabilità delle release su GitHub era disattivata, e ora è stata attivata.
Perché conta: le pipeline CI erano intatte, ma la release pubblicata no. Chi ha scaricato la CLI quel giorno deve ripulire il sistema e revocare tutti i segreti; chi pubblica binari su GitHub dovrebbe attivare le release immutabili.
Chiavi UpdraftCentral rubate usate per mettere backdoor in siti WordPress
Fonte: TeamUpdraft · 19 ottobre 2026; Patchstack via BleepingComputer · 20 ottobre 2026
Nel fine settimana del 17-18 ottobre un attaccante è entrato nel sito di TeamUpdraft e probabilmente nel database clienti, comprese le chiavi di connessione di UpdraftCentral, UpdraftVault e UpdraftClone. Secondo Patchstack dal 18 ottobre alle 15:32 UTC le chiavi vengono usate per eseguire codice e creare amministratori sui siti collegati, con almeno 99 plugin backdoor dal nome innocuo come "Site Health Cache". Circa il 10% dei siti con UpdraftPlus ha una chiave UpdraftCentral o Migrator, circa 400.000 siti.
Perché conta: chi gestisce siti di clienti con UpdraftCentral ospitato deve controllare utenti admin e plugin sconosciuti, ruotare le credenziali dello storage e riautorizzare le connessioni. Le istanze self-hosted non sono coinvolte.
Rank Math PRO: un aggiornamento ufficiale conteneva una backdoor che si ripristina
Fonte: Rank Math · 16 ottobre 2026; Wordfence · 17 ottobre 2026
Le copie di Rank Math PRO scaricate o aggiornate tra le 20:02 UTC del 15 ottobre e le 07:12 UTC del 16 ottobre contenevano malware che ricrea la propria backdoor a ogni visita. Rank Math ha rilasciato la 3.0.124 pulita, ma Wordfence avverte che installarla non rimuove file, account amministratore o task pianificati già creati dal malware. Il numero di versione non basta a capire se una copia è infetta.
Perché conta: ogni sito che ha attivato una copia di quella finestra va trattato come compromesso, con verifica di file, utenti e cron, non solo con l'aggiornamento del plugin.
OpenCode Console: possibili chiavi OpenAI, Anthropic e Google esposte
Fonte: The Hacker News · 19 ottobre 2026
La notte del 16 ottobre un intruso ha raggiunto un sistema legacy di OpenCode e potrebbe aver esposto le chiavi dei provider AI salvate in OpenCode Console, il servizio ospitato che le usa per conto dei team. Il gruppo coinvolto è l'1,4% degli utenti di Console con un provider esterno collegato, avvisato via email il 17 ottobre; le chiavi aggiunte nella CLI e nell'app desktop restano locali.
Perché conta: ogni servizio che custodisce chiavi API di terzi diventa un bersaglio. Chi ha ricevuto l'email deve revocare e sostituire le chiavi presso ciascun provider e controllare i consumi.
Attacchi e advisory
PAN-OS: Qilin e INC sfruttano GlobalProtect per aggirare l'MFA
Fonte: Unit 42 · 19 ottobre 2026
CVE-2026-0257 colpisce portali e gateway GlobalProtect di PAN-OS e permette di aprire una sessione VPN non autorizzata aggirando l'autenticazione a più fattori. Palo Alto l'aveva corretta il 13 maggio classificandola di gravità media; Unit 42 ora segnala attacchi da inizio giugno da parte di gruppi ransomware come Qilin e INC, con movimento laterale via RDP e SMB, furto di credenziali e cifratura finale.
Perché conta: chi non ha applicato la patch di maggio va considerato potenzialmente compromesso. Oltre all'aggiornamento servono controlli sulle sessioni VPN degli ultimi mesi.
CISA e FBI: SafePay ha colpito oltre 600 organizzazioni di infrastrutture critiche
Fonte: CISA, advisory AA26-293A · 20 ottobre 2026
L'advisory congiunto con FBI, Secret Service, polizia della Renania-Palatinato e agenzie britanniche attribuisce al gruppo SafePay almeno 600 vittime nelle infrastrutture critiche da agosto 2024, tra Nord e Sud America, Europa e Australia. L'accesso iniziale passa da credenziali esposte, attacchi brute force e VPN vulnerabili, spesso da indirizzi del provider Mullvad. Le raccomandazioni: MFA, privilegi amministrativi ristretti e patch rapide sui dispositivi di bordo.
Perché conta: le tecniche descritte sono le stesse che colpiscono le PMI. Vale la pena confrontare con l'advisory i propri accessi VPN e le credenziali esposte.
Agenti AI autonomi usati per attaccare oltre 1.200 siti
Fonte: NorForge · 19 ottobre 2026
Il ricercatore Snorre Fagerland ha trovato su internet circa due dozzine di pannelli esposti di Cairn, un tool open source di agenti per penetration test, usati senza autorizzazione. Leggendo il lavoro degli attaccanti in tempo reale ha visto agenti provare più di 1.200 siti e raggiungere quelli di oltre 100 aziende, secondo Reuters tra cui Deere, SharkNinja e Cummins. Il gruppo più attivo, di lingua cinese, collega 14 pannelli a oltre 1.100 progetti d'attacco contro negozi online e sistemi di pagamento.
Perché conta: gli agenti abbassano il costo di attacchi su larga scala contro e-commerce poco curati. Aggiornamenti, WAF e monitoraggio degli upload restano le difese più efficaci.
Domande frequenti
01Quali sono le notizie cybersecurity principali del 21 ottobre 2026?
La compromissione delle CA intermedie di eMudhra, le patch d'emergenza di PHP, le release malevole della CLI di OVHcloud e di Rank Math PRO, le backdoor via UpdraftCentral e lo sfruttamento di PAN-OS da parte dei gruppi ransomware.
02Come capisco se un mio server si fida ancora dei certificati eMudhra?
Controlla la data dei bundle di CA del sistema e delle immagini container, aggiorna i runtime come Go e uv e verifica che le applicazioni con trust store propri abbiano ricevuto aggiornamenti dopo il 20 ottobre.
03Aggiornare Rank Math PRO alla 3.0.124 basta?
No: secondo Wordfence la nuova versione non rimuove file, utenti amministratori o task pianificati già creati dal malware, che vanno cercati e rimossi a mano.