GitLab CVSS 10 e notizie cybersecurity, 22 ottobre 2026

In breve: il 22 ottobre 2026 le notizie cybersecurity sono dominate da tre problemi da correggere subito: una falla da 10 su 10 in GitLab che consente di eseguire codice senza login, la versione 1.107.0 di LiteLLM pubblicata con un ladro di credenziali e le patch di PHP2Shell arrivate insieme ai primi tentativi di attacco. Seguono oltre 300 relay Tor dirottati per rubare password SSH, la violazione del servizio VPS giapponese Onamae, Lazarus che usa crittografia post-quantistica, un bug di Signal che può lasciare il microfono acceso e il nuovo WAF di Cloudflare che guarda anche le risposte.

Nove notizie dal 20 al 22 ottobre, ognuna con le versioni corrette quando ci sono. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie cybersecurity e l'uscita precedente nelle notizie cybersecurity del 21 ottobre. Per i passi concreti su PHP c'è la guida PHP2Shell: cosa controllare e come aggiornare, e per i segreti esposti quella su .env e chiavi API.

Vulnerabilità e patch

GitLab CVE-2026-110264: esecuzione di codice senza login, punteggio 10

Fonte: GitLab · 21 ottobre 2026

Un integer overflow nella compilazione di un'espressione regolare costruita ad arte può permettere, in certe condizioni non precisate, a un utente non autenticato di eseguire codice sul server. Le versioni corrette sono 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 e 18.11.13; GitLab.com e i tenant Dedicated più recenti sono già protetti. Secondo The Hacker News il difetto è in Onigmo, il motore regex di Ruby incluso nei pacchetti di GitLab, ed è presente in tutte le release dalla 7.0 del 2014; GitLab ha pubblicato due regole di rilevamento in formato Sigma.

Perché conta: non c'è un workaround e non si sa quali condizioni servano, quindi l'unica difesa è aggiornare. Chi ha installato la patch del 12 ottobre è di nuovo vulnerabile.

PHP2Shell: patch disponibili, tentativi di attacco già in corso

Fonte: SecurityWeek · 21 ottobre 2026

PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 correggono CVE-2026-109618 e CVE-2026-109619, entrambe con CVSS 9,2; per 7.4, 8.0 e 8.1 sono uscite patch minime da applicare ai sorgenti. watchTowr ha visto i primi tentativi sui suoi sensori mentre uscivano le patch, Hadrian parla di sfruttamento su larga scala attraverso il meccanismo di upload progress delle sessioni, e anche Patchstack, Cloudflare e Vega segnalano tentativi. Cloudflare dice di proteggere con il WAF tutti i clienti, anche gratuiti, dalle 3:02 UTC del 21 ottobre.

Perché conta: il WAF riduce l'esposizione ma non sostituisce l'aggiornamento, e le installazioni dietro un CDN senza regole dedicate restano scoperte. Il resoconto della fuga di informazioni è nel post della PHP Foundation.

Signal: un bug in RingRTC poteva lasciare microfono e camera attivi

Fonte: The Register · 21 ottobre 2026

CVE-2026-113380, con CVSS 9,3, riguarda la libreria di chiamate RingRTC di Signal in tutte le versioni precedenti alla 2.72.0: in certe condizioni una chiamata non si chiude davvero e audio e forse video restano attivi dopo aver riattaccato. La correzione fa riconoscere la fine della chiamata indipendentemente dalla coda degli eventi e aggiunge un timeout. La 2.72.0 è uscita a settembre, ma non è chiaro quando sia arrivata in tutte le app.

Perché conta: chi sviluppa app con chiamate WebRTC trova qui un esempio di quanto sia delicata la gestione dello stato di fine chiamata. Per gli utenti basta aggiornare Signal su telefono e desktop.

Supply chain e infrastruttura

LiteLLM 1.107.0: wheel e immagini Docker con un ladro di credenziali

Fonte: GitHub, BerriAI/litellm · 21 ottobre 2026

Tutte e sette le wheel di LiteLLM 1.107.0 su PyPI contenevano un file cook.pth che ruba credenziali e un loader di codice remoto via sitecustomize; il codice malevolo non era nel tag git ma è stato inserito nell'albero di build, a partire da un repository con un nome simile, Berri-AI/litellm. Il responsabile della sicurezza di LiteLLM ha spiegato a The Hacker News che la release è stata avviata e approvata da due account diversi con token OAuth della GitHub CLI rubati. Alle 17:13 UTC del 21 ottobre PyPI aveva rimosso la versione e i tag Docker latest, main-latest e main-stable non puntavano più all'immagine infetta.

Perché conta: il payload raccoglie credenziali cloud, chiavi private, dati dei browser e file di autenticazione degli strumenti AI. Chi ha eseguito la 1.107.0 deve fissare la 1.106.2, cercare i file /tmp/.pc_once_* e /tmp/remote_code_loader.lock e ruotare tutti i segreti.

Oltre 300 relay di uscita Tor dirottati per intercettare connessioni SSH

Fonte: kaba.cx · 20 ottobre 2026, ripreso da The Hacker News il 21 ottobre

Il ricercatore che firma kaba ha scoperto che dal 2 ottobre 333 exit relay di Tor, su circa 3.000, reindirizzavano le connessioni SSH sulla porta 22 verso 12 server che raccoglievano le password; gli attaccanti avevano compromesso quei server ad agosto con il backdoor OpenSSH Ebury 1.8.3. Secondo The Hacker News al picco del 4 ottobre quei relay valevano il 7,46% della capacità di uscita, e dal 5 ottobre il Tor Project li aveva esclusi tutti. Erano esposti solo i login SSH con password fatti via Tor in quei giorni dopo aver accettato una chiave host sconosciuta.

Perché conta: è un promemoria pratico: un avviso di chiave host cambiata non va mai accettato in automatico, e sui server esposti l'accesso SSH dovrebbe essere solo con chiave.

Onamae Desktop Cloud violato: malware su fino a 26.739 server di clienti

Fonte: Onamae.com (GMO Internet) · 20-21 ottobre 2026

Il servizio VPS giapponese ha confermato che un terzo non autorizzato ha installato programmi malevoli in alcuni ambienti dei clienti; secondo BleepingComputer sono coinvolti fino a 26.739 server. Dalle 4:00 ora locale del 21 ottobre l'azienda ha iniziato a spegnere i server di tutti i piani, senza una data di ripartenza. I dati di pagamento non sono coinvolti, ma i clienti devono cambiare le password salvate sui server.

Perché conta: quando è il fornitore a essere compromesso, tutto ciò che sta sul server va considerato esposto. Avere backup e segreti fuori dalla stessa piattaforma fa la differenza nei giorni di fermo.

Cloudflare WAF guarda anche le risposte, gratis per tutti i piani

Fonte: Cloudflare Blog · 21 ottobre 2026

Le nuove full transaction detections valutano ogni richiesta insieme alla risposta dell'origine per capire se un attacco è riuscito, e le response rules possono bloccare la risposta prima che arrivi a chi l'ha chiesta. Sono disponibili, con regole gestite e personalizzate, per tutti i clienti, compresi i piani gratuiti, in fondo alla pagina Security Rules del dashboard.

Perché conta: bloccare una risposta che contiene dati esfiltrati o l'output di un comando limita i danni di una falla non ancora corretta. Sui piani gratuiti le regole gestite copriranno soprattutto le vulnerabilità più note.

Attacchi e ricerca

Lazarus usa ML-KEM, crittografia post-quantistica, per consegnare il malware

Fonte: Securelist (Kaspersky) · 21 ottobre 2026

Nell'operazione FlashHole contro organizzazioni sudcoreane di software, costruzioni e apparati di telecomunicazione, il loader LPEClient riceve dal server di comando quattro chiavi pubbliche ML-KEM-1024 e le usa per cifrare lo scambio con cui scarica i payload. La campagna, attiva almeno da luglio 2025, sfrutta siti di watering hole e email mirate con finti portfolio e curriculum.

Perché conta: la crittografia post-quantistica ormai è nelle librerie standard e la usano anche gli attaccanti. Per chi difende, il contenuto del traffico è sempre meno leggibile e contano di più i segnali di comportamento.

Rapid7: le falle gravi vengono sfruttate in media entro tre giorni

Fonte: Rapid7 · 21 ottobre 2026

Nel terzo trimestre 2026 le vulnerabilità di gravità alta sono state sfruttate in media tre giorni dopo la pubblicazione, il 71% entro la prima settimana. Il ransomware resta la minaccia principale, con The Gentlemen e Qilin in testa per incidenti rivendicati; l'Italia è il terzo paese più colpito con il 5%, a pari merito con il Canada. L'AI compare come componente operativa solo nell'8% degli incidenti analizzati.

Perché conta: tre giorni sono meno del ciclo di patch di molte aziende. Per le falle remote senza autenticazione, come quelle di GitLab e PHP di questa settimana, la finestra utile è di ore.