In breve: il 23 ottobre 2026 le notizie cybersecurity partono da PHP2Shell: AWS ha visto il primo tentativo di sfruttamento il 17 ottobre, quattro giorni prima della divulgazione, e un exploit pubblico aggira ASLR. Railway chiede a tutti i clienti di ruotare le variabili d'ambiente, LiteLLM spiega come un token della GitHub CLI è finito nei log, Arista corregge uno zero-day sfruttato in VeloCloud Orchestrator e ksmbd ha due falle da 9.0 ancora senza patch nel kernel principale.
Dieci notizie dal 21 e 22 ottobre, con link alle fonti originali. PHP2Shell, Railway e LiteLLM sono tra le cinque notizie del numero di oggi. Le altre sezioni sono in Notizie tech, l'archivio in Notizie cybersecurity e l'uscita precedente nelle notizie cybersecurity del 22 ottobre. Per i controlli da fare sui server resta la guida su PHP2Shell e come aggiornare PHP, e per le dipendenze quella sullo slopsquatting e i pacchetti inventati dall'AI.
Vulnerabilità e patch
PHP2Shell: AWS vede attacchi dal 17 ottobre, prima della divulgazione
Fonte: AWS Security Blog · 22 ottobre 2026
Amazon Threat Intelligence ha trovato nei suoi honeypot MadPot un tentativo di sfruttamento di CVE-2026-109618 e CVE-2026-109619 del 17 ottobre, da un indirizzo di una rete di anonimizzazione commerciale, mentre le falle erano ancora sotto embargo. Il 21 ottobre i primi exploit dimostrativi sono comparsi verso le 02:00 UTC, dodici ore prima della fine dell'embargo. Secondo The Register un exploit di VulnCheck aggira ASLR su x86-64, e nel Regno Unito 32 servizi pubblici sono offline e quattro funzionano in parte.
Perché conta: chi cerca compromissioni deve partire dal 17 ottobre, come consiglia AWS. Le indicazioni del NCSC britannico sono il riferimento per chi gestisce servizi pubblici.
Arista corregge uno zero-day sfruttato in VeloCloud Orchestrator
Fonte: BleepingComputer · 22 ottobre 2026
CVE-2026-114625, con punteggio CVSS 9.9, è una SQL injection nelle installazioni on-prem di VeloCloud Orchestrator, il portale che gestisce le reti SD-WAN VeloCloud. Un utente con il ruolo più basso, Enterprise Read Only, può arrivare a funzioni da operatore o superutente e compromettere l'host. Le versioni corrette sono 5.2.3.18, 6.1.3.10 e 6.4.2.12; gli orchestrator ospitati da Arista sono già aggiornati.
Perché conta: chi controlla l'orchestrator controlla la rete di tutte le sedi collegate. Basta un account con permessi minimi, quindi anche un fornitore o un ex dipendente con accesso in lettura.
ksmbd: due falle da 9.0 nel server SMB del kernel Linux, senza patch nel ramo principale
Fonte: The Hacker News · 22 ottobre 2026
Due falle di esecuzione di codice remoto in ksmbd, il server SMB integrato nel kernel, sono state segnalate su mailing list pubbliche prima delle correzioni. ZDI-CAN-33774 si attiva prima di qualsiasi autenticazione sulla porta 445; ZDI-CAN-33549 è un integer underflow nel trasporto SMB Direct e richiede una scheda di rete RDMA. La Zero Day Initiative le valuta 9.0.
Perché conta: ksmbd è usato su NAS e server leggeri al posto di Samba. Finché non arrivano le patch, conviene disattivarlo o bloccare la porta 445 verso l'esterno.
OpenCode: un server MCP malevolo poteva eseguire codice durante il login
Fonte: Pillar Security · 19 ottobre 2026
Su Windows e WSL un server MCP malevolo o dirottato poteva far eseguire comandi PowerShell sulla macchina dello sviluppatore durante l'accesso OAuth. Sono interessate le versioni dalla 1.0.137 alla 1.18.32; Anomaly, l'azienda dietro OpenCode, ha corretto il problema nella 1.18.33 il 28 settembre. Secondo The Hacker News non è stato chiesto un CVE né pubblicato un advisory.
Perché conta: senza CVE gli scanner di vulnerabilità non segnalano le versioni vecchie. Chi usa OpenCode su Windows deve controllare a mano la versione installata.
QPACK: richieste minuscole che fanno esplodere la memoria dei server HTTP/3
Fonte: FoxIO · 22 ottobre 2026
FoxIO ha trovato attacchi di amplificazione nella compressione delle intestazioni di HTTP/3: sette implementazioni su dieci testate erano vulnerabili, con consumo di memoria fino a 4.000 volte la dimensione della richiesta. L'effetto è un denial of service, non l'esecuzione di codice. Sono già corretti quic-go, quiche di Cloudflare, lsquic e Wireshark; Bun, h3 per Rust e aioquic non lo erano al momento della pubblicazione.
Perché conta: quic-go è alla base di Caddy, Traefik e cloudflared, quindi l'aggiornamento riguarda anche chi non sa di usarlo. Chi espone HTTP/3 con le librerie non corrette può disattivarlo finché non arrivano le patch.
Oracle e Cisco: oltre 1.200 CVE nelle patch di ottobre
Fonte: SecurityWeek · 21-22 ottobre 2026
Il Critical Patch Update di ottobre di Oracle porta 1.295 correzioni per 1.209 CVE unici, di cui 95 critici secondo Tenable; Fusion Middleware da solo ne riceve 206, 134 sfruttabili da remoto senza autenticazione, e MySQL 98. Cisco corregge 34 vulnerabilità, tra cui CVE-2026-76466 in Expressway, che permette di eseguire comandi come root ed è risolta nella X15.5.20.
Perché conta: sono aggiornamenti di routine solo nel calendario. Con volumi così conviene partire dai componenti esposti su internet e senza autenticazione.
Supply chain e piattaforme
Railway: possibile accesso alle variabili d'ambiente dei clienti
Fonte: Railway · 21 ottobre 2026
Railway ha rilevato attività anomale sui sistemi che conservano le variabili d'ambiente: una terza parte potrebbe aver letto quelle cifrate e decifrato il contenuto di alcune. L'azienda raccomanda a tutti di ruotare subito variabili, chiavi API e credenziali dei registry privati, e ha chiesto ai provider di inferenza AI collegati di revocare le chiavi. Secondo Railway l'attacco fa parte di una serie contro piattaforme che servono quei provider; The Hacker News riporta che, secondo la ricercatrice Taylor Monahan, sono stati svuotati wallet di criptovalute le cui chiavi private erano salvate su Railway.
Perché conta: la rotazione va fatta anche se l'impatto sembra limitato, perché l'indagine non è chiusa. È il momento di verificare quali chiavi hanno scadenza e quali no.
LiteLLM: la catena dell'attacco parte da token GitHub finiti nei log
Fonte: LiteLLM · 22 ottobre 2026
Il pacchetto compromesso è rimasto su PyPI dalle 11:39 alle 13:23 UTC del 21 ottobre, le immagini Docker dalle 11:46 alle 14:20 UTC. Secondo LiteLLM, Claude Code può includere il token OAuth della GitHub CLI di un utente nel corpo di una risposta; questi token sono comparsi nei log di un deployment interno esposto su internet, con un account sospetto. Uno apparteneva a un proprietario dell'organizzazione, che ha permesso di togliere la protezione del branch e fare un force push.
Perché conta: un proxy verso i modelli registra tutto ciò che passa, segreti compresi. Chi gestisce gateway LLM deve filtrare i log e non esporre su internet le istanze interne.
eMudhra lascia il mercato dei certificati TLS
Fonte: eMudhra · 22 ottobre 2026
Dopo il caso delle chiavi delle CA intermedie, eMudhra annuncia l'uscita dal mercato globale dei certificati SSL/TLS, che secondo l'azienda vale circa l'1% dei ricavi; le CA coinvolte sono state revocate entro 14 ore. Secondo The Hacker News otto chiavi di CA intermedie erano facili da indovinare.
Perché conta: chi ha certificati eMudhra deve sostituirli con un'altra CA. Vanno aggiornati anche gli strumenti con un trust store incorporato, come i binari standalone.
Attacchi e ricerca
Storm-0940 usa un framework AI di pentest contro i clienti di ConnectWise
Fonte: Microsoft Security Blog · 21 ottobre 2026
Secondo Microsoft il gruppo Storm-0940, allineato allo Stato cinese, usa da settembre ARTEX, un framework agentico di penetration test, per automatizzare attacchi contro centinaia di organizzazioni. Sfruttando applicazioni ConnectWise già autorizzate, ha avuto accesso agli ambienti Microsoft 365 senza un login interattivo. Secondo The Register i tenant colpiti sono più di 2.250.
Perché conta: le app di terzi con permessi su Microsoft Graph sono una porta che non chiede password. Conviene rivedere le autorizzazioni concesse ai fornitori di gestione IT.
Capcom: violato CAPCOM ID, esposte 11,7 milioni di email
Fonte: BleepingComputer · 22 ottobre 2026
Capcom conferma l'accesso al servizio di account CAPCOM ID: esposti oltre 11,7 milioni di indirizzi email con data di creazione, ultimo accesso, numero di login e IP dell'ultimo accesso. Per 43 account sono usciti anche data di nascita, genere, nickname e paese, e per 196 gli attaccanti hanno cambiato la password. Secondo Capcom password e carte di credito degli altri iscritti non sono state esposte.
Perché conta: email e IP bastano per campagne di phishing mirate ai giocatori. Chi ha un CAPCOM ID deve diffidare di messaggi che chiedono di confermare l'account.
Domande frequenti
01Quali sono le notizie cybersecurity principali del 23 ottobre 2026?
Lo sfruttamento di PHP2Shell dal 17 ottobre, il possibile furto di variabili d'ambiente da Railway, la ricostruzione dell'attacco a LiteLLM, lo zero-day di VeloCloud Orchestrator, le due falle di ksmbd e gli attacchi di amplificazione QPACK su HTTP/3.
02Da quando cercare tracce di PHP2Shell?
Dal 17 ottobre 2026, la data del primo tentativo visto da AWS, e non dal 21 ottobre, quando sono uscite le patch.
03Cosa deve fare chi usa Railway?
Ruotare subito tutte le variabili d'ambiente, le chiavi API e le credenziali dei registry privati salvate sulla piattaforma, come raccomanda Railway, anche senza aver ricevuto avvisi diretti.