Terza falla PHP e notizie cyber, 24 ottobre 2026

In breve: il 24 ottobre 2026 la sicurezza parte da PHP, che segnala CVE-2026-115560, una terza falla di esecuzione remota sfruttabile solo con una configurazione insolita, e da CISA, che conferma lo sfruttamento attivo di una falla in Collabora Online per Nextcloud. Ruby corregge i bug del motore delle espressioni regolari dietro quattro CVE di GitLab, Imperva dimostra l'esecuzione di codice su Node.js con dati Brotli e HPE chiude 72 falle in ArubaOS. Seguono Mirai su PHP2Shell, la campagna k0t, il bootkit BlackX, x402, Quest Diagnostics e Popcorn Time.

Undici notizie dal 21 al 23 ottobre, con le fonti ufficiali quando esistono. Le cinque principali della giornata sono nel numero di oggi. Le altre sezioni sono in Notizie tech, l'archivio in Notizie cybersecurity e l'uscita precedente nelle notizie cybersecurity del 23 ottobre. Per i server PHP la guida su PHP2Shell e come aggiornare resta il punto di partenza; per le dipendenze dei progetti c'è quella sullo slopsquatting.

Vulnerabilità e patch

PHP: la terza falla di esecuzione remota si corregge nel ciclo normale

Fonte: PHP, ripreso da BleepingComputer e The Register · 23 ottobre 2026

CVE-2026-115560 permette l'esecuzione di codice remoto solo se l'applicazione imposta session.serialize_handler a php_binary o php_serialize, poi lo cambia in php con ini_set() prima di session_start(), e ha ancora attivo l'upload progress delle sessioni. Per il team di PHP la combinazione è improbabile, quindi la correzione e l'advisory completo arriveranno con la prossima release regolare. Fino ad allora la mitigazione è session.upload_progress.enabled=0.

Perché conta: chi aveva già disattivato l'upload progress per PHP2Shell deve solo lasciarlo così. Gli altri possono cercare serialize_handler nel codice: se non viene cambiato a runtime, il rischio non c'è.

Collabora Online Built-in CODE Server: falla sfruttata, CISA la aggiunge al KEV

Fonte: CISA KEV e Collabora · 23 ottobre 2026

CVE-2026-110447 è una command injection nel server CODE integrato di Collabora Online, quando è usato dentro Nextcloud: permette l'esecuzione di codice remoto se il server CODE non è in esecuzione. CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate con scadenza al 26 ottobre per le agenzie federali americane; la correzione è nella 26.4.303 e anche la community di Nextcloud invita ad aggiornare subito.

Perché conta: il Built-in CODE Server è la scelta più comoda per avere l'editor dei documenti senza un server separato, quindi è diffuso su installazioni piccole e poco curate. Va aggiornato dal pannello delle app di Nextcloud.

Ruby 4.0.9, 3.4.12 e 3.3.13 correggono i bug dietro quattro CVE di GitLab

Fonte: Ruby · 23 ottobre 2026

Le nuove versioni di Ruby correggono diversi bug di Onigmo, il motore delle espressioni regolari, che GitLab ha trovato sfruttabili per eseguire codice sui propri server: CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 e CVE-2026-110264. I bug si raggiungono solo compilando un'espressione regolare da una stringa controllata dall'attaccante, per esempio con Regexp.new o con /#{input}/. Regexp.timeout non protegge, e nemmeno limitare la lunghezza dei pattern.

Perché conta: qualsiasi applicazione Ruby che accetta regex dagli utenti, come filtri di ricerca o regole configurabili, è esposta. Se non si può aggiornare subito, Ruby consiglia di non compilare regex da input non fidato.

Node2Shell: esecuzione di codice su Node.js con dati Brotli

Fonte: Imperva · 22 ottobre 2026

Il Red Team di Imperva ha dimostrato l'esecuzione di codice remoto sfruttando CVE-2026-111497, una scrittura fuori dai limiti nel decoder Brotli incluso in Node.js. Il proof of concept funziona sull'immagine ufficiale di Node.js 24.22.0 per Linux arm64, con il codice dentro il corpo compresso di una richiesta o di una risposta, anche con Express 5 e body-parser 2. La versione 24.22.1, uscita con le release di sicurezza del 21 ottobre, rifiuta gli stessi input.

Perché conta: Express 5 e body-parser 2 decomprimono i corpi Brotli quando i parser sono configurati, e anche fetch() integrato può ricevere risposte Brotli da un servizio esterno. È la prova che l'aggiornamento di Node.js del 21 ottobre non è facoltativo.

HPE corregge 72 falle in ArubaOS, otto di gravità massima

Fonte: BleepingComputer, advisory HPE · 23 ottobre 2026

HPE ha rilasciato aggiornamenti per 72 vulnerabilità in ArubaOS, il sistema delle infrastrutture wireless Aruba, tra cui otto di gravità massima che permettono di aggirare l'autenticazione o eseguire codice su AOS-8 e AOS-10, da remoto e senza privilegi. Non risultano sfruttamenti noti; HPE consiglia di aggiornare il prima possibile e di limitare l'accesso alle interfacce di gestione.

Perché conta: controller e gateway Wi-Fi aziendali sono apparati di rete esposti, cioè il bersaglio preferito delle campagne di questi mesi. Le interfacce di gestione non dovrebbero mai essere raggiungibili da internet.

Attacchi e campagne

PHP2Shell: tentativi in massa per installare Mirai, ma senza successo

Fonte: The Hacker News, analisi di Sophos · 23 ottobre 2026

Sophos ha osservato tentativi di sfruttare PHP2Shell, CVE-2026-109618 e CVE-2026-109619, per installare Potassium, una variante di Mirai ampliata rispetto a quella vista all'inizio del 2026, con funzioni di downloader e attacchi DDoS. Secondo Sophos i tentativi non sono andati a segno, segno che gli attaccanti faticano a costruire exploit affidabili. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Perché conta: la difficoltà di sfruttamento non è una protezione: i tentativi continuano in massa. Aggiornare resta l'unica risposta sicura.

k0t: oltre 70.000 credenziali da firewall e VPN aziendali

Fonte: Group-IB e NyxLab, ripreso da The Hacker News · 21-23 ottobre 2026

Un'indagine congiunta di Group-IB e NyxLab attribuisce all'attore k0t una campagna su larga scala contro apparati di rete esposti come FortiGate, FortiWeb e GlobalProtect, con oltre 70.000 credenziali esposte, accessi persistenti ed esfiltrazione di dati. k0t sarebbe legato ai gruppi ransomware Qilin e The Gentlemen, probabilmente come broker di accessi iniziali.

Perché conta: gli apparati perimetrali restano la porta d'ingresso più usata per il ransomware. Dopo una patch su un firewall vanno ruotate anche le credenziali VPN, perché potrebbero essere già state copiate.

BlackX: un bootkit UEFI contro diplomatici in Asia centrale

Fonte: Kaspersky Securelist · 22 ottobre 2026

Kaspersky descrive BlackX, un bootkit UEFI usato all'inizio del 2026 contro organizzazioni diplomatiche in Tagikistan, Uzbekistan e Turkmenistan e attribuito con cautela ad APT41, gruppo legato alla Cina. Il malware aggira Secure Boot anche su sistemi Windows aggiornati, se non sono state applicate a mano le revoche dei certificati previste da Microsoft.

Perché conta: installare gli aggiornamenti di Windows non basta contro i bootkit di questo tipo. Le revoche di Secure Boot sono un passaggio manuale che molti amministratori non hanno ancora fatto.

Supply chain e dati

x402: un SDK poteva svuotare il saldo degli agenti che pagano le API

Fonte: V12 · 22 ottobre 2026

V12 ha trovato 25 falle negli SDK di x402, il protocollo con cui gli agenti AI pagano le chiamate alle API, tre delle quali critiche. La più grave: il client predefinito non aveva un limite di spesa, quindi un'API malevola poteva chiedere e ottenere la firma di un pagamento pari all'intero saldo di un token supportato. Le release del 18 agosto hanno aggiunto il limite e corretto le falle.

Perché conta: un agente che firma pagamenti in automatico deve sempre avere un tetto di spesa impostato dall'applicazione. Chi usa x402 deve verificare di essere su una versione successiva al 18 agosto.

Quest Diagnostics: violato il sistema per ordini e referti

Fonte: BleepingComputer, documento SEC · 23 ottobre 2026

Quest Diagnostics, uno dei principali laboratori clinici americani, ha comunicato alla SEC un accesso non autorizzato a Quanum LSM, il sistema con cui alcuni clienti ordinano esami e consultano i risultati. L'azienda ha scoperto la violazione il 21 ottobre e conferma che sono stati esposti dati dei pazienti; l'indagine sulla portata è in corso.

Perché conta: i sistemi usati dai clienti per accedere ai dati sanitari sono un bersaglio di valore. Quanti pazienti siano coinvolti si saprà solo con le notifiche previste dalla legge.

Popcorn Time: l'updater abbandonato poteva eseguire codice su milioni di PC

Fonte: BleepingComputer · 23 ottobre 2026

L'updater di Time4Popcorn, un fork di Popcorn Time ormai abbandonato, contattava il dominio scaduto popcorntimeupd.xyz in HTTP e accettava eseguibili senza verificarne la firma: chiunque controllasse il dominio poteva eseguire codice come SYSTEM su Windows e come root su macOS. La falla è CVE-2026-30612; i ricercatori hanno disattivato l'updater da remoto.

Perché conta: un'app abbandonata con un updater attivo è una backdoor in attesa. Chi l'ha ancora installata dovrebbe disinstallarla.