Brotli oltre Node e notizie cyber, 25 ottobre 2026

In breve: il 25 ottobre 2026 la falla del decoder Brotli dietro Node2Shell, CVE-2026-111497, si allarga a Bun, ai pacchetti Python usati da requests, httpx e aiohttp, a Envoy e a Istio. LiteLLM corregge la ricostruzione del suo attacco: tutto parte da una chiave master pubblicata per errore a maggio e mai revocata. Pillow 13.0.0 chiude due falle critiche, Symantec descrive un agente che dirotta modelli AI esposti e SOCRadar documenta affiliati ransomware che usano agenti per le intrusioni.

Le notizie sono verificate sulle fonti originali, linkate in ogni titolo. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie cybersecurity e l'uscita precedente in Notizie cybersecurity del 24 ottobre. Per il metodo di controllo e aggiornamento di un server esposto vale la guida su PHP2Shell.

Falle e patch

Brotli, la falla di Node2Shell colpisce anche Python, Bun, Envoy e Istio

Fonte: Aikido Security, The Hacker News · 23-24 ottobre 2026

CVE-2026-111497 è una scrittura fuori dai limiti nel decoder Brotli di Google, versioni dalla 1.0.3 alla 1.2.0, con punteggio CVSS v4 di 9,2: uno stream compresso costruito ad arte può corrompere la memoria, far trapelare dati o eseguire codice, senza autenticazione. Dopo Node.js si scopre che colpisce anche i pacchetti Python Brotli e brotlicffi, che requests, httpx e aiohttp caricano da soli quando sono installati, Bun, curl con Brotli, Envoy e Istio. Secondo patchtheplanet.org OpenAI l'aveva scoperta a febbraio: la causa era stata corretta nel codice, ma nessuno l'aveva riconosciuta come falla e non era uscita una release.

Perché conta: funziona nei due sensi, quindi un client malevolo può prendere un server e un server malevolo un client. Le versioni da installare sono libbrotli 1.2.1 (o 1.0.10 e 1.1.1), Brotli 1.2.1 e brotlicffi 1.2.1.0 per Python, Bun 1.4.4, Envoy 1.40.0, 1.39.3, 1.38.6 o 1.37.8 e Istio 1.30.6 o 1.31.2. Al 23 ottobre pip-audit e Dependabot non segnalavano ancora i pacchetti Python. Apache e Nginx non decodificano Brotli di default.

Pillow 13.0.0 chiude due falle critiche e una da 9,2 con Ghostscript

Fonte: Pillow, The Hacker News · 23 ottobre 2026

La libreria di immagini più usata in Python, circa 436 milioni di download al mese secondo OX Security, ha pubblicato il 16 ottobre una release di sicurezza con correzioni su quattro livelli di gravità. CVE-2026-112900 passa a Ghostscript un nome di file EPS che può essere letto come istruzioni, dalla 2.6.0 alla 12.3.0: GitHub le dà 9,2, i maintainer la considerano moderata perché l'attaccante deve controllare il nome del file. Le due correzioni critiche riguardano dati d'immagine vecchi riusati dopo un cambio di modalità e due overflow nella decodifica JPEG, uno dei quali, nel formato FlashPix, eseguiva comandi con un solo Image.open() se è installato olefile.

Perché conta: Pillow riconosce i formati dal contenuto, non dall'estensione, quindi un servizio che apre upload non fidati può essere colpito senza azioni dell'utente. Nessuna delle falle risulta sfruttata, ma conviene passare alla 13.0.0 e ricostruire le immagini Docker.

Atlassian, 75 falle nelle dipendenze di Jira, Confluence e Bitbucket

Fonte: SecurityWeek, Atlassian · 23 ottobre 2026

Il bollettino di ottobre di Atlassian elenca 162 voci di gravità alta e 14 critiche, tutte legate a componenti di terze parti: per SecurityWeek sono 75 CVE uniche, sei critiche, in Tomcat, Bouncy Castle, Netty e Apache SSHD. I prodotti sono le versioni Data Center e Server di Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software e Jira Service Management.

Perché conta: Atlassian giudica il rischio più basso del punteggio dei componenti, ma chi gestisce istanze in casa deve comunque pianificare l'aggiornamento: le dipendenze Java vecchie sono uno dei punti di ingresso più comuni.

CISA aggiunge al KEV la falla di VeloCloud Orchestrator

Fonte: CISA · 23 ottobre 2026

CVE-2026-114625, la SQL injection da 9,9 nelle installazioni on-prem di Arista VeloCloud Orchestrator, entra nel catalogo delle falle sfruttate. Serve una sessione autenticata, anche con il ruolo di sola lettura Enterprise. Le versioni corrette sono 5.2.3.18, 6.1.3.10 e 6.4.2.12, ed è la terza falla di VeloCloud Orchestrator sfruttata da luglio.

Perché conta: con l'ingresso nel KEV le agenzie federali americane hanno una scadenza per aggiornare, e per tutti gli altri è la conferma che gli attacchi sono reali.

Attacchi e minacce

LiteLLM: l'attacco parte da una chiave master pubblicata a maggio

Fonte: LiteLLM, Microsoft · 23-24 ottobre 2026

LiteLLM ha pubblicato la ricostruzione definitiva della release malevola 1.107.0, che corregge le ipotesi dei giorni precedenti. Il 27 maggio un file di configurazione con la chiave master di LiteLLM Agent Platform finisce nel repository pubblico LiteLLM-Labs/lite-harness; il commit viene sovrascritto, ma la chiave non viene revocata. Il 10 ottobre l'attaccante la usa per estrarre un token OAuth della GitHub CLI del proprietario dell'organizzazione, non limitato, e da lì ruba altri segreti dalla CI, fino a togliere la protezione del branch e puntare la pipeline di release al repository simile Berri-AI/litellm. Le nuove release del 24 ottobre, 1.106.3, 1.105.4, 1.104.6 e 1.103.8, sono firmate con una nuova chiave cosign.

Perché conta: l'analisi di Microsoft spiega che bastava avviare Python in un ambiente con il pacchetto infetto, anche senza importare LiteLLM, perché il codice partiva dai file di avvio dell'interprete. Una chiave esposta va sempre revocata, anche dopo aver riscritto la storia di Git.

Un agente in "modalità Skynet" dirotta i modelli AI esposti

Fonte: The Register, Symantec · 24 ottobre 2026

Il Threat Hunter Team di Symantec ha catturato in un honeypot AI le istruzioni complete di un agente d'attacco: scandisce internet in cerca di endpoint compatibili con l'API di OpenAI che accettano richieste senza autenticazione, o con una chiave rubata, e li usa per eseguire attacchi fino a 100.000 passi senza approvazione umana, dal mining al furto di credenziali.

Perché conta: un endpoint di modelli aperto su internet non è solo un costo in token, diventa il motore di attacchi contro altri. Va messo dietro autenticazione e un limite di spesa.

Phantom, gli agenti AI degli affiliati ransomware di INC e The Gentlemen

Fonte: The Hacker News, SOCRadar · 23 ottobre 2026

SOCRadar ha trovato esposta l'infrastruttura di un operatore di lingua russa che lavora per gli affiliati dei gruppi ransomware INC e The Gentlemen. Al centro c'è Phantom, un framework che usa OpenCode con modelli via OpenRouter: l'AI esegue e un umano approva, con basi di conoscenza gestite dall'AI per tenere traccia di vittime e credenziali. Gli obiettivi erano FortiClient EMS, SimpleHelp, cPanel e gateway VPN, e quando un modello rifiutava il prompt veniva riscritto come un red team autorizzato.

Perché conta: è uno dei primi casi documentati di agenti usati per intrusioni reali su larga scala. Le difese restano le stesse: sistemi di accesso remoto aggiornati e non esposti senza necessità.

Sandworm e UAC-0099 con una backdoor sulla rete mesh Yggdrasil

Fonte: The Hacker News, ESET · 23 ottobre 2026

ESET ricostruisce un attacco distruttivo del 2025 contro un'azienda di logistica ucraina: UAC-0099 entra il 16 luglio con una email di spear phishing, il giorno dopo installa la nuova backdoor MythicRatatoskr, che comunica con un server di comando dentro la rete mesh Yggdrasil, e poi passa l'accesso a Sandworm, che il 17 settembre cancella i dati.

Perché conta: un server di comando su una rete overlay cifrata è più difficile da bloccare con le liste di indirizzi IP. Il passaggio di accesso tra gruppi diversi complica anche l'attribuzione.

Il gruppo iraniano Prince of Persia ospita un server C&C negli Stati Uniti

Fonte: SecurityWeek, Semperis · 23 ottobre 2026

Prince of Persia, noto anche come Infy e attivo da quasi vent'anni contro dissidenti iraniani ed enti in Stati Uniti, Europa e Medio Oriente, ha usato quest'anno un server di comando negli Stati Uniti, per la prima volta dal 2016. Secondo Semperis il gruppo si era fermato per tre mesi dopo un report di febbraio, la pausa più lunga della sua storia.

Perché conta: un server in un paese "fidato" sfugge più facilmente ai filtri geografici, che quindi non bastano da soli.

Difese e strumenti

Microsoft Teams avrà il rilevamento del phishing con AI

Fonte: BleepingComputer · 23 ottobre 2026

Da inizio novembre Teams userà l'AI per riconoscere phishing, ingegneria sociale e impersonificazione dal contesto della conversazione, senza conservarne il contenuto, a partire dalle chat con contatti esterni al primo messaggio. La distribuzione mirata finisce a metà novembre e la disponibilità generale è prevista tra inizio e metà dicembre, senza interventi degli amministratori.

Perché conta: molti attacchi su Teams non contengono link o allegati, solo una richiesta convincente, e sfuggono ai filtri tradizionali.

GitHub, il monitoraggio dei segreti pubblici aggiunge triage, validità e API

Fonte: GitHub Changelog · 23 ottobre 2026

Le aziende con public monitoring, che cerca segreti della propria organizzazione in repository pubblici, possono ora chiudere e riaprire gli avvisi dalla dashboard di sicurezza, vedere la cronologia e filtrare per repository, autore, tipo di segreto e stato. GitHub controlla in continuo se il token è ancora attivo per i provider supportati, e arrivano API e webhook.

Perché conta: chiudere un avviso non revoca la credenziale e non la toglie dal repository, come ricorda GitHub. Il caso LiteLLM mostra perché la revoca è il passo che conta.

Cloudflare porta la crittografia post-quantum nella gestione geografica delle chiavi

Fonte: Cloudflare · 23 ottobre 2026

Cloudflare lancia in beta chiusa PQ GeoKey Manager, parte della Data Localization Suite: ogni chiave di decifratura viene cifrata in modo che solo i server Cloudflare nella zona geografica scelta possano usarla, ora con algoritmi post-quantum. La disponibilità generale è prevista nel primo trimestre del 2027.

Perché conta: riguarda dati che restano sensibili per anni, come quelli sanitari o finanziari, esposti al rischio di essere raccolti oggi e decifrati in futuro.