Brotli in .NET e altre notizie cyber, 27 ottobre 2026

In breve: il 27 ottobre 2026 le notizie di sicurezza partono dalla falla nella decompressione Brotli, CVE-2026-111497, che ora ha patch fuori ciclo per .NET 8, 9, 10 e 11 RC3 e nuovi pacchetti Windows di PHP. Wiz descrive Gheist, una campagna che usa token GitHub rubati per far stampare i segreti nei log di GitHub Actions, e JFrog trova 42 repository armati dal worm npm testmetest. Ci sono anche due falle da 9,9 in Wasmtime, 953 negozi online infettati, il furto di sessioni Microsoft 365 tracciato da Huntress, le truffe su Teams, la cache KV di Workers AI che mescolava le risposte, l'Università di Copenaghen, Genesys, un ospedale del New Mexico, GMO in Giappone, gli arresti per ARTEX AI e ML-KEM su AWS KMS.

Quindici notizie verificate sulle fonti originali, linkate in ogni titolo. Il tentativo di Qwen3.8 di inviare un file a Pechino e il compaction smuggling di Xint sono nelle notizie AI di oggi. Le altre sezioni sono in Notizie tech, le cinque principali nel numero di oggi, l'archivio in Notizie cybersecurity e l'uscita precedente nelle notizie cybersecurity del 26 ottobre. Per i server PHP aggiornati la settimana scorsa c'è la guida su PHP2Shell e come aggiornare, e per tenere i segreti fuori dal codice quella sui segreti e le chiavi API nei progetti vibe coded.

Falle e patch

Brotli, Microsoft rilascia patch fuori ciclo per .NET

Fonte: .NET Blog · 25 ottobre 2026

Microsoft ha pubblicato aggiornamenti di sicurezza fuori ciclo per .NET 8, 9 e 10 e per .NET 11 Release Candidate 3 contro CVE-2026-111497, un buffer overflow nell'uso dell'algoritmo di decompressione Brotli che può permettere a un attaccante non autenticato di leggere o corrompere la memoria del processo. Sono esposte le applicazioni che decomprimono dati Brotli con la decompressione delle richieste di ASP.NET Core, la decompressione automatica delle risposte di HttpClient o le API Brotli di System.IO.Compression; le prime due non sono attive per impostazione predefinita. Il .NET Framework non è coinvolto, e la release corregge anche CVE-2026-114148 sui permessi dei tarball Linux.

Perché conta: Microsoft consiglia di aggiornare il prima possibile. Chi ha attivato la decompressione su un servizio esposto ha la priorità.

PHP ricompila i pacchetti Windows con Brotli 1.2.1

Fonte: PHP Foundation, The Hacker News · 26 ottobre 2026

Per la stessa CVE-2026-111497, PHP ha ricostruito i pacchetti Windows ufficiali 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, che includono la versione corretta di Brotli. Secondo The Hacker News la falla è raggiungibile dall'estensione cURL quando decomprime automaticamente le risposte HTTP: cURL la lascia spenta, ma applicazioni e librerie client possono attivarla. Il sorgente è lo stesso delle release del 21 ottobre, quindi le correzioni per PHP2Shell restano.

Perché conta: è il secondo aggiornamento in cinque giorni per chi usa PHP su Windows. Su Linux il componente da controllare è la libreria Brotli della distribuzione.

Wasmtime, due falle da 9,9 nel compilatore Cranelift

Fonte: The Hacker News, Bytecode Alliance · 26 ottobre 2026

I manutentori di Wasmtime hanno valutato 9,9 su 10 due falle in Cranelift, il compilatore usato di default, che possono far uscire dalla sandbox un modulo WebAssembly malevolo: CVE-2026-115889 riguarda tutte le architetture, CVE-2026-115893 solo ARM64. Serve che una build vulnerabile compili un modulo controllato dall'attaccante. Le versioni corrette sono uscite il 19 e 20 ottobre e non sono stati segnalati attacchi.

Perché conta: chi esegue codice WebAssembly di terzi con Wasmtime, per esempio in piattaforme di plugin o funzioni, deve aggiornare alla versione corretta del proprio ramo.

Attacchi e minacce

Gheist, token GitHub rubati per stampare i segreti nei log di Actions

Fonte: Wiz · 25 ottobre 2026

Dal 15 settembre Wiz Research segue Gheist, una campagna che usa token GitHub compromessi per creare in ogni repository raggiungibile un branch ci-sync- più sei caratteri casuali, con un workflow sync-check.yml che stampa i segreti del repository nel proprio log; lo strumento scarica il log e cancella l'esecuzione pochi secondi dopo. Wiz ha recuperato oltre 13.500 branch da più di 850 account. Un controllo recente di GitHub blocca l'attacco nei repository pubblici, ma Wiz ha osservato sfruttamenti riusciti nei repository privati e negli ambienti GitHub Enterprise.

Perché conta: cercare branch ci-sync- e commit "ci: sync config" non firmati è un controllo rapido. Se compaiono, vanno ruotati i segreti del repository e il token dell'account.

Il worm testmetest ha armato 42 repository GitHub

Fonte: JFrog, The Register · 26 ottobre 2026

SafeDep aveva individuato 18 pacchetti npm dello stesso operatore tra il 19 e il 25 ottobre, con malware che ruba credenziali. JFrog ha scoperto che il worm, della famiglia Miasma, aveva anche armato 42 repository reali di 11 proprietari, con account dirottati già da luglio. Secondo The Register i blob del payload pesano tra 12,9 e 13,7 MB, abbastanza da sfuggire alla ricerca nel codice di GitHub.

Perché conta: chi dipende da piccoli pacchetti mantenuti da singoli sviluppatori dovrebbe bloccare le versioni nel lockfile e controllare gli aggiornamenti recenti.

953 negozi online infettati tramite i blocchi CMS di Magento

Fonte: Sansec, The Hacker News · 24 ottobre 2026

Sansec ha trovato 953 negozi, per lo più Magento, compromessi da una campagna attiva da luglio 2025 che inserisce nei blocchi CMS un piccolo loader JavaScript. Il codice chiede al server del gruppo cosa fare e il server risponde solo ai veri visitatori, lasciando a mani vuote gli scanner di sicurezza. L'ultimo dominio, deepveindrilling.com, compare nei blocchi CMS di 83 negozi dalla sua registrazione il 6 ottobre.

Perché conta: uno scanner esterno può non vedere nulla; il controllo va fatto sul contenuto della tabella dei blocchi CMS nel database.

Microsoft 365, sessioni rubate riusate contro 79 organizzazioni

Fonte: Huntress, The Hacker News · 26 ottobre 2026

Tra il 14 luglio e il 22 settembre Huntress ha osservato una campagna che cattura le sessioni di accesso con una pagina di login adversary-in-the-middle e poi riusa i token rubati. Su oltre 200.000 tentativi dalla rete 193.26.115.0/24 ci sono stati 497 accessi riusciti, con 97 account compromessi e 48 dispositivi Entra fasulli registrati, come riassume The Hacker News.

Perché conta: l'autenticazione a più fattori classica non ferma il riuso di un token già emesso. Servono metodi resistenti al phishing e il controllo dei dispositivi registrati di recente.

Su Teams finti tecnici "IT Support (Internal)" portano malware e ransomware

Fonte: Arctic Wolf, The Hacker News · 26 ottobre 2026

Arctic Wolf Labs descrive centinaia di casi in cui gli attaccanti avviano chat esterne su Microsoft Teams da tenant Microsoft 365 appena creati o acquistati, con nomi come "IT Support (Internal)" per aggirare gli avvisi sugli utenti esterni, e poi installano strumenti di accesso remoto. Nel 30-40% dei casi usano un dominio *.onmicrosoft.com, come riporta The Hacker News.

Perché conta: limitare le chat esterne ai domini fidati chiude la strada principale di questa tecnica.

Corea del Sud, sette arresti per gli attacchi fatti con ARTEX AI

Fonte: BleepingComputer · 26 ottobre 2026

La polizia di Seul ha identificato sette sospetti legati a intrusioni in oltre 90 organizzazioni del paese, condotte per lo più con il framework di penetration test ARTEX AI. Il capo del gruppo, un ex pentester di 32 anni, avrebbe rubato 8,2 milioni di record da scuole, ospedali, grandi aziende e campi da golf, e in 38 casi chiesto 360 milioni di won, circa 270.000 dollari, per non pubblicarli.

Perché conta: gli strumenti di attacco automatizzati con l'AI abbassano la soglia per chi colpisce molte organizzazioni piccole.

Incidenti e fughe di dati

Workers AI, la cache KV di GLM-5.3 ha mescolato le risposte tra clienti

Fonte: Cloudflare Blog · 26 ottobre 2026

Tra il 27 agosto e il 9 settembre alcuni clienti del modello GLM-5.3 su Workers AI hanno ricevuto risposte contenenti dati di richieste fatte poco prima da altri clienti: 155 risposte, tutte a prompt più lunghi di 681.280 token. Il problema è stato segnalato l'8 settembre da Gadi Evron di Knostic e corretto il 9; Cloudflare dice che nessun altro modello era coinvolto e di non aver trovato sfruttamenti intenzionali. Il resoconto esce insieme a quello di SGLang, il motore di inferenza usato.

Perché conta: l'isolamento tra clienti nei servizi di inferenza dipende anche dalla cache, e i prompt molto lunghi sono il caso limite da testare.

Università di Copenaghen, esposti i dati di 525.000 persone

Fonte: BleepingComputer · 26 ottobre 2026

L'università ha confermato che gli attaccanti hanno avuto accesso a un ambiente di test con dati personali di 525.000 persone. La violazione è stata rilevata il 20 ottobre e comunicata il 23; in un aggiornamento l'ateneo ha aggiunto altri 20.000 studenti e dipendenti di cui sono stati esposti i codici PIN.

Perché conta: un ambiente di test con dati reali va protetto come la produzione, oppure riempito con dati fittizi.

Genesys, accesso non autorizzato a LMS e CRM interni

Fonte: Genesys · 23 ottobre 2026

Genesys ha scoperto il 16 ottobre che un terzo non autorizzato era entrato in alcuni sistemi interni, tra cui la piattaforma di formazione e il CRM, da cui sono stati letti o scaricati nomi, email di lavoro, telefoni e dati di account di clienti attuali e potenziali. L'azienda ritiene di aver contenuto l'attività e dice che le piattaforme Genesys Cloud, Engage ed Engage Cloud e i dati dei clienti al loro interno non sono stati toccati.

Perché conta: i contatti rubati da un CRM sono materiale ideale per phishing mirato verso i clienti dell'azienda.

New Mexico, l'ospedale universitario dirotta i pazienti dopo un incidente informatico

Fonte: SecurityWeek · 26 ottobre 2026

L'University of New Mexico Health System ha chiesto alle persone di non presentarsi all'ospedale principale di Albuquerque e ha cancellato gli appuntamenti in oltre 30 ambulatori a causa di un problema di sicurezza informatica.

Perché conta: è l'ennesimo caso in cui un incidente informatico ferma l'assistenza sanitaria, non solo i dati.

GMO, compromesso il desktop cloud per il trading Onamae.com

Fonte: The Register · 27 ottobre 2026

Il provider giapponese GMO Internet ha avvisato i clienti che un terzo ha installato programmi malevoli negli ambienti server di alcuni utenti di Onamae.com Desktop Cloud, un servizio di desktop Windows nel cloud proposto per il trading sul forex. Secondo The Register l'amministratore delegato ha ammesso che l'azienda è stata lenta a migliorare la sicurezza del servizio.

Perché conta: un desktop remoto usato per fare trading è un bersaglio diretto per chi vuole rubare credenziali finanziarie.

Difese e strumenti

AWS KMS supporta ML-KEM per lo scambio di chiavi post-quantistico

Fonte: AWS · 26 ottobre 2026

AWS Key Management Service supporta ora ML-KEM, lo standard NIST FIPS 203 pensato per sostituire lo scambio di chiavi con DH, ECDH e RSA, in tutte e tre le varianti ML-KEM-512, ML-KEM-768 e ML-KEM-1024. L'API Encapsulate produce un segreto condiviso casuale di 32 byte e la sua forma cifrata, e Decapsulate lo recupera.

Perché conta: protegge dall'attacco "raccogli ora, decifra dopo", in cui chi registra oggi uno scambio di chiavi spera di romperlo con un futuro computer quantistico.