Falla UEFI EDK II e notizie cyber, 28 ottobre 2026

In breve: il 28 ottobre 2026 le notizie di cybersecurity partono da CVE-2026-97631, una falla da 9,5 nel driver per l'avvio da rete di TianoCore EDK II, la base del firmware UEFI della maggior parte dei server, finita in pubblico prima della data concordata. La CISA aggiunge al catalogo KEV la falla di Magento e quella di Brotli, mentre per PHP2Shell gli honeypot registrano le prime shell funzionanti. Tailscale aggiorna l'indagine sulle falle di Tailscale SSH, Warp comunica la fuga di log degli agenti, Apple porta la patch per lo zero-day di CoreGraphics su iOS 18 e Microsoft corregge Authenticator per Android. Ci sono anche Keystone, GoAhead, Convertr, l'operazione australiana contro Amadey e gli attacchi basati su agenti AI in Giappone.

Quindici notizie uscite tra il 26 e il 28 ottobre, verificate sulle fonti originali. Le cinque principali della giornata sono nel numero di oggi, le altre sezioni in Notizie tech, l'archivio in Notizie cybersecurity e l'uscita precedente nelle notizie cybersecurity del 27 ottobre. Per PHP2Shell la guida su come controllare e aggiornare PHP resta il punto di partenza, e per le credenziali esposte quella sui segreti e le chiavi API.

Falle e patch

UEFI, una falla da 9,5 nell'avvio da rete di EDK II

Fonte: TianoCore, Ars Technica · 27 ottobre 2026

CVE-2026-97631 è un buffer overflow vecchio di 16 anni nel driver PXE di EDK II, quello che gestisce l'avvio da rete: un messaggio di errore ICMP più lungo di 504 byte, inviato all'indirizzo della macchina durante la sequenza di avvio PXE, scrive dati dell'attaccante oltre il buffer. EDK II è il codice di riferimento usato da quasi tutti i produttori di firmware UEFI, compresi AMI, Insyde, Phoenix e Project Mu di Microsoft. Secondo Ars Technica permette di eseguire codice prima del sistema operativo e di Secure Boot. L'hanno trovata Alex Matrosov di Anthropic e Dan Holmes di Google, che avevano concordato la divulgazione per gennaio; AMI ha però pubblicato il mese scorso una pull request con la correzione, e TianoCore ha dovuto anticipare l'avviso.

Perché conta: con la patch pubblica, ricavare un exploit è più semplice, mentre gli aggiornamenti del firmware arrivano lentamente dai singoli produttori. Chi gestisce server deve seguire i bollettini del proprio fornitore e, dove possibile, disattivare l'avvio da rete.

La CISA aggiunge al KEV le falle di Magento e Brotli

Fonte: CISA · 27 ottobre 2026

Entrano nel catalogo delle vulnerabilità sfruttate CVE-2026-48356, un caricamento di file di tipo pericoloso senza restrizioni in Adobe Commerce e Magento, e CVE-2026-111497, la falla di Brotli legata a un valore di ritorno non controllato, quella che ha portato alle patch fuori ciclo di .NET e PHP.

Perché conta: per entrambe ora c'è evidenza di attacchi reali. Chi gestisce negozi Magento o servizi che decomprimono Brotli non ha più motivi per rimandare l'aggiornamento.

PHP2Shell, nel KEV e le prime shell negli honeypot

Fonte: SecurityWeek, CISA, Wiz · 26-27 ottobre 2026

Il 26 ottobre la CISA ha aggiunto le falle PHP2Shell al catalogo KEV e aggiornato il proprio avviso su PHP. Secondo SecurityWeek il ricercatore Adel Karimi, che gestisce honeypot con PHP 8.4.26 sotto Apache e mod_php, il 24 ottobre ha registrato 35 shell avviate su tre honeypot. Wiz vede pochi tentativi nella propria telemetria e un calo di circa il 67% delle macchine esposte vulnerabili dalla divulgazione del 21 ottobre.

Perché conta: si passa dai tentativi alle esecuzioni di codice riuscite. Chi non ha ancora aggiornato PHP è nella parte di internet che si sta restringendo, e quindi più esposta.

Tailscale SSH, l'indagine conferma soprattutto escalation di privilegi

Fonte: Tailscale · 27-28 ottobre 2026

Tailscale scrive che la maggior parte delle falle trovate in Tailscale SSH permette a chi è già autorizzato a collegarsi di andare oltre i permessi del proprio utente locale, fino ad ottenere privilegi elevati. In attesa della patch consiglia di restringere le policy e di impostare TS_SSH_DISABLE_FORWARDING=1 nell'ambiente di tailscaled, che mitiga molti dei casi più gravi. Il client v1.104.4 è uscito su GitHub nella notte del 28 ottobre; l'avviso di sicurezza con versioni e configurazioni colpite è annunciato a parte.

Perché conta: è l'aggiornamento della vicenda Tailworm. Chi usa Tailscale SSH può applicare subito la mitigazione e aggiornare il client.

Apple porta su iOS 18 la patch per lo zero-day di CoreGraphics

Fonte: Apple, BleepingComputer · 27 ottobre 2026

CVE-2026-86950 è una scrittura fuori dai limiti in CoreGraphics, scoperta da Meta Product Security e sfruttata, secondo Apple, in attacchi molto sofisticati contro persone mirate. Corretta a settembre su iOS 26.7.1 e macOS, ora la patch arriva anche su iOS e iPadOS 18.7.11 per i dispositivi più vecchi. Secondo SecurityWeek iOS e macOS 27.2 correggono in tutto 286 bug.

Perché conta: chi tiene in uso iPhone e iPad che non passano alle versioni nuove ha finalmente la correzione.

Microsoft Authenticator, un'app senza permessi poteva rubare i token

Fonte: Enclave, The Hacker News · 26-27 ottobre 2026

CVE-2026-80097, con CVSS 8,6, permetteva a un'app Android senza permessi di farsi passare per un'app Microsoft fidata come Teams e ottenere da Authenticator i token di accesso dell'account di lavoro, con accesso completo a posta, file e calendario nei test dei ricercatori. Microsoft l'ha corretta nella versione 6.2606.4246; serve comunque che la vittima completi un passaggio di accesso, e non risultano attacchi.

Perché conta: Authenticator fa da intermediario per tutte le app Microsoft sul telefono, quindi una sua falla espone l'intero account aziendale. Va aggiornato.

GoAhead, i certificati client revocati passavano comunque

Fonte: EmbedThis, FoxIO, The Hacker News · 26 ottobre 2026

Il web server integrato GoAhead, usato nei firmware di router, stampanti e controller industriali, caricava la lista di revoca dei certificati con il backend OpenSSL ma non attivava il controllo, così un certificato client revocato poteva superare l'autenticazione mTLS. Sébastien Féry di FoxIO descrive altri due problemi TLS, tra cui un aggiramento del limite di profondità della catena con LibreSSL. La correzione è in GoAhead 6.1.1.

Perché conta: il problema riguarda solo configurazioni con mTLS e lista di revoca, ma sono proprio quelle scelte da chi vuole più sicurezza. Gli aggiornamenti arriveranno dai produttori dei dispositivi.

Attacchi e minacce

Convertr, skimmer nello script di analytics Plausible

Fonte: Sansec, BleepingComputer · 27 ottobre 2026

Dal 24 ottobre un gruppo brasiliano ha modificato il file del tracker Plausible ospitato da Convertr, piattaforma e-commerce che gestisce i checkout di decine di marchi di moda in Brasile, per rubare i dati delle carte. Secondo Sansec l'accesso iniziale sarebbe passato da CVE-2026-8467, un'esecuzione di comandi senza autenticazione nella versione Community Edition non aggiornata di Plausible. Lo script è stato rimosso il 27 ottobre.

Perché conta: uno script di analytics condiviso da molti negozi è un punto unico da cui colpirli tutti. Anche gli strumenti self-hosted vanno aggiornati come il resto dello stack.

Warp, fuga di log degli agenti attraverso un fornitore

Fonte: BleepingComputer · 27 ottobre 2026

Warp, l'ambiente di sviluppo agentico nato come terminale, comunica che attraverso un fornitore terzo della sua infrastruttura sono stati esposti i log delle decisioni degli agenti e dati di telemetria. Il CEO Zach Lloyd stima che sia stato colpito circa l'1% degli utenti, su una base dichiarata di almeno 800.000; l'azienda non ha chiarito se tra i dati ci fossero codice, prompt o credenziali.

Perché conta: i log degli agenti possono contenere pezzi di codice, percorsi e segreti passati nel terminale. Chi usa Warp farebbe bene a ruotare le chiavi usate di recente nelle sessioni con agenti.

Keystone distruggerà 18.835 wallet dopo il furto della chiave di verifica

Fonte: Keystone, The Hacker News · 26-27 ottobre 2026

Un attaccante entrato nel sito di Keystone ha ottenuto la chiave con cui i wallet hardware dimostrano di essere autentici: con quella si possono costruire dispositivi contraffatti che superano il controllo online. L'accesso è stato scoperto il 20 ottobre; l'azienda distruggerà i 18.835 dispositivi invenduti con la vecchia chiave e userà una chiave nuova. Frasi di recupero e chiavi private dei wallet non sono coinvolte.

Perché conta: chi ha ricevuto un Keystone dopo il 20 ottobre deve contattare l'assistenza prima di usarlo, perché l'azienda non può escludere che sia un falso.

L'Australia entra nel backend di Amadey e libera 180.000 PC

Fonte: The Hacker News, ABC News · 27 ottobre 2026

L'Australian Signals Directorate ha ottenuto l'accesso al backend di un criminale che usava il malware Amadey e ha scollegato il suo server di comando da 180.000 computer infetti nel mondo. Amadey è venduto come servizio dal 2018 e serve soprattutto a installare altro malware, come l'infostealer StealC.

Perché conta: i PC restano infetti, ma il criminale non li controlla più. È un esempio di operazione offensiva di un governo contro l'infrastruttura di un singolo cliente di un malware a noleggio.

Attacchi in Giappone con 44 agenti AI e CyberStrikeAI

Fonte: TrendAI, The Hacker News · 27 ottobre 2026

I ricercatori di TrendAI hanno analizzato tre server esposti usati per attacchi contro organizzazioni giapponesi, con strumenti di ricognizione, liste di bersagli, log e cronologie dei comandi. Si va da ambienti usati quasi a mano da operatori esperti a piattaforme in cui agenti AI automatizzano tutto il flusso, comando e controllo compreso; il primo caso usa CyberStrikeAI, uno strumento open source di penetration test.

Perché conta: dopo ARTEX in Corea del Sud, è un'altra conferma che strumenti di attacco basati su agenti sono già in uso contro bersagli reali.

Incidenti e fughe di dati

ENGIE, rubati dati di clienti francesi da uno strumento dei partner

Fonte: BleepingComputer · 27 ottobre 2026

Il gruppo energetico ENGIE conferma che gli attaccanti hanno sottratto dati di clienti in Francia entrando in uno strumento usato dai partner per la prospezione commerciale e la vendita di offerte. Secondo l'azienda sono coinvolti contatti e informazioni sui contratti, non dati bancari, e i sistemi interni non sono stati violati.

Perché conta: con questi dati arrivano email e telefonate di phishing molto credibili, che citano il contratto reale del cliente.

Denver Health, una chiave di un fornitore esposta per oltre un anno

Fonte: SecurityWeek · 27 ottobre 2026

Denver Health Medical Plan sta avvisando 238.083 iscritti: il fornitore SquareML aveva pubblicato per errore su un sito accessibile una chiave di accesso a un database con i loro dati personali e sanitari. La chiave è rimasta online dal 27 giugno 2025 al 18 agosto 2026; era in sola lettura.

Perché conta: una chiave dimenticata in un file pubblico resta valida finché nessuno la revoca. La scansione automatica dei segreti nei repository e nei siti serve proprio a questo.

Difese e strumenti

Windows, aggiornamenti fuori banda per non fidarsi più di eMudhra

Fonte: Microsoft, BleepingComputer · 26-27 ottobre 2026

Microsoft ha rilasciato KB5134133 per Windows 11 24H2, 25H2 e 26H2 e KB5134125 per Windows 10 21H2 e 22H2, che tolgono la fiducia ai certificati legati alle otto chiavi intermedie di eMudhra recuperabili quasi all'istante. Gli aggiornamenti servono ai sistemi senza accesso a internet o con l'aggiornamento automatico dell'elenco dei certificati attendibili disattivato.

Perché conta: i PC connessi ricevono già la modifica in automatico; vanno controllati quelli isolati, nelle reti industriali o con criteri di gruppo restrittivi.