Exploit di Anthropic e notizie cyber, 29 ottobre 2026

In breve: il 29 ottobre 2026 le notizie di cybersecurity partono da Anthropic, che descrive cinque catene di exploit scritte da un suo modello interno contro Chrome, Safari, Android, Windows e Linux, tutte già segnalate e corrette, con 62 CVE assegnate solo in Chrome. Dream documenta un attacco che ha unito PHP2Shell e la falla del kernel Fragnesia per prendere il controllo di 25 server, e la CISA mette Fragnesia e una falla di VMware ESX nel catalogo KEV. Lumen ricostruisce Silent Train, la rete di Volt Typhoon per attacchi zero-day, partono le scansioni contro Oracle E-Business Suite e Adobe corregge otto falle critiche in Campaign Classic. Ci sono anche EPICS, Virtualine, Sony, Alpine Linux e un paper sugli attacchi via MCP.

Dieci notizie e un paper usciti tra il 27 e il 28 ottobre, verificati sulle fonti originali. La correzione di Chrome 156 e la falla FileSystem trovata con Claude sono nelle notizie web e frontend di oggi, Gemini 4 Carbon nelle notizie AI. Le cinque principali della giornata sono nel numero di oggi, le altre sezioni in Notizie tech, l'archivio in Notizie cybersecurity e l'uscita precedente nelle notizie cybersecurity del 28 ottobre. Per PHP2Shell resta valida la guida su come controllare e aggiornare PHP.

Ricerca e vulnerabilità

Anthropic: un modello interno ha scritto exploit per Chrome, Safari, Android, Windows e Linux

Fonte: Anthropic · 28 ottobre 2026

Il Frontier Red Team racconta cinque catene costruite da un modello di ricerca non rilasciato: un'esecuzione di codice in Chrome con un solo clic che parte da una falla di V8 ed esce dalla sandbox, un aggiramento della same-origin policy in Safari che legge cronologia e cookie, l'aggiramento della schermata di blocco di Android per estrarre file via USB, un crash remoto di Windows attraverso l'implementazione QUIC del kernel e un'esecuzione di codice come root, senza interazione, sui server Linux con un listener multipath TCP. In Chrome sono state assegnate e corrette 62 CVE, tutte critiche o alte, tra cui 13 fughe dalla sandbox. Le divulgazioni seguono la regola dei 90 giorni per la correzione più 45 prima dei dettagli.

Perché conta: trovare e concatenare più falle fino a un exploit funzionante era lavoro per pochi gruppi specializzati. Ora lo fa un modello con poco intervento umano, e i tempi tra scoperta e attacco si accorciano anche per chi difende.

PHP2Shell e Fragnesia insieme per prendere il controllo di 25 server

Fonte: Dream, The Hacker News · 28 ottobre 2026

Il 25 ottobre i ricercatori di Dream hanno trovato gli strumenti di una campagna che combinava PHP2Shell (CVE-2026-109618 e CVE-2026-109619) con Fragnesia, la falla di escalation dei privilegi del kernel Linux CVE-2026-46300. Le vittime sono firewall di un grande produttore, che Dream non nomina, e tra i 25 server compromessi ci sono sistemi di un ambiente legato al governo statunitense. Da lì l'attaccante è passato ad Active Directory, con estrazione di credenziali ed enumerazione della directory, aiutato da circa 40 script di post-sfruttamento.

Perché conta: una console di gestione esposta su internet diventa la porta verso l'identità di tutta l'organizzazione. Su apparati con PHP integrato vale la pena chiedere al produttore lo stato delle patch.

La CISA aggiunge Fragnesia e VMware ESX al catalogo KEV

Fonte: CISA · 28 ottobre 2026

Entrano nel catalogo delle vulnerabilità sfruttate CVE-2026-46300, la mancata inizializzazione di una variabile nel kernel Linux nota come Fragnesia, e CVE-2026-41709, un problema di registrazione insufficiente in Broadcom VMware ESX. Per le agenzie federali americane scatta l'obbligo di correggere entro le scadenze del catalogo.

Perché conta: l'ingresso nel KEV conferma attacchi reali. Fragnesia è la stessa falla usata nella catena con PHP2Shell, quindi i kernel dei sistemi esposti vanno aggiornati insieme a PHP.

Silent Train, la rete di Volt Typhoon per gli attacchi zero-day

Fonte: Lumen Black Lotus Labs · 28 ottobre 2026

Black Lotus Labs segue dal 2023 Silent Train, una rete a più salti di dispositivi compromessi che il gruppo cinese Volt Typhoon fa ruotare di continuo, con tecniche anti-forensi e pulizia dopo ogni operazione. Con questo monitoraggio sono emerse almeno quattro vulnerabilità zero-day confermate e una probabile contro sistemi di gestione di reti e endpoint, orchestratori SD-WAN e infrastrutture di controllo. Nella rete sono finite più di 27 classi di dispositivi, dai router TP-Link e Netgear Orbi agli apparati Fortinet e ai server CyberPanel.

Perché conta: i sistemi con accesso amministrativo ampio sono il bersaglio preferito perché aprono tutta l'azienda. Ridurne l'esposizione su internet conta quanto applicare le patch.

Partono le scansioni contro la falla di Oracle E-Business Suite

Fonte: BleepingComputer · 28 ottobre 2026

CVE-2026-101767 colpisce l'Application Object Library di Oracle EBS e consente di prendere il controllo del sistema senza autenticazione, con un attacco a bassa complessità via HTTP. Oracle l'ha corretta con il Critical Patch Update del 20 ottobre; secondo Defused gli attaccanti stanno già cercando su internet i sistemi vulnerabili, e Shadowserver conta oltre 670 istanze esposte.

Perché conta: Dall'agosto 2025 EBS è stato colpito da campagne di estorsione, a partire da quella della gang Clop. Le installazioni raggiungibili da internet vanno aggiornate subito o tolte dall'esposizione.

Adobe corregge otto falle critiche in Campaign Classic

Fonte: The Hacker News · 28 ottobre 2026

Il bollettino APSB26-162 risolve otto vulnerabilità critiche nella piattaforma di marketing: quattro hanno punteggio CVSS 9,9, tra cui un'iniezione di codice (CVE-2026-104351), un'iniezione di comandi del sistema operativo (CVE-2026-104353) e un'autorizzazione errata che porta a esecuzione di codice (CVE-2026-105780). Le altre includono più SQL injection e un cross-site scripting riflesso.

Perché conta: Campaign Classic gestisce database clienti e invii massivi, quindi una compromissione espone dati personali su larga scala.

Quattro falle in EPICS Base, il software di controllo dei grandi laboratori

Fonte: CISA · 27 ottobre 2026

EPICS Base è il nucleo del toolkit open source usato per i sistemi di controllo di acceleratori di particelle ed esperimenti sulla fusione. Le versioni fino alla 7.0.10 hanno quattro vulnerabilità, la più grave delle quali, CVE-2026-114595 con CVSS 9,8, è un integer overflow nell'elaborazione delle richieste di rete che può corrompere la memoria e forse permettere l'esecuzione di codice. Le ha trovate Cipher, un sistema automatico di Causal Security; la correzione è nella 7.0.11.

Perché conta: i sistemi di controllo scientifici restano accesi per anni e raramente vengono aggiornati, quindi l'avviso serve a far partire la manutenzione.

Incidenti e operazioni

Sequestrato il dominio del bulletproof hosting Virtualine

Fonte: BleepingComputer, Dipartimento di Giustizia USA · 28 ottobre 2026

L'FBI ha sequestrato virtualine.net, servizio di hosting che prometteva protezione dalle richieste delle autorità e ammetteva phishing, spam, frodi con carte e scansioni. L'indagine ha coinvolto la polizia dell'Assia, quella olandese della regione Midden-Nederland e la National Crime Agency britannica, oltre a partner privati come Lumen. Il servizio operava anche come Secury, Massgod, Spamhouse, Lanedo e Omegatech.

Perché conta: colpire l'hosting toglie infrastruttura a molti gruppi in una volta, ma i servizi di questo tipo tendono a ricomparire con altri nomi.

Sony Network Communications, esposti 2,5 milioni di record

Fonte: BleepingComputer · 28 ottobre 2026

Il provider giapponese del gruppo Sony ha confermato un accesso non autorizzato al database dei clienti So-net, avvenuto il 19 ottobre e scoperto quattro giorni dopo. I record esposti sono 2.585.481, tra clienti So-net e plala, senza dati bancari o di carte; per altri 54.401 indirizzi email sono uscite anche le password, che l'azienda chiede di cambiare.

Perché conta: email e password insieme alimentano il credential stuffing su altri servizi, quindi chi riusa le password è a rischio anche fuori da So-net.

Alpine Linux ricostruisce il suo GitLab dopo un tentato attacco

Fonte: Alpine Linux · 28 ottobre 2026

Il 20 e 21 ottobre un attaccante ha provato a sfruttare la falla di GitLab CVE-2026-97229, con CVSS 10, sull'istanza del progetto, una settimana dopo l'uscita della correzione. Il bug sta nel motore di espressioni regolari di Ruby e la patch arriva solo con i pacchetti ufficiali di GitLab, quindi l'immagine di Alpine con Ruby standard è rimasta vulnerabile anche dopo l'aggiornamento. Non ci sono prove di successo, ma il team ha ricostruito l'istanza da zero; i controlli indicano che il repository aports, i pacchetti e le release del 21 ottobre non sono stati alterati. Tutte le password sono state azzerate.

Perché conta: chi gestisce GitLab con un'immagine propria deve verificare di avere la versione di Ruby corretta, non solo la versione di GitLab. Per chi usa le immagini container di Alpine conta la conferma che i pacchetti sono integri.

Paper da leggere

Log-To-Leak: rubare dati agli agenti attraverso MCP

Fonte: arXiv 2610.36108 · PDF

Le istruzioni nascoste nelle descrizioni degli strumenti MCP spingono l'agente a chiamare, dopo l'ultima azione legittima, uno strumento dell'attaccante che registra richiesta, risposte e nome del server. Su 18 coppie di modelli e server l'attacco riesce tra il 62,64% e il 100% dei casi, e tre difese provate su GitHub MCP con GPT-4o lasciano un successo sopra il 55%.

Perché conta: in 16 coppie su 18 il compito dell'utente cambia di pochi punti percentuali, quindi l'attacco non si nota dal risultato. Gli autori suggeriscono che sia l'host ad autorizzare le chiamate secondarie agli strumenti.