Furto a Binance e notizie cyber, 30 ottobre 2026

In breve: il 30 ottobre 2026 le notizie di cybersecurity partono da Binance, che indaga su un possibile furto fino a 5,8 miliardi di dollari in cripto, e da una nuova zero-day di Cisco ASA e FTD sfruttata per far riavviare i firewall con VPN SSL. La falla TCP del kernel Linux da 9,8 non ha ancora un kernel corretto su Ubuntu e RHEL, PHP2Shell colpisce le interfacce di gestione di Palo Alto e il gruppo UAT-11473 usa il malware KeyDrift sui controller SD-WAN. Ci sono anche le falle Embrace negli strumenti AI per sviluppatori, l'attacco alle issue di 61 repository GitHub, il ritorno del malware su Hugging Face, Telegram per Android e 26.400 credenziali valide su Gitee.

Diciotto notizie e un paper usciti tra il 28 e il 29 ottobre, dopo le notizie cybersecurity del 29 ottobre. Le cinque principali sono nel numero di oggi, il report DDoS di Cloudflare in Cloud e DevOps, l'archivio in Notizie tech. Per PHP2Shell c'è la guida su come controllare e aggiornare PHP, e per le chiavi lasciate nel codice quella su segreti, .env e chiavi API.

Falle e patch

Cisco ASA e FTD: zero-day sfruttata per riavviare i firewall

Fonte: BleepingComputer · 29 ottobre 2026

CVE-2026-76418 colpisce ASA e Firepower Threat Defense con la parola chiave webvpn nella configurazione e la VPN SSL attiva su almeno un'interfaccia: un errore logico con l'autenticazione secondaria su un tunnel group permette a un attaccante non autenticato di far riavviare il dispositivo. Nel suo avviso Cisco dice di aver visto sfruttamenti reali a ottobre, senza pubblicare indicatori di compromissione; Shadowserver conta oltre 51.000 ASA con VPN SSL esposti.

Perché conta: un firewall che si riavvia a comando interrompe le connessioni VPN di un'intera azienda, e in attesa della patch l'unica mitigazione indicata da BleepingComputer è disattivare l'autenticazione secondaria sui tunnel group.

Linux, falla TCP da 9,8: ancora nessun kernel corretto su Ubuntu e RHEL

Fonte: The Hacker News · 29 ottobre 2026

CVE-2026-98432 è una race condition nella creazione delle connessioni TCP IPv4 che porta a un use-after-free; il team CVE del kernel la valuta 9,8, mentre Red Hat, Amazon, Oracle e SUSE le danno tra 5,9 e 8,1. È la falla che il modello di Anthropic ha usato per ottenere root da remoto sui server con un listener multipath TCP. La correzione è nei rami stabili del kernel, ma al 29 ottobre Ubuntu e RHEL non avevano ancora rilasciato un kernel aggiornato.

Perché conta: chi usa MPTCP sui server esposti deve seguire gli avvisi della propria distribuzione, perché la patch upstream da sola non basta.

PHP2Shell sfruttata contro le interfacce di gestione Palo Alto

Fonte: Palo Alto Networks · 28 ottobre 2026

Palo Alto Networks ha aggiornato il suo avviso: CVE-2026-109618 e CVE-2026-109619, le falle di PHP corrette il 21 ottobre, vengono sfruttate contro interfacce di gestione esposte su Internet. Le versioni di PHP corrette sono 8.5.12, 8.4.27, 8.3.36 e 8.2.35, come riporta The Hacker News.

Perché conta: l'interfaccia di gestione di un firewall non dovrebbe mai essere raggiungibile da Internet, e questa campagna lo ricorda nel modo peggiore.

Embrace: falle in cinque strumenti AI per sviluppatori

Fonte: The Register · 29 ottobre 2026

Forever Security ha trovato falle in Cursor, GitHub Copilot, Claude Desktop, VS Code e Codex, tutte legate ai browser integrati che hanno più poteri di un browser normale. Hanno portato a esecuzione di codice in Cursor, furto di dati in Claude Desktop, Codex e VS Code e falsificazione della barra degli indirizzi in Copilot. Cursor ha corretto il 1° ottobre e GitHub con Copilot 1.1.29, mentre le falle di Codex e VS Code risultavano ancora aperte.

Perché conta: una pagina aperta nel browser dell'agente può diventare un'istruzione per l'agente stesso, e i normali modelli di minaccia del browser non bastano più.

Telegram per Android: codice eseguito rispondendo a una chiamata

Fonte: The Hacker News · 29 ottobre 2026

Secondo NebuSec, una falla presente dalle versioni 8.6.2 alla 12.10.3, combinata con una fuga di informazioni e un exploit di root per Android, permetteva di prendere il controllo del telefono quando la vittima rispondeva a una chiamata vocale. Bastava un normale account Telegram. La correzione è nella 12.10.4, uscita a fine settembre; la falla non aveva un CVE al 29 ottobre.

Perché conta: conviene controllare in Impostazioni di avere almeno la versione 12.10.4.

Veeam e Juniper correggono falle critiche

Fonte: SecurityWeek · 29 ottobre 2026

Veeam ha corretto nove falle, tra cui una critica in Backup for Microsoft 365 che permetteva di leggere e scrivere configurazioni di altri tenant ed eseguire codice. Juniper ha corretto 18 vulnerabilità in Session Smart Router e Conductor, due delle quali critiche con esecuzione di comandi senza autenticazione; nessuna risulta sfruttata.

Perché conta: i server di backup sono tra i primi bersagli dei ransomware, e un errore tra tenant colpisce più clienti insieme.

Attacchi e minacce

Binance indaga su un possibile furto fino a 5,8 miliardi

Fonte: BleepingComputer · 29 ottobre 2026

Binance sta indagando su un possibile attacco che potrebbe riguardare fino a 5,8 miliardi di dollari in cripto, molto più del miliardo e mezzo rubato a Bybit nel febbraio 2025. Tether e Circle hanno congelato oltre 2,3 miliardi legati all'incidente, e secondo TechCrunch l'exchange ha sospeso i prelievi su più reti. Binance sostiene che i fondi degli utenti sono al sicuro.

Perché conta: se confermato sarebbe il più grande furto di cripto mai registrato, e il congelamento rapido degli stablecoin mostra quanto quelle reti siano centralizzate.

UAT-11473 sfrutta Cisco SD-WAN per installare KeyDrift

Fonte: BleepingComputer · 29 ottobre 2026

Secondo Cisco Talos, il nuovo gruppo sfrutta CVE-2026-20127, il bypass dell'autenticazione nei controller Catalyst SD-WAN corretto a febbraio, per installare KeyDrift, un framework pensato per restare a lungo sui controller. I bersagli sono servizi spaziali e satellitari, difesa e aerospazio e centri studi; Talos vede sovrapposizioni con la rete Silent Train di Volt Typhoon, senza un legame certo.

Perché conta: una falla corretta da otto mesi continua a dare accesso a infrastrutture sensibili, segno che molti controller non sono stati aggiornati.

Issue GitHub usate per attaccare 61 repository in meno di un'ora

Fonte: The Register · 29 ottobre 2026

Radware ha individuato almeno 83 attacchi contro 61 repository pubblici, tra cui LangExtract di Google, Trivy, Brave e MLflow: 77 issue sono state aperte in 43 minuti il 1° settembre per attivare workflow vulnerabili, eseguire comandi nella CI e rubare credenziali e token.

Perché conta: un workflow che legge il testo delle issue senza filtrarlo può essere attivato da chiunque, in pochi secondi.

Torna la campagna di malware su Hugging Face

Fonte: BleepingComputer · 29 ottobre 2026

Pluto Security ha trovato 31 repository malevoli su sette account, travestiti da piccoli checkpoint di Qwen2, con oltre 32.000 download. Sfruttano l'opzione trust_remote_code per installare un miner sui server GPU con Xinference o GPUStack, e alcune versioni aprono una reverse shell.

Perché conta: abilitare trust_remote_code su un modello sconosciuto equivale a eseguire uno script scaricato da Internet.

App finte di ChatGPT e Claude distribuiscono miner

Fonte: The Hacker News · 29 ottobre 2026

Check Point descrive la campagna Yoba: progetti GitHub che si spacciano per app desktop di GPT-6 Astra o Claude Opus caricano il malware YobaLoader accanto a eseguibili firmati di OpenAI e Anthropic, con la tecnica del DLL sideloading, e lo spingono nei risultati di ricerca.

Perché conta: le app ufficiali si scaricano solo dai siti dei produttori, non da repository trovati con una ricerca.

Estensioni Chrome con 13,4 milioni di installazioni dirottano le ricerche

Fonte: BleepingComputer · 29 ottobre 2026

Socket ha individuato 319 estensioni, travestite da convertitori PDF, ricerca sicura o strumenti AI, che sostituiscono il motore di ricerca predefinito e passano ogni query per server di tracciamento prima di arrivare a Bing o Yahoo, incassando commissioni di affiliazione.

Perché conta: sono estensioni presenti nel Chrome Web Store, quindi l'origine ufficiale non basta a garantirne il comportamento.

Incidenti e fughe di dati

Polymarket ferma gli scambi dopo un attacco a un fornitore

Fonte: BleepingComputer · 29 ottobre 2026

Un fornitore terzo compromesso ha distribuito JavaScript che svuotava i portafogli, e circa 2,5 milioni di dollari sono stati tracciati verso l'attaccante. La piattaforma ha sospeso gli scambi per circa un'ora e promette di rimborsare chi è stato colpito.

Perché conta: uno script di terze parti caricato nella pagina ha lo stesso potere del codice del sito.

Fuga di dati su 41.000 dipendenti del DHS

Fonte: Ars Technica · 29 ottobre 2026

Distributed Denial of Secrets ha pubblicato l'archivio Icepick con email, telefoni e indirizzi di oltre 41.000 dipendenti e collaboratori del Department of Homeland Security e di sette agenzie collegate, compresi riferimenti a programmi sotto copertura. Secondo DDoSecrets i dati vengono dal sistema di login Okta del DHS; Okta dice di non risultare violata.

Perché conta: una mappa dell'organizzazione è materiale prezioso per campagne di phishing mirate.

Attacco informatico al fisco belga, scadenze rinviate

Fonte: The Register · 29 ottobre 2026

FOD Financiën ha spento MyMinfin e altri servizi online dopo un attacco; la scadenza del 31 ottobre per alcune dichiarazioni slitta al 16 novembre.

Perché conta: quando un servizio pubblico essenziale va offline, l'effetto ricade su scadenze e cittadini.

26.400 credenziali valide nei repository pubblici di Gitee

Fonte: MongoDB · 28 ottobre 2026

Ben Zimmermann ha analizzato 7,25 milioni di repository pubblici su Gitee con TruffleHog e Kingfisher, tenendo solo le credenziali che funzionavano: 26.400, guidate da 9.473 coppie di chiavi Alibaba Cloud. Ha avvisato i fornitori, ma non sa se le chiavi siano state revocate.

Perché conta: cancellare una chiave da un commit successivo non serve, perché resta nella storia del repository finché non viene revocata.

Difese e ricerca

Google Cloud VRP: nuova ricompensa da 250.000 dollari

Fonte: Google Cloud · 29 ottobre 2026

Il premio Root-in-Cloud va a chi dimostra il controllo amministrativo completo, equivalente a roles/owner, su organizzazioni o progetti Google Cloud arbitrari partendo senza alcun accesso.

Perché conta: Google premia di più le falle di isolamento tra clienti, le più gravi per un cloud pubblico.

Cisco rende open source Quarry

Fonte: SecurityWeek · 29 ottobre 2026

Quarry è un linguaggio di regole che combina giudizio dei modelli e controlli simbolici per riconoscere attacchi che emergono solo da una sequenza di azioni innocue di un agente, anche in conversazioni a più turni.

Perché conta: i controlli che valutano un'azione alla volta non vedono un attacco distribuito su dieci passi.

Le piattaforme di chat AI passano i prompt ai tracker

Fonte: arXiv 2610.37467 · PDF

Lo studio ha analizzato 42 chatbot generalisti, sanitari, legali ed educativi: 21 inviano i titoli delle conversazioni a tracker di terze parti e nove i prompt parola per parola, mentre diversi trasmettono anche l'email dell'utente.

Perché conta: quello che si scrive a un chatbot può finire agli script di analisi e pubblicità della stessa pagina.