In breve: il 31 ottobre 2026 le notizie di cybersecurity partono da Binance: il furto record da 6,3 miliardi di dollari è partito dal portatile compromesso di un ingegnere DevOps, e TRM Labs lo attribuisce al gruppo nordcoreano TraderTraitor. Nel marketplace di Cursor è finita per alcune ore una versione modificata dell'estensione Claude Code che installava una backdoor SSH, mentre la CISA aggiunge al catalogo KEV altre due falle di Ivanti Connect Secure e Drupal avvisa di attacchi a Commerce Core. Seguono WordPress 7.1.4, TeamViewer per macOS, un Trezor con impianto hardware, l'incidente di Northflank, il ransomware n0n costruito con un agente AI e le API Connections di Azure.
Undici notizie verificate sulle fonti originali, dopo le notizie cybersecurity del 30 ottobre. Le notizie sui modelli sono nelle notizie AI di oggi, le cinque principali nel numero di oggi e l'archivio in Notizie tech. Per gestire bene le chiavi API che finiscono nelle variabili d'ambiente c'è la guida su segreti, .env e chiavi API nei progetti vibe coded, e per i pacchetti sospetti quella sulle dipendenze inventate dall'AI.
Falle e patch
La CISA aggiunge due falle di Ivanti Connect Secure al catalogo KEV
Fonte: CISA · 30 ottobre 2026
CVE-2026-111357, un'escalation di privilegi fino a root, e CVE-2026-118527, che permette di caricare file in una posizione nota del disco, sono sfruttate attivamente. Secondo l'avviso aggiornato della CISA vengono concatenate con l'aggiramento dell'autenticazione CVE-2026-104935 per eseguire comandi da remoto senza credenziali; le versioni corrette sono 25.1.1.3 e 22.8R2.6. Volexity aveva descritto la catena il 13 ottobre, con furti di credenziali Active Directory e chiavi BitLocker.
Perché conta: chi ha un VPN Ivanti esposto deve aggiornare e cercare tracce di compromissione con analisi di rete e memoria, perché l'Integrity Checker potrebbe non vedere i comandi eseguiti in memoria.
Drupal Commerce Core: falla critica già sfruttata
Fonte: BleepingComputer · 30 ottobre 2026
CVE-2026-118539 è una mancanza di controllo dei permessi sfruttabile senza autenticazione nel modulo Commerce Core, usato per i negozi online su Drupal. L'avviso del team di sicurezza chiede di passare a Commerce Core 3.3.13, o 8.x-2.41 per i rami più vecchi, e di controllare gli ordini alla ricerca di anomalie; pochi giorni dopo la CISA l'ha aggiunta al catalogo KEV.
Perché conta: riguarda direttamente pagamenti e ordini, e gli attacchi sono già in corso.
WordPress 7.1.4 corregge una falla RCE durante l'aggiornamento
Fonte: WordPress.org · 28 ottobre 2026
La release di sicurezza corregge un punto debole del processo di aggiornamento che può portare all'esecuzione di codice da remoto, più diversi XSS memorizzati e uno nell'Interactivity API. Secondo The Hacker News la falla RCE, senza CVE e con CVSS 8,1, riguarda le versioni dalla 4.7 alla 7.1.3; la prossima major, WordPress 7.2, è prevista per l'8 dicembre.
Perché conta: con milioni di siti, una falla che tocca dieci anni di versioni va chiusa subito, anche dove gli aggiornamenti automatici sono disattivati.
TeamViewer per macOS: tre falle di escalation dei privilegi
Fonte: TeamViewer Trust Center · 30 ottobre 2026
Il bollettino TV-2026-1011 descrive CVE-2026-111585, CVE-2026-92372 e CVE-2026-92374 nell'helper privilegiato di TeamViewer per macOS, sfruttabili con condizioni di gara e collegamenti simbolici per ottenere privilegi più alti. Sono corrette dalla versione 15.83 e TeamViewer non ha notizia di sfruttamento.
Perché conta: TeamViewer è installato su moltissimi Mac aziendali, e un'escalation locale è spesso il secondo passo dopo un accesso iniziale.
Attacchi e minacce
Versione malevola dell'estensione Claude Code nel marketplace di Cursor
Fonte: Cursor · 29 ottobre 2026
Tra le 2:27 e le 13:35 ora del Pacifico del 29 ottobre, il marketplace di estensioni di Cursor ha distribuito le versioni 2.1.312 e 2.1.313 di Anthropic.claude-code per Windows e macOS, modificate da terzi. L'estensione raccoglieva dati su macchina e utente, aggiungeva una chiave SSH dell'attaccante, installava un meccanismo di persistenza e provava ad aprire un tunnel SSH inverso, che di solito falliva senza privilegi di amministratore. Cursor ha rimosso le versioni, chiuso temporaneamente il marketplace e fatto spegnere il server dell'attaccante; Phorion ha analizzato il codice e Anthropic ha detto a The Register di non essere la fonte della compromissione.
Perché conta: aggiornare l'estensione non basta, perché chiave SSH e persistenza restano: chi l'ha installata deve seguire i passi di pulizia di Cursor.
Trezor: impianto hardware in un Safe 5 venduto da CryptoBilis
Fonte: Trezor · 30 ottobre 2026
Trezor ha ricevuto una segnalazione, ritenuta credibile, su un impianto hardware in un Trezor Safe 5 comprato da CryptoBilis, rivenditore ufficiale nel Sud-est asiatico fino a ottobre 2026. Chi ha comprato da CryptoBilis da marzo 2026 in poi deve spostare i fondi su un nuovo wallet con un nuovo seed; Trezor non ha ancora ricevuto il dispositivo.
Perché conta: è un attacco alla catena di distribuzione fisica, che nessun aggiornamento del firmware può correggere.
n0n, il ransomware scritto con un agente AI
Fonte: SOCRadar · 30 ottobre 2026
Un server di staging esposto di un operatore n0n conteneva 1.719 file, tra cui 829 script e i sorgenti di cinque cifratori, e l'ambiente di un agente di coding con oltre 7.000 dollari di consumi di API di LLM. Il gruppo ha colpito almeno 23 organizzazioni in 14 paesi tra il 17 settembre e il 22 ottobre, sempre con credenziali valide e mai sfruttando vulnerabilità.
Perché conta: gli agenti abbassano il costo di scrivere malware, ma l'accesso iniziale resta il furto di credenziali, ed è lì che si difende.
Incidenti e fughe di dati
Binance: il furto da 6,3 miliardi è partito dal portatile di un DevOps
Fonte: BleepingComputer · 30 ottobre 2026
Secondo l'indagine preliminare di Binance, gli attaccanti hanno compromesso il portatile di un ingegnere DevOps, sono arrivati a un container di servizio e da lì hanno inviato prelievi non autorizzati, senza che risultino chiavi private rubate. Secondo TechCrunch, TRM Labs attribuisce il colpo al gruppo nordcoreano TraderTraitor, già responsabile del furto da 1,4 miliardi a Bybit nel 2025; circa 3 miliardi sono stati congelati e Binance copre le perdite degli utenti con il fondo SAFU.
Perché conta: è il più grande furto di criptovalute di sempre e non è passato da una chiave rubata ma dall'accesso di un dipendente all'infrastruttura interna.
Northflank: variabili d'ambiente da considerare compromesse
Fonte: pagina di stato di Northflank · 30-31 ottobre 2026
Alle 14:58 ora italiana del 30 ottobre la piattaforma di deploy ha chiesto ai clienti di considerare decifrate tutte le variabili d'ambiente e di ruotare ogni chiave. In serata diversi utenti hanno segnalato l'uso non autorizzato delle chiavi API di AI caricate sulla piattaforma, e Northflank cita indirizzi simili a quelli del rapporto "Black October" di Wiz; il 31 ottobre ha attivato i log di audit per tutti i clienti.
Perché conta: le chiavi di AI sono diventate un bersaglio redditizio, e chi le tiene su una piattaforma PaaS deve poterle ruotare in pochi minuti.
Difese e ricerca
Azure Logic Apps: cinque compromissioni complete tra tenant
Fonte: Binary Security · 30 ottobre 2026
I ricercatori descrivono cinque modi in cui le API Connections di Azure Logic Apps permettevano di compromettere connessioni di altri clienti, con accesso a Key Vault, database Azure SQL e servizi esterni come Jira o Salesforce. Le segnalazioni hanno ottenuto da Microsoft 200.000 dollari di ricompense.
Perché conta: mostra quanto sia delicato un servizio che conserva credenziali per conto di molti tenant, e vale la pena rivedere quali connessioni si tengono attive.
Cloudflare misura chi accetta ancora le chiavi deboli di eMudhra
Fonte: Cloudflare Blog · 30 ottobre 2026
Una settimana dopo la scoperta delle chiavi intermedie deboli di eMudhra, Cloudflare ha visto circa 22.000 tentativi di handshake con quelle chiavi, per due terzi verso siti di test. I browser moderni aggiornati sono per lo più protetti, mentre bot, browser vecchi e il 30-40% delle Android WebView accettano ancora i certificati.
Perché conta: le app che usano WebView o client HTTP propri possono restare esposte anche dopo le correzioni di browser e sistemi operativi.
Domande frequenti
01Quali sono le notizie di cybersecurity principali del 31 ottobre 2026?
L'origine del furto a Binance, l'estensione Claude Code malevola nel marketplace di Cursor, due falle Ivanti nel catalogo KEV, Drupal Commerce Core, WordPress 7.1.4, TeamViewer per macOS, il Trezor con impianto, Northflank, il ransomware n0n e Azure Logic Apps.
02Cosa devo fare se ho installato l'estensione Claude Code da Cursor il 29 ottobre?
Controllare se si avevano le versioni 2.1.312 o 2.1.313, rimuovere la chiave SSH aggiunta in authorized_keys e il meccanismo di persistenza seguendo i passi di Cursor, e ruotare le credenziali presenti sulla macchina.
03Quali versioni di Ivanti Connect Secure sono sicure?
Le versioni 25.1.1.3 e 22.8R2.6 correggono la catena di falle; la CISA raccomanda anche analisi di rete e memoria per capire se c'è stata una compromissione.
04Cosa devo fare se uso Northflank?
Ruotare subito tutte le chiavi e i segreti salvati come variabili d'ambiente, revocare quelli vecchi presso chi li ha emessi e controllare consumi e fatture dei fornitori di AI.