SMS della morte su Android: notizie cyber, 1 novembre 2026

In breve: il 1 novembre 2026 le notizie di cybersecurity partono da Android: un SMS di 8 byte può far crollare il servizio telefonico dei dispositivi non aggiornati, chiamate di emergenza comprese, e Android 12 e 13 non riceveranno la correzione. Chainalysis conferma un'intrusione condotta con "tecniche agentiche offensive", Parameter racconta come un link condiviso di ChatGPT bastava a prendere il controllo di un account, e Hacktron spiega come avrebbe potuto inserire codice nel repository ufficiale di Bash. Red Hat alza a critica la falla TCP del kernel Linux, mentre lo CSIRT Italia segnala aggiornamenti per Chrome, WS_FTP, Veeam e ServiceNow.

Undici notizie tra il 29 ottobre e il 1 novembre, dopo le notizie cybersecurity del 31 ottobre. Le cinque principali sono nel numero di oggi, l'archivio in Notizie cybersecurity e in Notizie tech. Per le chiavi che un attacco come quello di VOLTA cerca per prime c'è la guida su segreti, .env e chiavi API, e per un controllo generale prima del lancio la checklist per portare in produzione un sito vibe coded.

Falle e patch

Android: l'"SMS della morte" fa crollare i telefoni non aggiornati

Fonte: BleepingComputer · 31 ottobre 2026

Il ricercatore Mark Blah ha pubblicato un proof of concept per CVE-2026-58882: un SMS WAP Push di 8 byte con una lunghezza dell'intestazione non controllata provoca una NegativeArraySizeException in WapPushOverSms.decodeWapPdu, che nessuno gestisce, e chiude com.android.phone in uno o due secondi. La chiamata in corso cade, anche se è una chiamata di emergenza, e una ventina di messaggi possono mandare il telefono in un ciclo di riavvii. La falla è corretta nel bollettino Android di ottobre per Android 14, 15, 16 e 17, mentre Android 12 e 13 restano vulnerabili.

Perché conta: l'attacco non richiede alcuna azione della vittima, basta conoscerne il numero. Chi ha telefoni aziendali con Android 12 o 13 non avrà una patch e deve valutare la sostituzione.

Red Hat alza a critica la falla TCP del kernel Linux

Fonte: Red Hat · 30 ottobre 2026

CVE-2026-98432 è un use-after-free nel codice IPv4 del kernel: una corsa critica durante l'elaborazione delle richieste di connessione TCP può portare all'esecuzione di codice da remoto, senza credenziali né interazione dell'utente. Red Hat l'ha portata a gravità critica con un bollettino dedicato, e sulla lista oss-security il Go Security Team ricorda che dalla versione 1.24 i programmi Go aprono di default listener Multipath TCP su Linux, la configurazione usata nell'exploit dimostrato; si può disattivare con GODEBUG=multipathtcp=0. Le correzioni sono nei kernel stable 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 e 7.2.10, ma secondo Atlasum Ubuntu e RHEL al 31 ottobre non avevano ancora pacchetti corretti.

Perché conta: TCP è ovunque, quindi la superficie è enorme. Chi gestisce server Linux dovrebbe aggiornare il kernel appena possibile e, nel frattempo, disattivare MPTCP nei servizi Go esposti.

Chrome 156: 21 vulnerabilità corrette, una critica

Fonte: CSIRT Italia (ACN) · 30 ottobre 2026

Lo CSIRT Italia segnala l'aggiornamento stabile di Chrome del 29 ottobre, che corregge 21 vulnerabilità, una critica e 19 alte. Sono interessate le versioni precedenti alla 156.0.8078.79/.80 per Windows e Mac e alla 156.0.8078.79 per Linux.

Perché conta: il browser è la porta d'ingresso più comune; conviene controllare che l'aggiornamento automatico sia arrivato davvero, soprattutto sui computer gestiti.

WS_FTP Server: sei falle critiche da correggere

Fonte: CSIRT Italia (ACN) · 30 ottobre 2026

Progress ha corretto nove vulnerabilità in WS_FTP Server, sei critiche e tre alte, che interessano la versione 2025.0.3 (10.0.3) e precedenti e la 2024.0.6 (9.0.6) e precedenti. Lo CSIRT Italia rimanda al bollettino del vendor e ricorda che per le versioni non più supportate non arriveranno patch né workaround.

Perché conta: i server di trasferimento file sono un bersaglio classico dei gruppi ransomware, e WS_FTP ci è già passato in passato.

Veeam Management Pack: esecuzione di codice senza autenticazione

Fonte: CSIRT Italia (ACN) · 30 ottobre 2026

Veeam ha corretto una vulnerabilità critica e due alte nel Management Pack per Microsoft System Center, che potrebbero permettere l'esecuzione di codice da remoto senza autenticazione. Per la linea 9.x, fino alla 9.1, non è prevista alcuna patch: secondo il bollettino di Veeam bisogna passare alla release 13.1.0.334.

Perché conta: chi usa ancora la versione 9 non ha un aggiornamento minore da installare, deve pianificare il salto di versione.

ServiceNow: un utente autenticato può uscire dall'isolamento

Fonte: CSIRT Italia (ACN) · 30 ottobre 2026

Lo CSIRT Italia segnala tre vulnerabilità nella ServiceNow AI Platform, una critica e una alta, con cui un utente autenticato potrebbe superare l'isolamento ed eseguire codice sull'host. Sono interessate le release Yokohama prima della Patch 13 Hotfix 4a, Zurich prima della Patch 10 Hotfix 3b e Australia prima della Patch 5, come indicato nel bollettino di ServiceNow.

Perché conta: chi ha istanze self-hosted deve applicare le hotfix; le istanze in cloud vengono aggiornate da ServiceNow, ma conviene verificarlo.

Attacchi e minacce

VOLTA, l'infostealer che chiede a un LLM quanto vale la vittima

Fonte: Cisco Talos · 31 ottobre 2026

VOLTA è un infostealer per Windows che, dopo aver rubato password, cookie, carte di pagamento, wallet di criptovalute, token OAuth Microsoft e chiavi SSH e cloud, impacchetta le prove sulla vittima e le invia a un LLM attraverso OpenRouter perché ordini i beni per valore economico. Se il modello si rifiuta, passa a una catena di tre modelli alternativi, poi si cancella da solo e non usa infrastruttura propria dell'attaccante.

Perché conta: l'AI qui non scrive il malware ma fa il lavoro dell'analista, scegliendo chi derubare per primo. Le chiavi cloud e SSH sulle macchine di sviluppo diventano il bottino più prezioso.

Hacktron: come si poteva mettere una backdoor in Bash

Fonte: Hacktron · 31 ottobre 2026

Hacktron ha scoperto che Savane, il software di GNU Savannah, accettava indirizzi email con backtick e $ e li passava a un comando GPG: bastava registrarsi con un indirizzo costruito ad arte per eseguire codice sul server. Da lì i ricercatori sono diventati superuser, hanno impersonato il maintainer di Bash e verificato di poter aggiungere una chiave SSH con accesso in scrittura al repository ufficiale; un kernel non aggiornato ha dato loro anche root e l'accesso a un server di backup GNU. La segnalazione alla FSF risale all'11 maggio 2026, con 26 vulnerabilità confermate in tutto e ora corrette, come riporta anche LWN.

Perché conta: è lo scenario di xz applicato a Bash e Coreutils, installati su milioni di macchine. Mostra quanto dipenda da infrastrutture gestite da pochi volontari.

Incidenti e fughe di dati

Chainalysis violata con "tecniche agentiche offensive"

Fonte: Chainalysis · 30 ottobre 2026

Chainalysis, la società di analisi blockchain usata da forze dell'ordine e exchange, ha rilevato a ottobre un attore esterno che ha usato tecniche agentiche offensive per entrare nei suoi sistemi e strumenti interni. Secondo BleepingComputer sono stati esposti ID, nomi, email e ruoli degli utenti, mentre l'azienda dice di non avere prove di accessi a indagini, risultati delle query, credenziali o token di sessione. L'incidente non è collegato al furto a Binance.

Perché conta: è uno dei primi casi in cui un'azienda di sicurezza attribuisce esplicitamente un'intrusione ad agenti AI offensivi. I nomi e le email esposti sono materiale ideale per phishing mirato contro investigatori.

Bastava un link condiviso di ChatGPT per prendere l'account

Fonte: Parameter · 28 ottobre 2026

I ricercatori di Parameter hanno trovato il modo di trasformare una normale conversazione condivisa di ChatGPT in JavaScript controllato dall'attaccante, eseguito come chatgpt.com nella sessione di chi apriva il link. Superando sandbox e content security policy dell'anteprima HTML, il codice poteva elencare le conversazioni della vittima, leggerne una privata e inviarla a un server esterno. Secondo The Hacker News la falla è stata segnalata il 18 ottobre e corretta da OpenAI il 26.

Perché conta: la vittima non doveva fare nulla oltre ad aprire un link. Le funzioni che eseguono codice generato dall'AI dentro la pagina sono una superficie d'attacco nuova e delicata.

42 mesi di carcere per un hacker della Syrian Electronic Army

Fonte: SecurityWeek · 31 ottobre 2026

Ahmad Umar Agha, noto come Th3Pr0, è stato condannato da un tribunale federale della Virginia a 42 mesi di carcere, oltre dodici anni dopo la prima accusa. Secondo il Dipartimento di Giustizia ha compromesso circa 47 obiettivi tra testate, aziende, ONG ed enti pubblici, compreso l'account Twitter di Associated Press nel 2013, quando un falso annuncio su un attentato alla Casa Bianca bruciò per pochi minuti circa 136 miliardi di dollari in Borsa.

Perché conta: è un promemoria su quanto pesi un singolo account social compromesso, e sui tempi lunghi della giustizia internazionale.