PHP2Shell prima dell'embargo e notizie tech, 23 ottobre 2026

In breve: le cinque notizie tech del 23 ottobre 2026 partono da PHP2Shell: secondo Amazon il primo tentativo di sfruttamento risale al 17 ottobre, quattro giorni prima della divulgazione. Railway avverte che un intruso potrebbe aver letto le variabili d'ambiente dei clienti, LiteLLM ricostruisce come un token della GitHub CLI finito nei log ha aperto la strada al pacchetto malevolo, e Anthropic dona le Agent Skills alla Linux Foundation e mostra Claude alle prese con la verifica formale del codice.

Il filo del giorno sono i segreti. PHP2Shell era sotto embargo, eppure qualcuno lo stava già provando su un honeypot di AWS da un indirizzo anonimizzato; Railway, la piattaforma di hosting, dice che il suo caso fa parte di una serie di attacchi contro piattaforme usate dai provider di inferenza AI; LiteLLM spiega che un token OAuth della GitHub CLI di un proprietario dell'organizzazione è passato dai log di un servizio interno esposto su internet fino alle mani di chi ha pubblicato la versione compromessa. In tutti e tre i casi il problema non è una falla esotica, ma credenziali che vivono troppo a lungo e in troppi posti.

La risposta che esce dagli annunci di oggi va nella stessa direzione: Vercel fissa al 30 novembre la scadenza per i fornitori del suo Marketplace che usano ancora chiavi statiche, 1Password lancia un modo per far accedere gli agenti ai siti senza mostrare loro la password e NVIDIA porta OpenShell, il runtime che non consegna mai le credenziali vere agli agenti, tra i repository di tendenza.

Sul fronte AI, Anthropic sposta la governance delle Agent Skills nella Agentic AI Foundation e pubblica una ricerca in cui Claude, con Theorem, dimostra proprietà di sicurezza a livello di assembly in 123 librerie open source.

Il venerdì esce anche Cloud e DevOps, con AWS Continuum in GA e le scadenze di Vercel e Cloudflare. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 22 ottobre. Per capire cosa controllare sui server PHP resta la guida su PHP2Shell e come aggiornare, e per i segreti nei progetti quella sulle chiavi API e i file .env.

Le 5 notizie

PHP2Shell sfruttato quattro giorni prima della divulgazione

Fonte: AWS Security Blog · 22 ottobre 2026

Amazon Threat Intelligence ha trovato nella telemetria di MadPot, la sua rete di honeypot, un tentativo di sfruttamento di CVE-2026-109618 e CVE-2026-109619 datato 17 ottobre, partito da un indirizzo di una rete di anonimizzazione commerciale. L'embargo cadeva il 21 ottobre alle 14:00 UTC, ma i primi exploit dimostrativi sono comparsi verso le 02:00 UTC dello stesso giorno, seguiti da altri tentativi da infrastrutture diverse. Secondo The Register 32 servizi del governo britannico sono offline e quattro funzionano in parte.

Perché conta: AWS consiglia di far partire le indagini dal 17 ottobre e non dalla data della patch. Chi ha server PHP esposti deve cercare tracce nei log di tutta la settimana; gli aggiornamenti sugli exploit sono nelle notizie cybersecurity di oggi.

Railway: un intruso potrebbe aver letto le variabili d'ambiente dei clienti

Fonte: Railway · 21 ottobre 2026

Railway ha rilevato attività anomale sui sistemi che conservano le variabili d'ambiente dei clienti: una terza parte potrebbe aver avuto accesso a quelle cifrate e, per alcune, al contenuto in chiaro. L'azienda raccomanda a tutti di ruotare subito le variabili, comprese chiavi API e credenziali dei registry privati, e ha avvisato i provider a monte perché revochino le chiavi. Secondo Railway l'episodio fa parte di una serie di attacchi contro piattaforme con l'obiettivo di colpire i provider di inferenza AI.

Perché conta: le variabili d'ambiente di un servizio in hosting contengono quasi sempre le chiavi più preziose del progetto. Chi usa Railway deve ruotarle anche se non ha ricevuto avvisi, perché l'analisi sull'impatto non è chiusa.

LiteLLM: il token rubato veniva dai log di un servizio interno esposto

Fonte: LiteLLM · 22 ottobre 2026

Nell'aggiornamento sull'incidente LiteLLM scrive che il pacchetto malevolo è rimasto su PyPI dalle 11:39 alle 13:23 UTC del 21 ottobre e le immagini Docker compromesse dalle 11:46 alle 14:20 UTC. Secondo l'analisi, Claude Code può includere il token OAuth della GitHub CLI di un utente nel corpo di una risposta, e questi token sono finiti nei log di un deployment interno di LiteLLM raggiungibile da internet, dove c'era un account sospetto. Uno dei token apparteneva a un proprietario dell'organizzazione ed è stato usato per disattivare la protezione del branch e fare un force push.

Perché conta: è la dimostrazione di quanto valga un token di sviluppo: un log dimenticato è bastato per arrivare alla pipeline di rilascio. Conviene controllare cosa finisce nei log dei proxy verso i modelli e accorciare la vita dei token.

Anthropic dona le Agent Skills alla Agentic AI Foundation

Fonte: Anthropic · 22 ottobre 2026

Anthropic trasferisce lo standard Agent Skills alla Agentic AI Foundation della Linux Foundation, con nome, logo, organizzazione GitHub e sito agentskills.io. Secondo l'annuncio le skill sono supportate da oltre 70 piattaforme, ne sono state pubblicate un milione e contano circa 280 milioni di installazioni. I responsabili del progetto saranno David Soria Parra e Mahesh Murag, e nella roadmap ci sono release con versione, un processo per le proposte e linee guida di sicurezza.

Perché conta: chi scrive skill per Claude Code, Codex o altri agenti ora lavora su uno standard con una governance neutrale, come già successo per MCP. Il resto delle notizie sui modelli è nelle notizie AI di oggi.

Claude e la verifica formale: proprietà di sicurezza dimostrate in 123 librerie

Fonte: Anthropic · 22 ottobre 2026

Anthropic racconta un lavoro con Theorem in cui Claude ha dimostrato proprietà di sicurezza a livello di assembly RISC-V in 123 librerie open source: sotto le ipotesi dichiarate, nessun crash e nessun errore di sicurezza della memoria per input sotto i 64 MB. Tra gli esempi ci sono una specifica di zlib secondo la RFC 1950 per il kernel Linux e un interprete Python scritto in Rust e verificato con Verus. Theorem pubblicherà una skill per Claude.

Perché conta: la verifica formale finora costava troppo per la maggior parte dei progetti. Se i modelli abbassano quel costo, le librerie critiche possono avere garanzie dimostrate e non solo test.

Le sezioni di oggi

• Notizie AI: Agent Skills alla Linux Foundation, verifica formale con Claude, Decisions API di OpenAI, Claude su Google Cloud gestito da Anthropic, GLM 5.3 Flash su Mistral, Cohere, MAI-DxO e quattro paper arXiv
• Notizie sviluppo software: Bun 1.4.4 con bun fmt, metriche Copilot per skill e MCP, policy predefinita di Copilot, Prisma 8 rc.20, pnpm 11.28.8 e sei release
• Notizie cybersecurity: PHP2Shell prima della divulgazione, Railway, LiteLLM, VeloCloud, ksmbd, OpenCode, QPACK, Storm-0940, eMudhra e le patch di Oracle e Cisco
• Business tech: il nuovo round di OpenAI, la chiusura di Arc, Quad9 lascia la Francia, Etsy contro le inserzioni AI, PC in calo, App Store e IBM
• Repo GitHub di tendenza: 13 repository, da Taste Skill a OpenShell di NVIDIA
• Cloud e DevOps: AWS Continuum, rollback di CloudFormation, AgentCore Gateway, Vercel contro le chiavi statiche, Agent Compute Engine, Cloudflare e Terraform 1.17

Extra

Tool del giorno: OpenAI CLI

openai/openai-cli è la riga di comando ufficiale per l'API REST di OpenAI, scritta in Go con licenza Apache 2.0: dal terminale o da uno script si generano immagini, si caricano file, si inviano batch e si leggono i risultati in JSON senza scrivere un'applicazione. Tra il 21 e il 23 ottobre sono uscite le versioni dalla 1.40.1 alla 1.40.5 ed è finita in prima pagina su Hacker News. Per lavorare sul codice OpenAI indica invece Codex CLI. La chiave API resta nell'ambiente, quindi vale la stessa attenzione che si usa per ogni segreto in CI.

Concetto in 5 minuti: l'amplificazione QPACK in HTTP/3

HTTP/3 comprime le intestazioni con QPACK: client e server tengono una tabella dinamica di intestazioni già viste, e una richiesta può citarle con un riferimento corto invece di ripeterle. Il vantaggio è che pochi byte in rete diventano molte intestazioni lato server. Il rischio è lo stesso visto al contrario: se il server non limita quanta memoria può occupare la versione decompressa, un attaccante manda richieste minuscole che si espandono in blocchi enormi. FoxIO ha mostrato che sette implementazioni su dieci erano vulnerabili, con amplificazioni fino a 4.000 volte. Non porta a eseguire codice, ma basta a far cadere un server: per questo conviene aggiornare quic-go, quiche, lsquic e le librerie che le includono.

Agenda tech

• 26 ottobre: termina il rilascio graduale della policy predefinita per le funzioni di Copilot
• 23 novembre: Arc Search perde le funzioni AI, in vista della chiusura di Arc il 22 dicembre
• 24 novembre: Quad9 smette di offrire il servizio agli utenti in Francia
• 30 novembre: Vercel segnala come non sicuri i fornitori del Marketplace che usano solo credenziali statiche