In breve: le cinque notizie tech del 1 novembre 2026 partono da Android: un SMS di 8 byte, pubblicato con un proof of concept, fa crollare il servizio telefonico dei dispositivi non aggiornati, anche durante una chiamata di emergenza, e Android 12 e 13 non riceveranno la correzione. Chainalysis conferma un'intrusione condotta con "tecniche agentiche offensive", OpenAI riduce a 20 miliardi di dollari l'obiettivo del nuovo round e DeepSeek pubblica un agente di coding che lavora da solo su un repository GitHub. Hacktron racconta come una falla in GNU Savannah avrebbe permesso di inserire codice nel repository ufficiale di Bash.
Il filo di questa domenica è quanto poco basti. Un SMS di otto byte per spegnere il telefono di chiunque, un indirizzo email con un backtick per prendere il controllo della forge che ospita Bash e Coreutils, un link condiviso per leggere le conversazioni private di un utente ChatGPT. Sono tutti problemi già corretti o almeno documentati, ma mostrano che la superficie d'attacco più pericolosa resta quella dei componenti che tutti danno per scontati.
Gli agenti AI compaiono da entrambe le parti. Chainalysis dice di essere stata violata da un attaccante che usava agenti offensivi, l'infostealer VOLTA chiede a un modello linguistico quali vittime derubare per prime, e tre paper della settimana mostrano come si possano avvelenare i dati di addestramento o le skill degli agenti. Dall'altra parte DeepSeek mette in pubblico dsh-superagent, che apre pull request su richiesta del team cercando di consumare meno attenzione umana possibile, e Qwen Code limita a tre i tentativi automatici prima di passare la mano a una persona.
Sul fronte dei soldi, il round di OpenAI raccoglie meno del previsto nella settimana in cui i mercati hanno iniziato a dubitare della spesa per l'AI, e da dicembre ChatGPT e Codex condivideranno un'unica quota di utilizzo. Binance dice di aver coperto il 90% dei fondi rubati e punta a riaprire i prelievi oggi. Per chi sviluppa ci sono due aggiornamenti da non rimandare: Hono 4.13.16 chiude cinque falle, e Red Hat porta a critica la falla TCP del kernel Linux, che tocca anche i servizi Go con Multipath TCP attivo di default.
Le altre notizie sono nelle sezioni qui sotto. L'archivio è in Notizie tech e nei numeri precedenti, l'ultimo uscito è il numero del 31 ottobre. Prima di affidare un repository a un agente c'è la guida su come rivedere il codice scritto da un agente prima del merge, e per proteggere le chiavi che i ladri di credenziali cercano per prime quella su segreti, .env e chiavi API.
Le 5 notizie
Android: l'"SMS della morte" fa crollare i telefoni non aggiornati
Fonte: BleepingComputer · 31 ottobre 2026
Un SMS WAP Push di 8 byte con una lunghezza dell'intestazione non controllata fa andare in crash com.android.phone in uno o due secondi: la chiamata in corso cade, anche se è di emergenza, e una ventina di messaggi possono mandare il telefono in un ciclo di riavvii. La falla, CVE-2026-58882, è corretta nel bollettino Android di ottobre per le versioni dalla 14 alla 17, mentre Android 12 e 13 restano vulnerabili, e il proof of concept è pubblico.
Perché conta: basta conoscere il numero della vittima, senza alcuna sua azione. I dettagli sono nelle notizie cybersecurity di oggi.
Chainalysis violata con "tecniche agentiche offensive"
Fonte: Chainalysis · 30 ottobre 2026
La società di analisi blockchain usata da forze dell'ordine ed exchange ha rilevato a ottobre un attore esterno che ha usato agenti offensivi per entrare nei suoi sistemi e strumenti interni. Secondo BleepingComputer sono stati esposti ID, nomi, email e ruoli degli utenti; l'azienda dice di non avere prove di accessi alle indagini o alle credenziali, e che l'incidente non è legato al furto a Binance.
Perché conta: è uno dei primi casi in cui un'intrusione viene attribuita esplicitamente ad agenti AI. Il resto è nelle notizie cybersecurity di oggi.
OpenAI abbassa a 20 miliardi l'obiettivo del nuovo round
Fonte: TechCrunch · 31 ottobre 2026
Secondo il Financial Times OpenAI ha ridotto da 30 a 20 miliardi di dollari l'obiettivo del round, guidato da investitori degli Emirati Arabi Uniti, e la prima chiusura sarà ancora più bassa. Il Wall Street Journal parla di 11 miliardi raccolti finora e di una risposta "tiepida" da parte di alcuni grandi investitori.
Perché conta: arriva mentre i mercati iniziano a dubitare del ritorno della spesa per l'AI. Il resto è nelle notizie business di oggi.
DeepSeek pubblica dsh-superagent, un agente di coding proattivo
Fonte: GitHub, DeepSeek · 31 ottobre 2026
Il nuovo repository di DeepSeek contiene un agente che lavora su un singolo repository GitHub come pacchetto per DeepSeek Harness: ascolta GitHub e Feishu, apre un elemento di lavoro quando una persona autorizzata glielo chiede e risponde con una pull request, mentre un pannello web mostra cosa richiede l'intervento umano. È un prototipo di ricerca con licenza MIT, "non un prodotto ufficiale", e ha superato le 3.500 stelle in un giorno.
Perché conta: è il primo esempio pubblico di DeepSeek di agente che lavora in modo continuativo su un progetto. Il resto è nelle notizie AI di oggi.
Hacktron: come si poteva mettere una backdoor in Bash
Fonte: Hacktron · 31 ottobre 2026
Savane, il software di GNU Savannah, passava a un comando GPG gli indirizzi email con backtick e $: registrandosi con un indirizzo costruito ad arte si eseguiva codice sul server. I ricercatori sono diventati superuser, hanno impersonato il maintainer di Bash e verificato di poter aggiungere una chiave SSH con accesso in scrittura al repository ufficiale; la FSF, avvisata a maggio, ha corretto 26 vulnerabilità.
Perché conta: è lo scenario di xz applicato a Bash e Coreutils, su un'infrastruttura gestita da pochi volontari. Il resto è nelle notizie cybersecurity di oggi.
Le sezioni di oggi
- Notizie AI: dsh-superagent di DeepSeek, la quota unica di ChatGPT e Codex, Qwen Code 0.26.5, HackerTube di Karpathy, bootgpt, datasette-llm e cinque paper arXiv sulla sicurezza degli agenti e sulla cache KV
- Notizie sviluppo software: le cinque falle di Hono 4.13.16, Binder solo in Rust nel kernel, i wrapper mancanti di glibc, Jepsen su ParticleDB, la latenza della memoria, i ring buffer di Redox, cinque release e lo stato dei runtime
- Notizie cybersecurity: l'SMS della morte su Android, la falla TCP del kernel Linux, gli avvisi dello CSIRT Italia su Chrome, WS_FTP, Veeam e ServiceNow, VOLTA, GNU Savannah, Chainalysis, i link condivisi di ChatGPT e la condanna di Th3Pr0
- Business tech: il round di OpenAI, i fondi ricostituiti da Binance, Apple e l'AI secondo John Ternus, le linee guida di Amazon per gli sviluppatori, TikTok, la causa contro xAI e i limiti di spesa di Google Cloud
- Repo GitHub di tendenza: 13 repository, da Orkas, Orca e Paperclip a Handy, VoiceStudio e il robot microduck
Extra
Tool del giorno: Handy
Handy è un'app desktop gratuita e open source per la dettatura che funziona del tutto offline. Si tiene premuta una scorciatoia configurabile, si parla e il testo trascritto compare nel campo in cui si sta scrivendo, in qualsiasi applicazione; l'audio non lascia mai il computer. È scritta in Rust, ha licenza MIT ed è pensata per essere estesa: è comoda per dettare prompt lunghi a un agente di coding senza mandare la propria voce a un servizio esterno.
Concetto in 5 minuti: Multipath TCP
Multipath TCP, o MPTCP, è un'estensione di TCP che permette a una singola connessione di usare più percorsi di rete insieme, per esempio Wi-Fi e rete mobile su un telefono, aggiungendo e togliendo sottoflussi senza che l'applicazione se ne accorga. Serve per resistere ai cambi di rete e per sommare banda. Su Linux è nel kernel principale da anni e, dalla versione 1.24, Go lo attiva di default sui socket in ascolto, anche se il client si collega con TCP normale. Per questo la falla CVE-2026-98432, il cui exploit dimostrato usa un listener MPTCP, riguarda anche molti servizi Go: la soluzione è aggiornare il kernel, e nell'attesa si può disattivare MPTCP con GODEBUG=multipathtcp=0.
Agenda tech
- 1 novembre: Binance prevede di riattivare i prelievi
- 3 novembre: esce Fedora 45, arriva la release di sicurezza di Next.js e scade il bando NLnet per i progetti open source
- 4 novembre: Moonshot rilascia i pesi di Kimi K3.1 Pro
- 17-20 novembre: Microsoft Ignite 2026
- 30 novembre: Anthropic rimuove la modalità veloce di Opus 4.8
- Dicembre: ChatGPT e Codex passano a una quota di utilizzo unica; l'8 dicembre è prevista l'uscita di WordPress 7.2
Domande frequenti
01Quali sono le notizie tech principali del 1 novembre 2026?
L'SMS che fa crollare i telefoni Android non aggiornati, l'intrusione in Chainalysis con agenti offensivi, il round di OpenAI ridotto a 20 miliardi, l'agente proattivo dsh-superagent di DeepSeek e la falla di GNU Savannah che avrebbe permesso una backdoor in Bash.
02Come mi proteggo dall'SMS della morte su Android?
Installando la patch di sicurezza di ottobre 2026 su Android dalla 14 alla 17. Android 12 e 13 non riceveranno la correzione, quindi su quei dispositivi l'unica soluzione definitiva è passare a un telefono aggiornato.
03I dati dei clienti di Chainalysis sono stati rubati?
Secondo l'azienda sono stati esposti ID, nomi, email e ruoli degli utenti, ma non ci sono prove di accessi a indagini, risultati delle query, password in chiaro o token di sessione.
04Bash è stato compromesso?
No. Hacktron ha verificato di poter aggiungere una chiave con accesso in scrittura, ma ha segnalato tutto alla FSF l'11 maggio 2026, e le 26 vulnerabilità trovate sono state corrette.