Tech Flash Daily (2 novembre2026): patch urgente per WordPress, aggiornate subito alla 7.1.4

Il weekend di Ognissanti non ha fermato gli attaccanti: una falla nel motore di aggiornamento di WordPress è già sotto attacco, e CISA ha aggiunto al catalogo delle vulnerabilità sfruttate due nuovi bug di Ivanti Connect Secure. Oggi vediamo cosa aggiornare per primo, dal sito aziendale al server Linux, fino allo smartphone Android in tasca.

Avvisi di sicurezza

Tre falle sono già sfruttate attivamente: vanno corrette per prime.

WordPress 7.1.4: la falla negli aggiornamenti è già sotto attacco

Il 28 ottobre WordPress ha pubblicato la 7.1.4, una release di sola sicurezza. Il bug più serio riguarda gli aggiornamenti completi del core: durante l'installazione i file vengono scompattati in percorsi prevedibili sotto wp-content/upgrade, e chi è abbastanza veloce può eseguire codice da remoto senza autenticarsi (CVSS 8.1). Sono coinvolte tutte le versioni dalla 4.7 alla 7.1.3. La finestra dura pochi secondi, ma Wordfence ha bloccato quasi 63.000 tentativi in 24 ore. La release corregge anche diversi XSS memorizzati e una fuga di dati del Customizer.

Perché conta: WordPress alimenta una grossa fetta dei siti di PMI, associazioni ed enti. Aggiornate alla 7.1.4 e controllate i log per richieste sospette verso file PHP in wp-content/upgrade.

Fonti: WordPress.org, The Hacker News

Ivanti Connect Secure: due nuove falle nel catalogo KEV

Venerdì 30 ottobre CISA ha inserito nel catalogo delle vulnerabilità sfruttate (KEV) due bug delle VPN Ivanti Connect Secure: CVE-2026-111357 (CVSS 8.8, escalation dei privilegi) e CVE-2026-118527 (CVSS 4.3, caricamento di file in una posizione nota). Concatenate con il bypass di autenticazione CVE-2026-104935, già nel KEV da metà ottobre, permettono di ottenere i privilegi di root senza credenziali. Secondo Volexity il gruppo UTA0576 le ha usate per rubare credenziali e cercare password di amministratore e chiavi di ripristino BitLocker.

Perché conta: molte aziende e PA italiane usano queste VPN. Aggiornate a 25.1.1.3 o 22.8R2.6 e cercate segni di compromissione.

Fonti: CISA, Ivanti, The Hacker News

Drupal Commerce: bypass delle autorizzazioni sfruttato in rete

Il team di sicurezza di Drupal segnala attacchi in corso contro CVE-2026-118539, una falla del modulo Commerce Core classificata "altamente critica". Alcune rotte e campi delle entità non sono protetti a dovere, così un attaccante può aggirare i controlli di accesso. Sono interessate le versioni fino alla 2.41 e dalla 3.0.0 alla 3.3.13.

Perché conta: Commerce gestisce ordini e dati dei clienti di molti negozi online. Seguite l'advisory ufficiale e aggiornate subito il modulo.

Fonti: Drupal SA-CONTRIB-2026-254, The Hacker News

LXD e MicroCloud: CVSS 10 per un errore nella verifica dei certificati

Canonical ha corretto CVE-2026-112816, con punteggio massimo 10.0. Nella TLS reciproca il server accettava una catena che conteneva il certificato pubblico di un client fidato, senza pretendere la prova della relativa chiave privata. Chi raggiunge l'API HTTPS può quindi impersonare quel client. Non risultano attacchi né exploit pubblici. Le versioni corrette sono LXD 6.10.1, 5.21.9, 5.0.11 e 4.0.15, MicroCloud 3.4.1 e 2.1.5; Incus ha risolto con la 7.6.0.

Perché conta: è la base di molti homelab e cluster. Lanciate sudo snap refresh lxd e, fino all'aggiornamento, limitate l'accesso all'API.

Fonti: Ubuntu, The Hacker News

"SMS of Death": un messaggio invisibile manda in crash il telefono Android

Un ricercatore ha mostrato che un messaggio WAP Push costruito ad arte fa crollare il servizio telefonico di Android senza che l'utente tocchi nulla. Ogni crash interrompe le chiamate, anche quelle d'emergenza, per uno o due secondi; una ventina di messaggi può rendere il telefono inutilizzabile a lungo. La falla è CVE-2026-58882; il codice vulnerabile è presente da Android 12 ad Android 17. Google ha distribuito la correzione per Android 14–17.

Perché conta: i telefoni con Android 12 e 13 senza più aggiornamenti restano esposti. Controllate la data della patch in Impostazioni.

Fonte: Security Affairs

"SMS of Death": un messaggio invisibile manda in crash il telefono Android

Un ricercatore ha mostrato che un messaggio WAP Push costruito ad arte fa crollare il servizio telefonico di Android senza che l'utente tocchi nulla. Ogni crash interrompe le chiamate, anche quelle d'emergenza, per uno o due secondi; una ventina di messaggi può rendere il telefono inutilizzabile a lungo. La falla è CVE-2026-58882; il codice vulnerabile è presente da Android 12 ad Android 17. Google ha distribuito la correzione per Android 14–17.

Perché conta: i telefoni con Android 12 e 13 senza più aggiornamenti restano esposti. Controllate la data della patch in Impostazioni.

Fonte: Security Affairs

NIS2: chiuso il canale per le registrazioni in ritardo

Dal 31 ottobre l'Agenzia per la cybersicurezza nazionale (ACN) ha chiuso il canale per i soggetti NIS che non si erano registrati in tempo, come annunciato il 23 ottobre. Una nuova determinazione semplifica gli adempimenti per chi è già nell'elenco e fissa le procedure per il 2027. Restano in vigore l'obbligo di aggiornare i dati di registrazione e la responsabilità diretta degli amministratori.

Perché conta: chi rientra nella NIS2 e non si è registrato non ha più la via "tardiva". Conviene parlarne subito con un consulente.

Fonte: Cybersecurity360

In breve: l'FBI ha attribuito al gruppo nordcoreano TraderTraitor il furto da 6,43 miliardi di dollari ai danni di Binance, il più grande mai registrato nel mondo cripto (The Hacker News).

"SMS of Death": un messaggio invisibile manda in crash il telefono Android

Un ricercatore ha mostrato che un messaggio WAP Push costruito ad arte fa crollare il servizio telefonico di Android senza che l'utente tocchi nulla. Ogni crash interrompe le chiamate, anche quelle d'emergenza, per uno o due secondi; una ventina di messaggi può rendere il telefono inutilizzabile a lungo. La falla è CVE-2026-58882; il codice vulnerabile è presente da Android 12 ad Android 17. Google ha distribuito la correzione per Android 14–17.

Perché conta: i telefoni con Android 12 e 13 senza più aggiornamenti restano esposti. Controllate la data della patch in Impostazioni.

Fonte: Security Affairs

NIS2: chiuso il canale per le registrazioni in ritardo

Dal 31 ottobre l'Agenzia per la cybersicurezza nazionale (ACN) ha chiuso il canale per i soggetti NIS che non si erano registrati in tempo, come annunciato il 23 ottobre. Una nuova determinazione semplifica gli adempimenti per chi è già nell'elenco e fissa le procedure per il 2027. Restano in vigore l'obbligo di aggiornare i dati di registrazione e la responsabilità diretta degli amministratori.

Perché conta: chi rientra nella NIS2 e non si è registrato non ha più la via "tardiva". Conviene parlarne subito con un consulente.

Fonte: Cybersecurity360

In breve: l'FBI ha attribuito al gruppo nordcoreano TraderTraitor il furto da 6,43 miliardi di dollari ai danni di Binance, il più grande mai registrato nel mondo cripto (The Hacker News).

Il consiglio di oggi: dedicate dieci minuti a un giro di aggiornamenti. Sito WordPress, VPN aziendale, TeamViewer sul PC e patch del telefono: sono quattro controlli che chiudono quasi tutte le falle di questa rassegna. E voi, aggiornate i siti a mano o vi fidate degli aggiornamenti automatici? Raccontatecelo nei commenti.