Tech Flash Daily (11 novembre 2026): Chrome e Outlook, due falle già sfruttate dagli attaccanti, aggiornate subito

Admin - 11 Novembre 2026 - Tempo di lettura: 6 minuti

Giornata di aggiornamenti da non rimandare: Google e Microsoft hanno chiuso due falle che i criminali stanno già usando, una nel browser Chrome e una in Outlook. In Italia esplodono intanto i finti avvisi di multa a nome di SEND e pagoPA e tornano gli SMS truffa a nome Nexi. Per la PA, invece, arrivano le linee guida AgID sull'intelligenza artificiale.

Avvisi di sicurezza

• Google Chrome – CVE-2026-125350 (sfruttata attivamente): falla nel motore V8, CVSS 8.8. Aggiornare alla versione 157.0.8103.50 o successiva (Windows, Mac, Linux).
• Microsoft Outlook – CVE-2026-124194 (sfruttata attivamente): un file Office costruito ad arte può far trapelare l'impronta della password (hash NTLMv2). CVSS 6.5. Corretta nel Patch Tuesday del 10 novembre.
• Android, bollettino di novembre – CVE-2026-58868 (critica, non risultano attacchi): Android 14–17; serve la patch di sicurezza del 1° novembre 2026 o successiva.
• In breve per le aziende (aggiunte da CISA al catalogo KEV il 10 novembre, tutte sfruttate): Barracuda Email Security Gateway CVE-2026-116606 (CVSS 9.3) e CVE-2026-111560 (CVSS 8.6); Cisco BroadWorks CVE-2026-20320 (CVSS 7.5); Openwave Webtop Media Transcoder CVE-2026-111793 (CVSS 4.3).

Chrome, ottava falla "zero-day" dell'anno già sfruttata

Google ha rilasciato un aggiornamento urgente di Chrome che corregge nove problemi, tra cui CVE-2026-125350: un errore di gestione della memoria nel motore V8, quello che esegue il codice delle pagine web. Google conferma che esiste un exploit in circolazione, cioè che qualcuno la sta già usando. È l'ottava falla di questo tipo in Chrome nel 2026. La versione corretta è la 157.0.8103.50 (o .51) per Windows, Mac e Linux; l'aggiornamento arriva in modo graduale.

Perché conta: basta visitare una pagina trappola. Apri Menu → Guida → Informazioni su Google Chrome e riavvia il browser. Vale anche per Edge, Brave e Opera quando ricevono la correzione. Fonte: Security Affairs

Patch Tuesday di novembre: oltre mille correzioni e una falla in Outlook

Il 10 novembre Microsoft ha pubblicato l'aggiornamento mensile: secondo Tenable copre 1.093 vulnerabilità, 63 delle quali critiche, con Word, Excel e SQL Server tra i prodotti più toccati. La più urgente è CVE-2026-124194 in Outlook, già sfruttata: un documento Office preparato ad arte può far uscire un'impronta della password che consente di spacciarsi per l'utente. La gravità è media (CVSS 6.5), ma gli attacchi sono reali.

Perché conta: Outlook e Office sono su milioni di PC di casa e di lavoro. Vai in Impostazioni → Windows Update e installa tutto; in Office usa File → Account → Opzioni di aggiornamento. Fonte: Tenable

Android, la patch di novembre chiude una falla critica

Il bollettino di sicurezza Android di novembre corregge 216 vulnerabilità, 23 delle quali critiche. La più seria è CVE-2026-58868: un errore nella decodifica dei contenuti multimediali che può permettere a un attaccante di eseguire codice sul telefono senza che l'utente tocchi nulla. Riguarda Android dalla versione 14 alla 17. Al momento Google non segnala attacchi in corso, ma le correzioni stanno arrivando sui telefoni in questi giorni, con tempi diversi da marca a marca.

Perché conta: il telefono è il dispositivo che usiamo di più. Vai in Impostazioni → Info sul telefono → Versione Android e controlla che la data della patch di sicurezza sia "1 novembre 2026" o successiva; se non c'è, avvia la ricerca aggiornamenti. Fonte: The Hacker News

Intelligenza artificiale nella PA: arrivano le linee guida AgID

Il 9 novembre AgID ha adottato le linee guida sull'uso dell'intelligenza artificiale nelle pubbliche amministrazioni (determinazione n. 169/2026, circa 140 pagine). Ogni ente dovrà avere una strategia sull'AI, classificare il rischio di ogni sistema, misurarne i risultati e formare il personale. I fornitori non potranno riusare i dati personali per addestrare modelli per altri clienti, e le decisioni restano in capo all'amministrazione, non alla macchina.

Perché conta: se un Comune o un ente usa l'AI in un servizio che ti riguarda, dovrà dirtelo. Fonte: Agenda Digitale

Ondata di attacchi in Italia: riunito il Comitato per la sicurezza

Martedì 10 novembre il Comitato nazionale per l'ordine e la sicurezza pubblica si è riunito al Viminale con intelligence e ACN dopo una serie di episodi: i frigoriferi della grande distribuzione colpiti, dati di figure istituzionali pubblicati sul dark web e falsi allarmi bomba sui voli. Per il Comitato l'obiettivo comune è creare allarme e danneggiare la reputazione delle istituzioni. L'attribuzione resta incerta. Secondo uno studio Comtel, l'ACN ha registrato 3.271 attacchi nei primi nove mesi del 2026, più dei 2.729 di tutto il 2025.

Perché conta: l'agenzia europea ENISA avverte che i prossimi bersagli potrebbero essere elettrodomestici e router di casa. Cambia la password predefinita del router e tienilo aggiornato. Fonte: Euronews

Il consiglio di oggi richiede cinque minuti: aggiorna Chrome, lancia Windows Update e controlla che il telefono abbia la patch di novembre. E se ti arriva un SMS con una multa o un pagamento "da bloccare subito", fermati: l'urgenza è l'arma preferita dei truffatori. A te è arrivato uno di questi messaggi? Raccontacelo nei commenti.