Tech Flash Daily (4 novembre 2026): patch urgente per WordPress, la falla negli aggiornamenti è ora sfruttata

Admin - 4 Novembre 2026 - Tempo di lettura: 10 minuti

La notizia che conta di più oggi riguarda chiunque gestisca un sito: la CISA ha confermato che una falla nel processo di aggiornamento di WordPress è sfruttata negli attacchi. Nella rassegna anche un bug critico in Node-RED, un attacco alla catena di distribuzione di un software di sicurezza per server Linux e, per il mercoledì dedicato alla PA, la nuova Mappa dei Comuni digitali presentata oggi a Roma.

Avvisi di sicurezza

WordPress, la falla negli aggiornamenti finisce nel catalogo KEV

Il 3 novembre la CISA, l'agenzia statunitense per la cybersicurezza, ha inserito CVE-2026-119977 nel suo catalogo delle vulnerabilità sfruttate (KEV). Il difetto è una "race condition": durante l'aggiornamento del core, WordPress scompatta i nuovi file in una cartella temporanea prevedibile dentro wp-content/upgrade. Chi riesce a richiederli in quei pochi secondi può eseguire codice sul server senza autenticarsi. Sono coinvolte le versioni dalla 4.7 alla 7.1.3; la correzione è arrivata il 28 ottobre con WordPress 7.1.4 e i rilasci per i rami precedenti. Il punteggio CVSS assegnato da Wordfence è 8.1.

Perché conta: WordPress alimenta una quota enorme dei siti italiani, compresi molti di piccole imprese e associazioni. Controllate nella bacheca, alla voce Aggiornamenti, che la versione installata sia davvero quella corretta. Se non potete aggiornare subito, bloccate l'accesso web alla cartella wp-content/upgrade.

Fonti: WordPress.org, avviso CISA

Node-RED: istanze esposte prese di mira da bot automatici

Node-RED è uno strumento visuale molto usato per automazioni IoT e domotica. Secondo VulnCheck, dal 30 ottobre un attaccante sfrutta CVE-2026-58115, un difetto di autenticazione: con una sola richiesta all'interfaccia di amministrazione installa un "flusso" che scarica ed esegue un bot per Linux, poi aggiunge webshell che sopravvivono al riavvio. Siemens, che usa Node-RED sui gateway SIMATIC IoT2050, valuta la falla 10.0 e indica come corretta la versione V4.3.4.1 di Industrial OS. La CISA non l'aveva ancora inserita nel KEV al momento della notizia.

Perché conta: tanti homelab e piccoli impianti industriali espongono l'editor di Node-RED senza password. Verificate che non sia raggiungibile da Internet e che adminAuth sia attivo.

Fonte: Help Net Security

cPGuard: aggiornamento avvelenato su quasi 3.000 server

OpsShield, che sviluppa la suite di sicurezza cPGuard per server con cPanel, DirectAdmin e Plesk, ha confermato che il 2 novembre un attaccante ha usato credenziali rubate per accedere alla rete di distribuzione degli aggiornamenti. Le versioni dalla 5.88.12 alla 5.88.19 contenevano uno script che raccoglieva hash delle password, configurazione del database di root, cronologia della shell e chiavi SSH. L'azienda ha parlato a BleepingComputer di 2.946 server coinvolti; i file effettivamente recuperati dall'attaccante sarebbero 32, uno per server.

Perché conta: è un attacco alla catena di fornitura, in cui il canale di aggiornamento diventa il vettore. Chi usa cPGuard deve passare alla 5.88.25 e, se aveva installato una versione colpita, considerare il server compromesso e cambiare password, chiavi e token.

Fonti: avviso OpsShield, BleepingComputer

Comuni digitali: oggi a Roma il secondo rapporto, il primo dopo il PNRR

Alle 15 di oggi, al Centro Carlo Azeglio Ciampi della Banca d'Italia, il Dipartimento per la trasformazione digitale e l'ANCI presentano la seconda edizione della Mappa dei Comuni digitali. L'indagine ha raccolto le risposte di oltre 4.100 Comuni, che rappresentano il 75% della popolazione. Interverranno il sottosegretario Alessio Butti, il presidente ANCI Gaetano Manfredi e il vicedirettore generale di Banca d'Italia Gian Luca Trequattrini, con contributi di ACN, AgID, ISTAT e PagoPA. La presentazione era prevista per il 30 settembre ed è stata rinviata.

Perché conta: è la prima fotografia dei Comuni dopo la chiusura dei progetti PNRR su cloud, PDND e servizi online. Torneremo sui numeri appena il rapporto sarà pubblicato.

Fonti: Dipartimento per la trasformazione digitale, ANCIcomunicare

Fedora 45 arriva su Bazzite, la distro per il gaming

Bazzite, la distribuzione Linux pensata per giocare su PC e console portatili, ha pubblicato la prima build stabile basata su Fedora 45 tra il 3 e il 4 novembre. Il salto porta GNOME 51, KDE Plasma 6.8.2, Mesa 26.2.6 e un kernel 7.2.15 aggiornato. La seconda build aggiunge un avviso sul Secure Boot per chi usa Steam Deck e Steam Machine. Il progetto consiglia di "fissare" il sistema attuale prima di aggiornare, così da poter tornare indietro in caso di problemi.

Perché conta: Fedora 45 è uscita il 3 novembre e le distro derivate stanno già aggiornandosi. Per chi gioca su Linux è l'occasione di avere driver grafici più recenti, ma con un piano di rollback.

Fonte: Linux Compatible

Il filo comune di oggi è il momento dell'aggiornamento: in WordPress è una finestra di pochi secondi, in cPGuard è diventato il canale d'attacco. Il consiglio pratico è non fidarsi solo degli aggiornamenti automatici: una volta a settimana controllate a mano la versione dei vostri siti e dei servizi esposti. E voi, sapete esattamente quali servizi della vostra rete sono raggiungibili da Internet? Raccontatecelo nei commenti.