Tech Flash Daily (6 novembre 2026): WordPress attaccato durante gli aggiornamenti, oggi scade il termine CISA

Admin - 6 Novembre 2026 - Tempo di lettura: 11 minuti

Venerdì a due facce. Da un lato una falla di WordPress già sfruttata che colpisce proprio nel momento dell'aggiornamento, con la scadenza CISA che cade oggi. Dall'altro la carenza di memorie, che ritocca i prezzi di Raspberry Pi e pesa sui conti di Nintendo e Sony. In mezzo, un vecchio bug Apple tornato utile a un gruppo di spionaggio e PHP2Shell, che in Italia resta un problema aperto.

Avvisi di sicurezza

WordPress, la falla che si apre durante l'aggiornamento

La CISA ha inserito nel catalogo delle vulnerabilità sfruttate (KEV) la CVE-2026-119977 di WordPress Core, con CVSS 8.1. È una race condition di tipo TOCTOU: il sistema verifica una condizione e la usa un istante dopo, e in quell'intervallo un attaccante può inserirsi. Durante gli aggiornamenti completi, WordPress usa percorsi temporanei prevedibili e raggiungibili dal web; chi li intercetta può eseguire codice senza autenticarsi. Wordfence ha contato oltre 18.500 richieste verso quei percorsi nelle prime 21 ore dalla divulgazione. La correzione è in WordPress 7.1.4, uscito il 28 ottobre. Da notare che l'avviso ufficiale di WordPress giudica il rischio basso: lo sfruttamento richiede che il sito stia aggiornando in quel momento.

Perché conta: WordPress regge buona parte dei siti di PMI, associazioni e comuni. Verificate di essere sulla 7.1.4, bloccate l'accesso web a wp-content/upgrade/ e controllate i log.

Fonti: The Hacker News, Xalgorix

Un bug Apple del 2024 torna in una campagna di spionaggio

La CISA ha aggiunto al catalogo KEV anche la CVE-2024-27834, una falla Apple corretta a maggio 2024 (CVSS 5.5). Permette di aggirare la Pointer Authentication, una protezione hardware dei chip Apple che impedisce di manipolare i puntatori in memoria. Secondo Sekoia, il gruppo APT29 la usa in una catena con un bug di WebKit per installare un malware che ruba i cookie del browser. Le vittime arrivano da siti legittimi compromessi, siti falsi e un plugin SEO manomesso. Le versioni sicure partono da iOS e iPadOS 17.5 (16.7.8 per i dispositivi più vecchi), macOS Sonoma 14.5 e Safari 17.5.

Perché conta: i bersagli sono i dispositivi rimasti indietro con gli aggiornamenti. Controllate iPad e Mac di casa o d'ufficio che non vedono una patch da tempo.

Fonte: The Hacker News

PHP2Shell, l'Italia è ancora molto esposta

Le due falle critiche di PHP note come PHP2Shell (CVE-2026-109618 e CVE-2026-109619, CVSS v4 9.2) sono state corrette il 21 ottobre e sono sfruttate da giorni. Toccano qualunque installazione che serve pagine web, da PHP-FPM ad Apache mod_php. Nel suo ultimo aggiornamento, CSIRT Italia segnala che l'81,9% dei servizi PHP esposti in Italia risulta ancora vulnerabile. A questo si aggiunge la CVE-2026-115560, legata all'upload progress delle sessioni: colpisce solo configurazioni insolite, ma nelle fonti consultate non ha ancora una patch ufficiale.

Perché conta: PHP è sotto gran parte dei CMS e gestionali web italiani. Aggiornate a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, riavviate i worker PHP e disattivate session.upload_progress.enabled se non vi serve.

Fonti: CSIRT Italia, Tenable

Gaming: Nintendo e Sony fanno i conti con la memoria

Nintendo ha presentato i conti del semestre: Switch 2 è a 26,35 milioni di unità, ma le vendite hardware del semestre calano del 37,4%. La casa di Kyoto dice di non prevedere un nuovo rincaro della console, grazie alle scorte accumulate. Sony ha invece portato PS5 a 97,9 milioni e ha detto che lo sviluppo di PlayStation 6 procede secondo i piani; ha già assicurato la memoria per il prossimo anno fiscale. Intanto, il 5 novembre è uscito su Switch 2 il remake di The Legend of Zelda: Ocarina of Time.

Perché conta: la carenza di DRAM sta decidendo i prezzi delle console. Per ora Switch 2 non dovrebbe rincarare: se state pensando a un acquisto per Natale, il quadro è stabile.

Fonti: VGC su Nintendo, VGC su Sony

Fai da te: Raspberry Pi 5 da 16 GB sale a 385 dollari

Raspberry Pi ha alzato di 80 dollari il prezzo del Pi 5 da 16 GB, ora a 385 dollari; i Compute Module 5 da 16 GB salgono di 40 dollari, mentre il Pi 500+ resta invariato. Al lancio, nel gennaio 2025, la stessa scheda costava 120 dollari. Eben Upton spiega che mancano fornitori alternativi di DRAM da 16 GB e definisce gli aumenti temporanei, da ritirare quando i prezzi delle memorie scenderanno. L'azienda invita a comprare solo dai rivenditori ufficiali, perché alcuni negozi gonfiano i prezzi.

Perché conta: per un homelab, Pi-hole o Home Assistant bastano spesso 4 o 8 GB. Prima di comprare il modello più grande, valutate cosa vi serve davvero.

Fonti: Raspberry Pi, The Register

Il consiglio per il weekend: dieci minuti di inventario. Controllate la versione di WordPress e di PHP dei siti che gestite, e accendete quel vecchio iPad dimenticato in un cassetto per vedere se chiede aggiornamenti. E voi, con questi prezzi, il Raspberry Pi da 16 GB lo comprereste ancora, o puntate su altre schede? Scrivetelo nei commenti.