Google corregge 200 vulnerabilità Android nell'aggiornamento di sicurezza di settembre

Google ha rilasciato l'aggiornamento di sicurezza Android di settembre 2026, che corregge 200 vulnerabilità, tra cui un difetto critico legato al Wi-Fi che potrebbe consentire l'esecuzione remota di codice senza interazione dell'utente. Il problema più preoccupante, secondo Adam Boynton, enterprise strategy manager di Jamf, è CVE-2026-28662, un bug di corruzione della memoria nella gestione del Wi-Fi. Se non corretto, un attaccante potrebbe sfruttarlo per eseguire codice da remoto senza privilegi aggiuntivi né clic della vittima, e possibilmente escalare i privilegi sul dispositivo. Boynton ha sottolineato che le organizzazioni dovrebbero distribuire l'aggiornamento ai parchi dispositivi il prima possibile.

Google ha anche annunciato il passaggio a una cadenza di due settimane per le principali milestone di Chrome, con aggiornamenti di sicurezza settimanali. L'azienda afferma che si tratta di una risposta al panorama della cybersecurity in evoluzione nell'era dell'IA, dove la scoperta di vulnerabilità assistita da modelli linguistici di grandi dimensioni (LLM) ha aumentato il volume delle patch. Google sottolinea che trovare e correggere più bug non è un segno di fallimento; ogni bug corretto rimuove un punto d'appoggio per gli attaccanti. Il ciclo di rilascio più breve è progettato per ridurre il patch gap, il tempo tra la divulgazione di una vulnerabilità e l'arrivo della correzione agli utenti finali. Google è passata a un ciclo di quattro settimane per Chrome nel 2021, riducendolo da sei settimane, e altri produttori di browser come Microsoft, Mozilla e Brave hanno fatto mosse simili.

Un rapporto separato di Socket descrive quattro estensioni malevole per browser che rubano token di sessione per criptovalute e dati di wallet agli utenti di Axiom Trade e Padre. Le estensioni sono J7Tracker per Chrome, VREO per Chrome e Firefox, e Orbit Tracker per Firefox. Socket afferma che il modulo di raccolta dati è identico byte per byte nei primi tre, e recupera automaticamente informazioni autenticate dell'utente, dati bundle relativi al wallet, token di accesso Firebase e stato dell'applicazione, per poi inviare tali informazioni a deployment Vercel controllati dagli attaccanti. La quarta estensione utilizza un collector diverso ma punta agli stessi dati e conserva artefatti di J7Tracker. Lo stesso publisher di Chrome è stato collegato a due estensioni precedenti, GhostApe e GhostApe Color, che impersonavano l'add-on di trading MockApe.

Il produttore di wallet hardware per criptovalute Trezor ha avvertito i clienti di email di phishing dopo che il suo fornitore di email di terze parti Brevo ha subito una violazione che ha coinvolto 120 account, incluso quello di Trezor. L'incidente ha esposto il database della newsletter opt-in di Trezor, circa 347.000 indirizzi email. Gli attaccanti hanno inviato un'email di phishing intitolata 'Critical Security Alert: STM32 Entropy Vulnerability' dall'account compromesso. L'email conteneva un link malevolo che invitava gli utenti a scaricare un'app e inserire il backup del wallet. Trezor ha sospeso l'account Brevo per fermare ulteriori abusi, e il dominio malevolo è stato successivamente rimosso.

Una grande operazione di e-commerce falso chiamata DoppelCart ha utilizzato più di 119.000 domini per gestire una rete di negozi fraudolenti che rubano i dati delle carte di pagamento. Secondo Netby, i negozi copiano cataloghi di prodotti, descrizioni, branding e immagini da aziende reali, a volte caricando asset direttamente dai server dell'azienda legittima. In totale, i negozi falsi imitano 44.182 marchi diversi, con una mediana di due cloni per marchio. Ogni clone pratica prezzi inferiori a quelli del marchio reale e ripubblica l'indirizzo di supporto del marchio stesso, così le vittime che vengono addebitate si lamentano con l'azienda reale invece che con i truffatori.

I dati della Shadowserver Foundation mostrano che più di 33.800 server Plex esposti rimangono vulnerabili a difetti recentemente divulgati. Il numero è sceso da un massimo di 37.467 il 5 settembre 2026, ma lascia ancora una vasta superficie di attacco. Quasi 20.000 di queste istanze si trovano in Nord America. Plex è un'applicazione server multimediale, e esporla direttamente a Internet senza patch può permettere agli attaccanti di raggiungere vulnerabilità note.

Il DFIR Report descrive una catena di attacco che inizia con un installer MSI malevolo camuffato da strumento Sysinternals. L'installer rilascia EtherRAT, e l'intrusione successivamente distribuisce un framework malware generato dall'IA chiamato TukTuk e lo strumento legittimo di gestione remota GoTo Resolve. TukTuk può usare la blockchain Arweave come dead-drop resolver: l'impianto interroga la blockchain per uno specifico Drive-Id, quindi recupera un blob di configurazione cifrato contenente credenziali per i suoi canali di comando e controllo. Dopo aver ottenuto l'accesso, l'attaccante ha eseguito attività hands-on-keyboard, Kerberoasting e scoperta di credenziali contro account amministrativi, poi ha usato credenziali compromesse di account di servizio per distribuire GoTo Resolve lateralmente su server e domain controller. La fase finale è stata l'esfiltrazione di dati verso un servizio cloud e il deployment del ransomware The Gentlemen.

Il National Cyber Security Centre (NCSC) del Regno Unito ha avvertito che i dipendenti che utilizzano strumenti di IA non approvati possono esporre dati aziendali sensibili e creare rischi che le organizzazioni potrebbero avere difficoltà a rilevare e gestire. Il NCSC afferma che fornire accesso shadow AI a dati aziendali o dei clienti probabilmente aumenta il rischio di violazioni dei dati, perdita di proprietà intellettuale e fallimenti normativi. Gli agenti di IA sono software complessi e possono avere vulnerabilità di sicurezza critiche; se un attaccante ne sfrutta una, può ottenere gli stessi dati, servizi e privilegi che l'agente possiede legittimamente.

Hunt.io ha riportato di un operatore di lingua cinese che utilizza Anthropic Claude Code, Alibaba Qwen e DeepSeek per automatizzare intrusioni contro sistemi governativi e finanziari in Afghanistan, Thailandia, Taiwan e Stati Uniti. Gli obiettivi includevano gli Archivi Storici del Partito Kuomintang di Taiwan, il Ministero degli Affari Esteri dell'Indonesia, sistemi governativi e educativi nella Cina continentale e host industriali a Da Nang, Vietnam. L'attaccante ha usato SecFlow, un framework di orchestrazione IA, per convertire gli obiettivi della campagna in compiti per agenti IA specializzati, suddividendo ricognizione, sfruttamento, raccolta e reporting tra lavoratori specializzati. Le vulnerabilità sfruttate includevano Shellshock, Spring4Shell, Ghostcat, deserializzazione Shiro, Log4Shell, path traversal di Grafana e Nexus e un bypass di autenticazione Nacos. Dopo lo sfruttamento, l'attaccante ha distribuito web shell generate tramite una capacità dedicata GLUTTON, poi ha eseguito ricognizione, escalation di privilegi, furto di credenziali e deployment di impianti personalizzati. Una backdoor, SecBox, è un framework di accesso remoto e pivot di rete basato su Go. I dettagli della campagna sono emersi per la prima volta a luglio 2026.

Gen Digital ha descritto una campagna di frode su affari fantasma in cui gli attaccanti si spacciano per dirigenti e inducono i membri dei team legali a spostare le conversazioni su WhatsApp ed email personali. L'obiettivo è avviare bonifici internazionali utilizzando documenti di acquisizione falsificati come parte di una truffa di fusione e acquisizione. Gli obiettivi includevano persone di alto livello in private equity, finanza industriale, vendite, mining ed energia. I documenti seguivano sostanzialmente la stessa sequenza di sezioni e riutilizzavano lo stesso linguaggio legale, imponevano riservatezza, indirizzavano la comunicazione su WhatsApp ed email personali e introducevano un breve periodo tra la data del NDA e il presunto annuncio pubblico.

Microsoft sta aggiungendo API di consapevolezza dell'età chiamate Windows Age API a Windows 11. Le app potranno determinare se un utente è un bambino, un adolescente o un adulto senza ricevere la data di nascita esatta. Microsoft afferma che le app ottengono solo il segnale relativo all'età necessario per l'esperienza, non dati personali sensibili come la data di nascita completa, e che la consapevolezza dell'età a livello di piattaforma aiuta gli sviluppatori a costruire salvaguardie fin dall'inizio.

La polizia di Singapore ha arrestato due uomini cinesi malesi, di 25 e 47 anni, per presunta compromissione di account Singpass. I due lavoravano in un negozio di telefonia mobile. Uno avrebbe offerto di aiutare un cliente ad aggiornare il numero di cellulare collegato al suo account Singpass quando stava acquistando una nuova SIM, poi ha usato quell'opportunità per creare un account LiquidPay a insaputa del cliente. Le indagini hanno trovato oltre 170 cittadini e lavoratori stranieri i cui account Singpass erano collegati allo schema, e quegli account sono stati usati per registrare più di 160 account LiquidPay aggiuntivi.

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha rilasciato una versione aggiornata della Insider Threat Mitigation Guide. L'aggiornamento evidenzia l'impatto crescente delle minacce interne sulle infrastrutture critiche, il panorama operativo dinamico e nuovi casi d'uso. Gli aggiornamenti chiave riguardano il lavoro ibrido e remoto, l'uso dell'IA per manipolazione e inganno, il controllo degli accessi e lo screening dei visitatori.

James Strahler II, 37 anni, di Columbus, è stato condannato negli Stati Uniti a 15 anni di prigione per aver usato immagini sessualmente esplicite reali e generate dall'IA e per aver intimidito le vittime con minacce di violenza. Secondo il Dipartimento di Giustizia, Strahler aveva installato più di 24 piattaforme IA e più di 100 modelli IA basati sul web sul suo telefono. Da dicembre 2024 a giugno 2025, ha inviato messaggi molesti ad almeno sei vittime adulte di sesso femminile, incluse immagini di nudo sia reali che generate dall'IA. Ha anche pubblicato oscenità generate dall'IA di bambini online. Ha creato più di 700 immagini e le ha pubblicate su un sito web dedicato all'abuso sessuale sui minori. È stato arrestato a giugno 2025.

Sergei Anatolyevich Filimonov, 36 anni, cittadino russo e sviluppatore web, è stato estradato negli Stati Uniti per affrontare accuse in uno schema transnazionale di frode per il controllo di conti bancari. Il Dipartimento di Giustizia afferma che Filimonov e i co-cospiratori hanno usato domini spoofati che imitavano siti web di istituzioni finanziarie assicurate a livello federale, acquistato link sponsorizzati sui motori di ricerca per dirottare i clienti verso pagine di login false e usato credenziali rubate per accedere ai conti e avviare bonifici non autorizzati. Filimonov è accusato di aver sviluppato e mantenuto infrastrutture online, inclusi database interattivi che memorizzano più di 5.000 credenziali di login rubate e software progettato per raccogliere e trasmettere dati di autenticazione. Un dominio backend collegato allo schema è stato sequestrato a dicembre 2025. Filimonov si è dichiarato non colpevole.

Un elemento separato ha rilevato che un capo di un'organizzazione di Singapore dietro un furto di criptovalute da 245 milioni di dollari si è dichiarato colpevole.

Presi insieme, i rapporti mostrano che molti attacchi riusciti si basano su bordi deboli, software non aggiornato e fiducia mal riposta piuttosto che su magie sofisticate. Gli attaccanti continuano a colpire vecchi bug, servizi esposti e routine umane. Per i proprietari di siti e i team IT, la risposta pratica è la stessa: applicare le patch rapidamente, limitare l'accesso, verificare prima di cliccare e mantenere aggiornata l'infrastruttura. Per i lettori che gestiscono siti web, le storie della settimana rafforzano perché l'applicazione delle patch e un'infrastruttura di hosting sicura siano importanti; AEU Hosting offre hosting WordPress gestito protetto end-to-end, che può aiutare a mantenere i siti meno esposti alle comuni minacce web.