In questo episodio di Security Walks, parliamo di tre vulnerabilità critiche: NGINX ha rilasciato un aggiornamento per risolvere cinque errori, incluso uno che potrebbe consentire l'esecuzione di codice. Drupal ha patchato una falla nel suo modulo Field UI che apre la porta a potenziali attacchi non autenticati. Infine, Nextcloud è sotto attacco per una vulnerabilità che potrebbe consentire l'installazione di backdoor sui server. Rimanere aggiornati è essenziale per la sicurezza.

🔗 Fonti:

1. NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks — https://thehackernews.com/2026/10/nginx-fixes-5-flaws-including-possible.html

2. Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules — https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html

3. Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers — https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/

In questo episodio di Security Walks, approfondiamo la vulnerabilità di remote code execution in PAN-OS, ora sfruttata in attacchi attivi, e due problematiche riguardanti BoringSSL e diverse librerie TLS, che evidenziano le difficoltà nella gestione dei Name Constraints. Scopri come queste vulnerabilità possano influenzare la sicurezza dei sistemi e quali misure adottare.

🔗 Fonti:

1. Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks — https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-rce-flaw-exploited-in-attacks/

2. VU#410595: Google BoringSSL Name Constraints Bypass in SAN Validation Logic — https://kb.cert.org/vuls/id/410595

3. VU#948176: Multiple TLS Libraries can Bypass Delegation Enforcement — https://kb.cert.org/vuls/id/948176

In questo episodio di Security Walks, parliamo di una vulnerabilità critica in Shopware 6 che consente il furto di token di autenticazione e l'esecuzione di codice remoto tramite XSS. Inoltre, esploriamo il Patch Tuesday di Microsoft di ottobre 2026, che ha corretto un numero record di vulnerabilità, e l'avviso di Ivanti riguardo a una vulnerabilità zero-day nel suo gateway di accesso remoto. Unisciti a noi per scoprire come queste notizie impattano la sicurezza informatica.

🔗 Fonti:

1. CERT/CC Vulnerability Notes — https://kb.cert.org/vuls/id/157374

2. Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days — https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/

3. Ivanti warns of Connect Secure zero-day exploited in attacks — https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-day-exploited-in-attacks/