In questo episodio di Security Walks, parliamo di tre vulnerabilità critiche: NGINX ha rilasciato un aggiornamento per risolvere cinque errori, incluso uno che potrebbe consentire l'esecuzione di codice. Drupal ha patchato una falla nel suo modulo Field UI che apre la porta a potenziali attacchi non autenticati. Infine, Nextcloud è sotto attacco per una vulnerabilità che potrebbe consentire l'installazione di backdoor sui server. Rimanere aggiornati è essenziale per la sicurezza.

🔗 Fonti:

1. NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks — https://thehackernews.com/2026/10/nginx-fixes-5-flaws-including-possible.html

2. Drupal Patches Critical Field UI Flaw With Unauthenticated RCE Path via Contributed Modules — https://thehackernews.com/2026/10/drupal-patches-critical-core-rce-flaw.html

3. Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers — https://www.bleepingcomputer.com/news/security/hackers-exploit-collabora-rce-flaw-to-backdoor-nextcloud-servers/

In questo episodio di Security Walks, approfondiamo la vulnerabilità di remote code execution in PAN-OS, ora sfruttata in attacchi attivi, e due problematiche riguardanti BoringSSL e diverse librerie TLS, che evidenziano le difficoltà nella gestione dei Name Constraints. Scopri come queste vulnerabilità possano influenzare la sicurezza dei sistemi e quali misure adottare.

🔗 Fonti:

1. Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks — https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-rce-flaw-exploited-in-attacks/

2. VU#410595: Google BoringSSL Name Constraints Bypass in SAN Validation Logic — https://kb.cert.org/vuls/id/410595

3. VU#948176: Multiple TLS Libraries can Bypass Delegation Enforcement — https://kb.cert.org/vuls/id/948176

In questo episodio di Security Walks, parliamo di una vulnerabilità critica in Shopware 6 che consente il furto di token di autenticazione e l'esecuzione di codice remoto tramite XSS. Inoltre, esploriamo il Patch Tuesday di Microsoft di ottobre 2026, che ha corretto un numero record di vulnerabilità, e l'avviso di Ivanti riguardo a una vulnerabilità zero-day nel suo gateway di accesso remoto. Unisciti a noi per scoprire come queste notizie impattano la sicurezza informatica.

🔗 Fonti:

1. CERT/CC Vulnerability Notes — https://kb.cert.org/vuls/id/157374

2. Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days — https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/

3. Ivanti warns of Connect Secure zero-day exploited in attacks — https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-day-exploited-in-attacks/

In questo episodio di Security Walks, approfondiamo le vulnerabilità scoperte nella piattaforma e-commerce Thelia, che potrebbero portare a gravi exploit come l'esecuzione remota di codice. Parliamo anche di come gli attaccanti stiano approfittando di vulnerabilità zero-day in un contesto di assistenza tecnica e di una campagna di CyberXero che utilizza l'intelligenza artificiale per attaccare siti critici in Ucraina. Unisciti a noi mentre esploriamo le implicazioni di queste notizie.

🔗 Fonti:

1. CERT/CC Vulnerability Notes — https://kb.cert.org/vuls/id/162329

2. The Hacker News — https://thehackernews.com/2026/10/weekly-recap-helpdesk-0-days-rogue.html

3. The Hacker News — https://thehackernews.com/2026/10/cyberxero-uses-claude-code-in-campaign.html

In questo episodio di Security Walks, parliamo di come mantenere gli agenti AI entro i loro permessi per prevenire comportamenti indesiderati. Scopriamo anche come Project Zero sta affrontando il problema delle patch urgenti e infine analizziamo il nuovo kit di exploit P7 DarkSword per iOS, che introduce minacce significative per gli utenti. Unisciti a noi per una passeggiata nel mondo della cybersecurity.

🔗 Fonti:

1. How to keep AI agents within their permissions — https://www.bleepingcomputer.com/news/security/how-to-keep-ai-agents-within-their-permissions/

2. How to fix a bug in a fix — https://projectzero.google/2026/10/emergency-patching.html

3. P7 DarkSword iOS Exploit Kit Adds Crypto Wallet Data Theft and Remote Commands — https://thehackernews.com/2026/10/p7-darksword-ios-exploit-kit-adds.html

In questo episodio di Security Walks, parliamo dell'aumento degli OAuth grants e dei rischi che comportano, specialmente dopo l'attacco a Klue. Inoltre, esploriamo i successi dei ricercatori di sicurezza al Pwn2Own in Irlanda, dove il Samsung Galaxy S26 è stato violato più volte. Infine, discutiamo di un attacco hacker legato alla Cina che ha compromesso email di numerose istituzioni. Scopri come queste notizie possono influenzare la sicurezza informatica.

🔗 Fonti:

1. OAuth grants pile up faster than you can review them. Here's how to keep up. — https://www.bleepingcomputer.com/news/security/oauth-grants-pile-up-faster-than-you-can-review-them-heres-how-to-keep-up/

2. Samsung Galaxy S26 hacked three more times at Pwn2Own Ireland — https://www.bleepingcomputer.com/news/security/samsung-galaxy-s26-hacked-three-more-times-at-pwn2own-ireland/

3. FBI Says China-Linked Hackers Ran Portal Giving Third Parties Access to Stolen Emails — https://thehackernews.com/2026/10/fbi-says-china-linked-hackers-ran.html

In questo episodio di Security Walks, analizziamo una grave vulnerabilità zero-day in Citrix NetScaler, che permette attacchi mirati in grado di compromettere i servizi SAML. Scopriamo anche come attaccanti hanno compromesso domini di primo livello, ottenendo certificati HTTPS per impersonare Google. Infine, parliamo di un caso di frode nel settore della sicurezza informatica, dove un CEO di una società di recupero da ransomware è stato accusato di pagamenti segreti agli aggressori. Un episodio ricco di spunti per comprendere le attuali minacce e la loro rilevanza.

🔗 Fonti:

1. New NetScaler Zero-Day Exploited in Targeted Attacks Can Knock SAML Deployments Offline — https://thehackernews.com/2026/10/new-netscaler-zero-day-exploited-in.html

2. Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains — https://thehackernews.com/2026/10/attackers-hijack-gh-sl-and-as.html

3. Ransomware recovery CEO charged over secret ransom payments — https://www.bleepingcomputer.com/news/security/ransomware-recovery-ceo-charged-over-secret-ransom-payments/

In questo episodio di Security Walks, esploreremo l'interruzione del programma di bug bounty di Google per i prodotti open source e le implicazioni di questa decisione. Discuteremo anche della rimozione di un appaltatore dell'FBI dopo una violazione legata a un fallimento di patching e infine, approfondiremo le vulnerabilità XSS nei plugin WordPress Ninja Forms e WPC Product Bundles. Scopri perché queste notizie sono rilevanti per il mondo della cybersecurity.

🔗 Fonti:

1. Google Pauses OSS Product Bug Bounty Rewards After Surge in Invalid Automated Reports — https://thehackernews.com/2026/10/google-pauses-oss-product-bug-bounty.html

2. FBI Removes Accenture Contractor After Patch Failure Led to ShinyHunters Breach — https://thehackernews.com/2026/10/fbi-removes-accenture-contractor-after.html

3. Ninja Forms plugin flaw exploited to hack WordPress sites — https://www.bleepingcomputer.com/news/security/ninja-forms-plugin-flaw-exploited-to-hack-wordpress-sites/