Black October 2026: tracker verificato degli incidenti — cosa è vero, cosa correggere oggi

Tra il 13 e il 22 ottobre 2026 gli incidenti sono arrivati più in fretta di quanto la maggior parte dei team riuscisse a leggerli: due RCE senza autenticazione in PHP, un CVSS 10 in GitLab, una release avvelenata di LiteLLM, variabili d'ambiente lette da due piattaforme di hosting, otto chiavi di certification authority che chiunque poteva calcolare. Si è cominciato a parlare di "Black October" (Business Today usa il nome, come diversi riepiloghi), e un thread virale con 27 incidenti ha superato il milione di visualizzazioni. Questa pagina fa una cosa sola: verifica ogni incidente su una fonte primaria, dice cosa è confermato e cosa no, e mette le correzioni nell'ordine che conta per un perimetro esposto su internet.

Notizia in evoluzione — pubblicata alle 13:55 (11:55 UTC) del 22 ottobre 2026. Aggiornata man mano che vendor e CISA pubblicano. Stato riferito alla versione 2026.10.21 del catalogo CISA KEV.

Da correggere oggi: le cinque priorità

In ordine di esposizione e sfruttamento: prima ciò che è esposto su internet e già sfruttato.

1. PHP2Shell (CVE-2026-109618, CVE-2026-109619) — RCE senza autenticazione nell'interprete PHP, sfruttata attivamente dal 21 ottobre. Aggiorna a 8.2.35, 8.3.36, 8.4.27 o 8.5.12; l'advisory PHP dice che l'aggiornamento è l'unica mitigazione completa. La nostra analisi, con i rimedi temporanei per 8.1 e precedenti: PHP2Shell.
2. GitLab CVE-2026-110264 — RCE senza autenticazione con CVSS 10 sulle istanze self-managed, tutte le versioni dalla 7.0. Aggiorna a 19.5.1, 19.4.3 o 19.3.6 (o ai backport elencati nella release GitLab); le versioni del 12 ottobre restano vulnerabili. La nostra analisi.
3. LiteLLM 1.107.0 — se un host l'ha installata da PyPI o ha scaricato i tag Docker latest/main-* il 21 ottobre, consideralo compromesso: ricostruiscilo sulla 1.106.2 e ruota ogni credenziale che poteva raggiungere (report di LiteLLM).
4. Cisco Expressway CVE-2026-76466 — esecuzione di comandi come root senza autenticazione nelle installazioni in cluster, CVSS 9.8, nessun workaround. Aggiorna a X15.5.20 (advisory Cisco, la nostra analisi).
5. Plex Media Server — quattro CVE aggiunte al CISA KEV il 20 ottobre, concatenate fino a una RCE senza autenticazione e usate per installare miner e proxyware. Aggiorna a 1.43.3.10861 o successiva (avviso Plex, la nostra analisi). Plex gira in più uffici e su più NAS di quanto l'etichetta "media server di casa" faccia pensare.

Se usi una delle piattaforme o degli strumenti della sezione sui secret più sotto, quella rotazione va nella lista di oggi.

Tracker degli incidenti verificati

Stato: ✅ confermato da una fonte primaria · ⚠️ in parte confermato (la parte non confermata è indicata) · ❌ nessuna fonte lo sostiene.

Incidente	Cosa è successo	Stato	Correzione o azione	Fonte	Nostra analisi
PHP2Shell, CVE-2026-109618 e -109619	Due RCE pre-autenticazione nel core di PHP, CVSS v4.0 9.2; sfruttate dal 21 ottobre; tool di exploit pubblico	✅	PHP 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12	GHSA PHP	Leggi
GitLab CVE-2026-110264	RCE senza autenticazione tramite un file Org-mode creato ad arte, CVSS 10, tutte le versioni dalla 7.0	✅	19.5.1 · 19.4.3 · 19.3.6 + backport	Release GitLab	Leggi
LiteLLM 1.107.0	Pipeline di rilascio dirottata; wheel su PyPI online dalle 11:39 alle 13:23 UTC, tag Docker fino alle 14:20 UTC, con un ladro di credenziali e un loader RAT	✅	Ricostruire sulla 1.106.2; ruotare tutto ciò che l'host raggiungeva	LiteLLM	—
Railway	Accesso non autorizzato ai sistemi che custodiscono le variabili d'ambiente dei clienti, in parte decifrate; deploy sospesi	✅	Ruotare subito tutte le variabili e le credenziali dei registry	Disclosure Railway	—
Zeabur	3.218.965 record di variabili d'ambiente di 321.810 account letti il 14-15 ottobre; chiusura il 31 dicembre 2026	✅	Sostituire ogni secret, ricostruire i server dedicati GCP	Report Zeabur	—
OpenCode Console	Violato un sistema legacy; esposte e abusate le API key dei provider dell'1,4% degli utenti della Console	✅	Utenti coinvolti: revocare le chiavi presso ogni provider AI	TechCrunch	—
Chiavi CA di eMudhra	8 chiavi di CA intermedie con valori sotto 256 (una era 4); revocate, root non più considerata affidabile	✅	Aggiornare browser, Go, bundle CA di Node.js	eMudhra, BleepingComputer	—
ConnectWise Cloud Backup (SkyKick)	Credenziale dell'app usata per accedere a tenant Microsoft 365 dal 15 ottobre; servizio spento	✅	MSP: disattivare le app, controllare accessi Entra e credenziali delle app dal 13 ottobre	BleepingComputer	—
Rank Math PRO 3.0.123	Plugin trojanizzato distribuito dalle 20:02 UTC del 15 ottobre alle 07:12 UTC del 16	✅	Bonifica nell'ordine indicato dal vendor, poi 3.0.124	Rank Math	—
Release di sicurezza di Node.js di ottobre	10 CVE, tra cui una scrittura fuori limite nel decoder Brotli (RCE) e bypass della verifica dell'hostname TLS	✅	22.23.4 · 24.22.1 · 26.12.1	Node.js	—
Cisco Expressway CVE-2026-76466	Esecuzione di comandi come root senza autenticazione, CVSS 9.8	✅	X15.5.20	Cisco	Leggi
Plex Media Server	4 CVE nel KEV dal 20 ottobre, concatenate fino alla RCE, sfruttate	✅	1.43.3.10861 o successiva	Plex	Leggi
SiteGuard Server Edition CVE-2026-106931	OS command injection con privilegi root o SYSTEM, sfruttata; KEV 20 ottobre, scadenza 23 ottobre, triage forense	✅	Mitigazione del vendor, poi triage forense CISA	CISA KEV	—
Siemens Software Center CVE-2026-110936	Falla nel percorso di ricerca delle DLL (esecuzione di codice locale), sfruttata; KEV 20 ottobre, scadenza 3 novembre	✅	Aggiornamento del vendor	CISA KEV	—
Aggiunte KEV precedenti nella finestra	Ivanti Connect Secure (13 ottobre), PAN-OS CVE-2026-0322 (14 ottobre), BeyondTrust Remote Support (16 ottobre), tutte con triage forense	✅	Patch e ricerca di compromissione; scadenze già passate	CISA KEV	Ivanti · PAN-OS · BeyondTrust
Dati degli studenti della California (ETS)	Credenziale compromessa usata per copiare file da un sito SFTP di ETS dal 22 maggio al 18 settembre; studenti degli ultimi tre anni scolastici	✅	Famiglie: protezione dell'identità offerta; nessun codice SSN coinvolto	Malwarebytes	—
Ahold Delhaize	Incidente informatico; sistemi spenti negli Stati Uniti, nei Paesi Bassi e in Belgio dall'11-12 ottobre	✅	Natura dell'attacco non comunicata	The Record	—
Cairn	Un solo operatore ha usato una piattaforma open source di agenti AI contro oltre 100 aziende	✅	Vedi la nostra analisi	—	Leggi
TiDB Cloud	Riportato il furto di codice sorgente e di API key cifrate tramite credenziali di service account	⚠️	Nessuna dichiarazione di PingCAP trovata; i volumi rivendicati dagli attaccanti non sono verificati	Riepilogo daily.dev	—
Agenti AI contro oltre 400 banche latinoamericane	Una sola fonte riferisce di un gruppo che userebbe agenti AI su questa scala	⚠️	Fonte unica; nessuna conferma da banche o regolatori	Riepilogo daily.dev	—
"Sciami di agenti AI che bucano mezza internet"	Affermazione circolata insieme alle liste virali	❌	Nessuna fonte; il caso documentato è Cairn	—	—

Riportati nelle liste virali e non ancora verificati da noi: Signal, NGINX, server HTTP/3, ransomware SafePay, Bullhorn, Medi-Cal, AOMEI, Meta Muse, relay Tor, State Bank of India, OVHcloud, Onamae, una campagna nordcoreana. Entreranno nella tabella, o ne resteranno fuori, man mano che compaiono fonti primarie.

Ruota questi secret

Cinque degli incidenti sono lo stesso problema: secret custoditi da una piattaforma o da uno strumento di cui ti fidavi sono stati letti da qualcun altro. La patch non serve a niente per una chiave già uscita. Fai la rotazione in quest'ordine, perché ogni passo impedisce il riuso del successivo:

• Prima revoca presso chi ha emesso la chiave, poi sostituisci. Per le chiavi dei provider AI (OpenAI, Anthropic, Google), le chiavi cloud e i token dei registry: crea la nuova chiave, distribuiscila, poi revoca la vecchia presso il provider. Cambiare il valore nel pannello di una piattaforma non revoca nulla.
• Host con LiteLLM 1.107.0: segui l'ordine del vendor. Non lanciare pip per primo (ogni avvio di Python riesegue il .pth malevolo), rimuovi cook.pth, cook.py e sitecustomize.py, termina il processo che tiene /tmp/remote_code_loader.lock, ricostruisci sulla 1.106.2, poi ruota il ruolo dell'istanza, ogni chiave dei provider nel database del proxy, le master key e le virtual key e la password di DATABASE_URL (LiteLLM). Se l'host aveva accesso a internet in uscita, dai per riuscita l'esfiltrazione.
• Progetti su Railway: ruota tutte le variabili d'ambiente e le credenziali dei registry privati senza aspettare un'email, e controlla i log dei servizi che quelle chiavi aprono (Railway).
• Progetti su Zeabur: sostituisci ogni secret, anche quelli già cambiati dopo l'incidente di agosto; cambia le password dentro i database (cambiare la variabile non basta), considera trapelati i backup delle regioni tpe1 e hkg1 e ricostruisci i server dedicati GCP (Zeabur). Pianifica la migrazione: il servizio chiude il 31 dicembre.
• Utenti di OpenCode Console che hanno ricevuto l'avviso: revoca le chiavi dei provider salvate nei workspace e controlla la fatturazione dei provider.
• MSP con ConnectWise Cloud Backup / SkyKick: disattiva le applicazioni coinvolte, controlla gli accessi dei service principal in Entra e ogni credenziale aggiunta alle applicazioni dal 13 ottobre; disattivare un'app blocca i nuovi token, non quelli già emessi.
• Siti WordPress che hanno attivato Rank Math PRO 3.0.123: ripristina un backup precedente alle 20:02 UTC del 15 ottobre, oppure bonifica nell'ordine del vendor, poi ruota credenziali WordPress, database, salt, SMTP, API e hosting (Rank Math).

Poi cerca l'uso: chiamate GetCallerIdentity in AWS CloudTrail da IP inattesi, nuovi utenti IAM o access key, fatture dei provider, audit log di GitHub per app e token che non hai creato.

Cosa sbagliano le liste virali (e cosa no)

Il thread che ha diffuso il nome "Black October" mescolava incidenti confermati e affermazioni che nessuno ha documentato. Alcune righe che sembravano esagerazioni reggono:

• "Ogni versione di GitLab dal 2014" è quasi esatto: l'advisory di GitLab dice tutte le versioni dalla 7.0, una release del 2014.
• "Zeabur chiude" è esatto: il report di Zeabur dice che il servizio chiude il 31 dicembre 2026.
• "Una chiave di eMudhra era il numero 4" è esatto: BleepingComputer ha verificato una chiave pubblicata con valore 4, e tutte e otto erano sotto 256. Quello che non è dimostrato è l'abuso: eMudhra e i programmi dei browser non segnalano prove che le chiavi siano state ricavate o usate prima della scoperta, e sette delle otto intermedie non hanno mai emesso un certificato.

Altre vanno corrette:

• "PHP2Shell colpisce circa il 70% dei siti." La quota di PHP tra i siti non dice nulla sull'esposizione. Contano la versione di PHP, la SAPI (mod_php è la più a rischio) e se i percorsi vulnerabili sono raggiungibili; vedi la nostra analisi.
• ConnectWise, "oltre 2.250 tenant". I numeri dei ricercatori sono più bassi e parziali: Huntress ha contato almeno 162 tenant compromessi nel proprio perimetro; nessuno ha pubblicato un totale.
• "Sciami di agenti AI che bucano mezza internet." Nessuna fonte. Il caso documentato del mese è Cairn: un operatore e una piattaforma open source di agenti contro oltre 100 aziende. È già abbastanza grave senza gonfiarlo.

In una settimana così la domanda utile non è "è la settimana peggiore di sempre?". È "quale di questi tocca qualcosa che usiamo, e qualcuno ci arriva?"

Come scegliere le priorità quando tutto è critico

Le scadenze di CISA mostrano il problema. Con la BOD 26-04, 111 delle 137 vulnerabilità aggiunte al KEV tra il 10 giugno e il 21 ottobre 2026 hanno avuto una scadenza di tre giorni. Quando quasi tutto è un'emergenza a tre giorni, l'ordine deve venire dal tuo perimetro:

1. Confronto con l'inventario. Quali di questi prodotti e versioni usi davvero? Le pagine per vendor elencano ogni voce KEV per vendor (GitLab, Cisco, Ivanti) e il tracker CISA KEV mostra le scadenze federali.
2. Raggiungibilità. Prima ciò che è esposto su internet: front end PHP, GitLab, Expressway, Plex. Un'istanza solo interna può aspettare ore, non settimane.
3. Sfruttabilità nella tua configurazione. PHP2Shell dipende dalla SAPI e dall'impostazione dell'upload progress; GitLab CVE-2026-110264 richiede un solo progetto pubblico. Uno scanner che legge solo le stringhe di versione non può dirtelo; un test che prova il percorso sì, ed è la differenza tra un penetration test automatizzato e un controllo di versione.
4. Presumi la compromissione dove lo dice il vendor. Le voci KEV con triage forense (SiteGuard, BeyondTrust, Ivanti, PAN-OS) e ogni incidente sui secret qui sopra richiedono una ricerca di compromissione, non solo una correzione.

Dove si colloca Zero Hunt

Il collo di bottiglia in una settimana così è il punto 3: dimostrare, asset per asset, quale di venti advisory è davvero sfruttabile nella tua rete prima che arrivi il successivo. Zero Hunt è un red team AI autonomo su un'appliance on-premise con AI privata: i suoi agenti scrivono ed eseguono una verifica del percorso di exploit per ogni bersaglio, in black box o gray box, e ogni passo che tocca la produzione aspetta l'approvazione di una persona secondo il livello di autonomia che hai scelto. L'AI Remediation Advisor ordina poi le correzioni per sfruttabilità reale (prima il CISA KEV, poi ciò che la campagna ha dimostrato), indica la patch esatta o il controllo compensativo e la riverifica con la stessa prova. Questa settimana ha reso evidente anche l'argomento on-premise: i secret trapelati stavano in piattaforme ospitate e gateway AI, e un'appliance che tiene risultati e credenziali su hardware di tua proprietà toglie un altro posto da cui possono essere letti. Ogni record che scrive è firmato al momento della scrittura (Ed25519, concatenato con hash): è l'evidenza che l'auditor chiede dopo un mese come questo.