Red Team AI on-prem — appunti di ingegneria dalla prima linea
Approfondimenti, confronti e note di campo su red team AI autonomo, pentest generativo, intelligence di traffico deep-packet, NIS2/DORA e come operare in modalità air-gapped.
- Avalon MalwareCrownX RansomwareEDR Evasion
Avalon e CrownX: il ransomware costruito per accecare ogni EDR
Blackpoint Cyber ha scoperto Avalon, framework modulare assistito da AI che si nasconde da nove EDR, distrugge il recovery ed esegue il ransomware CrownX. Perché la rete vede ciò che l'endpoint non vede.
9 min di lettura - Kernel LinuxEscalation dei privilegiBad Epoll
Bad Epoll (CVE-2026-46242): una race di 6 istruzioni che dà root a qualsiasi utente Linux
Bad Epoll (CVE-2026-46242) è un use-after-free del kernel Linux che dà root a qualsiasi utente non privilegiato — su server e su Android. La patch esisteva da aprile ma è rimasta muta per 70 giorni. Ecco il runbook di remediation.
8 min di lettura - ColdFusionCVE-2026-48282Esfiltrazione di dati
ColdFusion CVE-2026-48282: sfruttata poche ore dopo la patch
Il 1° luglio Adobe ha corretto sei falle ColdFusion CVSS 10.0. In poche ore CVE-2026-48282 era già sotto attacco: la finestra di lettura file prima della patch è ciò che quasi nessun difensore vede.
11 min di lettura - SharePointCISA KEVEsecuzione di codice remoto
SharePoint CVE-2026-45659: patchata a maggio, sfruttata a luglio
CVE-2026-45659 è una RCE autenticata su SharePoint on-prem: corretta in silenzio a maggio 2026, esclusa dal bollettino e ora sfruttata attivamente e nel catalogo CISA KEV.
10 min di lettura - Prompt InjectionSicurezza AI IDEEsecuzione di codice remoto
Cursor DuneSlide (CVE-2026-50548/50549): la prompt injection ora è Remote Code Execution
DuneSlide trasforma due falle della sandbox di Cursor in RCE zero-click via prompt injection: un risultato web avvelenato o un server MCP prende il controllo della macchina di uno sviluppatore. Cosa significa e come rimediare.
9 min di lettura - Oracle E-Business SuiteCVE-2026-46817Esfiltrazione di dati
Oracle E-Business Suite CVE-2026-46817: la lettura file non autenticata dentro Payments
CVE-2026-46817 è una falla di autenticazione mancante CVSS 9.8 in Oracle E-Business Suite Payments, sfruttata in the wild sei settimane dopo la patch e prima di ogni PoC pubblico.
8 min di lettura - SimpleHelpCVE-2026-48558Sicurezza RMM
SimpleHelp CVE-2026-48558: il bypass RMM da CVSS 10 che ruba credenziali cloud e AI
CVE-2026-48558 è un bypass di autenticazione CVSS 10.0 in SimpleHelp RMM, sfruttato per creare account tecnico fittizi e installare l'infostealer Djinn che ruba credenziali cloud, SSH e AI.
11 min di lettura - LPE kernel LinuxContainer EscapeEscalation dei privilegi
pedit COW e DirtyClone: due LPE Linux sulla page cache e perché 'locale' significa root nel 2026
Due bug del kernel Linux sulla page cache — pedit COW (CVE-2026-46331) e DirtyClone (CVE-2026-43503) — trasformano un foothold in container in root. Perché la privilege escalation locale è il breakout del 2026.
10 min di lettura - PTC WindchillCVE-2026-12569Sicurezza Manifatturiera
PTC Windchill CVE-2026-12569: una web shell sui gioielli dell'ingegneria
PTC Windchill CVE-2026-12569 è una RCE non autenticata con punteggio 9.8, ora nel KEV della CISA. Gli attaccanti piazzano web shell JSP sui sistemi PLM che custodiscono CAD, distinte base e proprietà intellettuale del manifatturiero.
10 min di lettura