Red Team AI on-prem — appunti di ingegneria dalla prima linea
Approfondimenti, confronti e note di campo su red team AI autonomo, pentest generativo, intelligence di traffico deep-packet, NIS2/DORA e come operare in modalità air-gapped.
- Sicurezza RMMSupply Chain MSPCISA KEV
SimpleHelp RMM CVE-2026-48558: il token falsificato che diventa un vostro tecnico
CVE-2026-48558 permette di falsificare un token OIDC e creare un tecnico SimpleHelp RMM con privilegi — l'identità che il vostro EDR è progettato per fidarsi. Perché la patch non basta.
8 min di lettura - AI RansomwareAgentic AILangflow
JADEPUFFER: il ransomware con AI che ha condotto l'attacco da solo
JADEPUFFER è il primo ransomware agentico documentato: un agente AI ha fatto ricognizione, pivot e cifratura end-to-end, correggendo un login fallito in 31 secondi. Il runbook.
9 min di lettura - CitrixBleedNetScalerSession Hijacking
CitrixBleed di nuovo: CVE-2026-8451 e il token già perso
CVE-2026-8451 è un memory overread pre-auth su NetScaler sfruttato entro 24 ore. La patch ferma la fuga, ma non revoca i session token che gli attaccanti hanno già rubato.
9 min di lettura - Avalon MalwareCrownX RansomwareEDR Evasion
Avalon e CrownX: il ransomware costruito per accecare ogni EDR
Blackpoint Cyber ha scoperto Avalon, framework modulare assistito da AI che si nasconde da nove EDR, distrugge il recovery ed esegue il ransomware CrownX. Perché la rete vede ciò che l'endpoint non vede.
9 min di lettura - Kernel LinuxEscalation dei privilegiBad Epoll
Bad Epoll (CVE-2026-46242): una race di 6 istruzioni che dà root a qualsiasi utente Linux
Bad Epoll (CVE-2026-46242) è un use-after-free del kernel Linux che dà root a qualsiasi utente non privilegiato — su server e su Android. La patch esisteva da aprile ma è rimasta muta per 70 giorni. Ecco il runbook di remediation.
8 min di lettura - ColdFusionCVE-2026-48282Esfiltrazione di dati
ColdFusion CVE-2026-48282: sfruttata poche ore dopo la patch
Il 1° luglio Adobe ha corretto sei falle ColdFusion CVSS 10.0. In poche ore CVE-2026-48282 era già sotto attacco: la finestra di lettura file prima della patch è ciò che quasi nessun difensore vede.
11 min di lettura - SharePointCISA KEVEsecuzione di codice remoto
SharePoint CVE-2026-45659: patchata a maggio, sfruttata a luglio
CVE-2026-45659 è una RCE autenticata su SharePoint on-prem: corretta in silenzio a maggio 2026, esclusa dal bollettino e ora sfruttata attivamente e nel catalogo CISA KEV.
10 min di lettura - Prompt InjectionSicurezza AI IDEEsecuzione di codice remoto
Cursor DuneSlide (CVE-2026-50548/50549): la prompt injection ora è Remote Code Execution
DuneSlide trasforma due falle della sandbox di Cursor in RCE zero-click via prompt injection: un risultato web avvelenato o un server MCP prende il controllo della macchina di uno sviluppatore. Cosa significa e come rimediare.
9 min di lettura - Oracle E-Business SuiteCVE-2026-46817Esfiltrazione di dati
Oracle E-Business Suite CVE-2026-46817: la lettura file non autenticata dentro Payments
CVE-2026-46817 è una falla di autenticazione mancante CVSS 9.8 in Oracle E-Business Suite Payments, sfruttata in the wild sei settimane dopo la patch e prima di ogni PoC pubblico.
8 min di lettura