Red Team AI on-prem — appunti di ingegneria dalla prima linea
Approfondimenti, confronti e note di campo su red team AI autonomo, pentest generativo, intelligence di traffico deep-packet, NIS2/DORA e come operare in modalità air-gapped.
- Check PointSmartConsoleBypass dell'autenticazione
Check Point SmartConsole CVE-2026-16232: un token e riscrivi tutte le regole del firewall
CVE-2026-16232 è un bypass di autenticazione CVSS 9.3 in Check Point SmartConsole: un attaccante non autenticato ottiene un token admin e riscrive la policy del firewall. Sfruttato in the wild, in KEV.
9 min di lettura - SharePointCVE-2026-50522CISA KEV
SharePoint CVE-2026-50522: le machine key sopravvivono alla patch
CVE-2026-50522 è la quarta falla SharePoint entrata nel CISA KEV in 22 giorni. Gli attaccanti estraggono le machine key ASP.NET con una sola richiesta e restano dentro anche dopo la patch.
13 min di lettura - Ransomware QilinPAN-OSRansomware
Ransomware Qilin e CVE-2026-0257: il bug della VPN è solo la porta d'ingresso
Gli affiliati Qilin trasformano il bypass di autenticazione GlobalProtect CVE-2026-0257 in cifratura su tutto il dominio. La breccia al perimetro è silenziosa; la kill chain che segue no.
9 min di lettura - ServiceNowCVE-2026-6875Sandbox Escape
ServiceNow CVE-2026-6875: la sandbox escape pre-auth che apre l'intera piattaforma
CVE-2026-6875 è una sandbox escape pre-auth ServiceNow (CVSS 9.5) già sfruttata in the wild — e la catena reale bypassa il PoC su cui tutti hanno tarato le difese.
9 min di lettura - ACR StealerEtherHidingInfostealer
ACR Stealer ed EtherHiding: il C2 che non si può sequestrare
Microsoft ha visto ACR Stealer risolvere il C2 da una blockchain pubblica. EtherHiding elimina il resolver sequestrabile su cui si reggono takedown e blocklist.
9 min di lettura - WordPress RCEwp2shellRCE pre-auth
wp2shell: RCE pre-auth nel core di WordPress — e la trappola della patch
wp2shell (CVE-2026-63030 + CVE-2026-60137) è una RCE non autenticata nell'API batch REST del core di WordPress. Perché 'abbiamo aggiornato' non significa 'siamo al sicuro', e come validare davvero l'esposizione.
10 min di lettura - FortiSandboxSfruttamento AttivoOS Command Injection
FortiSandbox CVE-2026-25089: RCE non autenticato nella sandbox che giudica il malware
Due RCE non autenticate (CVE-2026-25089, CVE-2026-39808, CVSS 9.8) consegnano agli attaccanti FortiSandbox — l'appliance che emette i verdetti sul malware per tutto il fabric. In CISA KEV, sfruttate attivamente.
8 min di lettura - Zero-day AD FSGolden SAMLIdentity
CVE-2026-56155, zero-day AD FS: dal privilegio locale al Golden SAML
CVE-2026-56155 vale 7.8, ma su un server AD FS espone la chiave di firma dei token: Golden SAML. Perché la patch non basta e cosa ruotare subito.
13 min di lettura - SonicWall SMA1000Catena SSRFCISA KEV
SonicWall SMA1000: CVE-2026-15409 concatena SSRF e root
SMA1000 SonicWall sotto attacco attivo: la SSRF non autenticata CVE-2026-15409 si concatena con CVE-2026-15410 fino a root. Aggiorna a 12.4.3-03453 / 12.5.0-02835, poi caccia e ruota.
8 min di lettura