Strumenti gratuiti di autoverifica per la crisi cyber di ottobre 2026
Tre incidenti critici in una settimana: PHP2Shell, LiteLLM 1.107.0 avvelenato e otto chiavi CA eMudhra deboli. Questi script ti dicono in pochi minuti se un host è esposto. Girano sulla tua macchina, in sola lettura, e non inviano nulla a nessuno, nemmeno a noi. È così che dovrebbe funzionare il test di sicurezza.
Gira sulla tua macchina
Nessun upload, nessun account, nessuno scanner online. Niente dei tuoi sistemi esce dalla tua rete.
Sola lettura
Gli script leggono file e versioni. Non cambiano mai una configurazione, non cancellano file e non sfruttano nulla.
Open source, MIT
Shell e Python leggibili in cinque minuti. Controlla lo SHA-256 prima di eseguirli.
Basati su fatti verificati
Ogni controllo viene dalle nostre guide di remediation, che citano gli advisory dei fornitori.
I tre controlli
PHP2Shell (CVE-2026-109618, CVE-2026-109619)
Trova ogni build PHP dell'host (di sistema, PHP-FPM, cPanel, Plesk, LiteSpeed, Remi, container con --docker) e la confronta con le release corrette 8.2.35, 8.3.36, 8.4.27 e 8.5.12. Mostra se mod_php è caricato, quali impostazioni di mitigazione temporanea impostano i pool FPM e i processi PHP che hanno avviato una shell o uno strumento di download.
I pacchetti delle distribuzioni spesso includono la correzione senza cambiare versione: sono segnati CHECK, verificali con l'avviso del tuo fornitore.
Scarica, verifica, leggi, esegui
curl -fsSLO https://zerohunt.ai/self-check/php2shell-check.sh
sha256sum php2shell-check.sh # must print f56a3878ff9c3b62…
less php2shell-check.sh # read it first
sudo sh php2shell-check.sh
Compromissione della supply chain di LiteLLM 1.107.0
Cerca i file del payload (cook.pth, cook.py, il sitecustomize.py malevolo), i metadati della 1.107.0, i marcatori dello stealer e del loader, le wheel in cache, il digest dell'immagine Docker compromessa, i pod Kubernetes che la usano e, se indichi una cartella, le versioni fissate nei file requirements e lock. Non avvia mai Python, perché su un host infetto ogni avvio di Python esegue di nuovo lo stealer.
Non trovare nulla non prova che eri al sicuro: i container e la pulizia di /tmp cancellano i marcatori. Controlla anche i log della CI e del traffico in uscita.
Scarica, verifica, leggi, esegui
curl -fsSLO https://zerohunt.ai/self-check/litellm-check.sh
sha256sum litellm-check.sh # must print e06a1e019bcfc8f3…
less litellm-check.sh # read it first
sudo sh litellm-check.sh ~/src
Chiavi CA eMudhra: trust store di Python, pip, uv e sistema
Trova ogni bundle di CA (certifi, la copia dentro pip, gli store di sistema, i file indicati da SSL_CERT_FILE e simili) e segnala quelli che si fidano ancora di emSign ECC Root CA - G3 o del percorso cross-signed di Sectigo, oltre a certifi, pip e uv più vecchi delle release corrette. Usa --scan sul filesystem esportato di un container.
Non legge i keystore Java, lo store di Windows e il Portachiavi di macOS. Eseguilo con -S, così Python salta i file .pth.
Scarica, verifica, leggi, esegui
curl -fsSLO https://zerohunt.ai/self-check/trust_store_audit.py
sha256sum trust_store_audit.py # must print ff9aff85f05de454…
less trust_store_audit.py # read it first
python3 -S trust_store_audit.py
Uno script controlla un host. Gli attaccanti controllano tutta la rete.
Sapere che un server usa un PHP vecchio è solo l'inizio. Le domande vere sono quali dei tuoi sistemi un attaccante può raggiungere, cosa apre una chiave LiteLLM rubata e se una correzione ha davvero chiuso il percorso. Zero Hunt risponde con un red team AI autonomo su un'appliance dentro la tua rete, con modelli propri, senza che nulla esca dal tuo perimetro.
Sì. Sono script con licenza MIT, senza account, registrazione o limiti di uso. Usali, condividili, adattali.
Gli script inviano dati a Zero Hunt?
No. Non aprono alcuna connessione di rete. Leggono solo file e versioni sulla macchina su cui li esegui e stampano il risultato.
È sicuro eseguirli su server di produzione?
Sono in sola lettura e non sfruttano nulla. Come per ogni script, leggilo prima di eseguirlo e confronta lo SHA-256 riportato in questa pagina.
Perché non uno scanner online?
Uno scanner online vede solo ciò che è esposto su internet e ti chiede di consegnare a terzi una mappa dei tuoi sistemi. Un controllo locale vede la build che usi davvero, compresi host interni e container, e tiene quella mappa dentro la tua rete.