Briefing del 2026-09-23

La detection presume un operatore vivo dietro ogni mossa dopo la compromissione.

• ShinyHunters non si ferma con un arresto
• CISA conferma l’exploit attivo su SharePoint e RouterOS
• EvilTokens passa da phishing a caso di polizia
• CLOSEDQUORUM sposta nel malware le decisioni post-compromissione
• Defender resta acceso, ma gli update si bloccano
• In Colorado gli attaccanti cambiano i comandi senza spegnere l'impianto
• Indexed-btree aggira i controlli npm nel runtime
• Il leak passa da un token OAuth rimasto vivo
• MemTensor trasforma i pacchetti in un furto di credenziali
• La mail di GitLab diventa una credenziale riutilizzabile
• WordPress: gli attacchi passano alla scrittura di PHP
• Un PoC pubblico rende permanente l’esposizione dei D-Link DAP-1360
• Una rete di relay maschera l’accesso cinese ai modelli frontier
• La segmentazione nominale allarga la superficie d’attacco
• Un account terzo apre la porta a più storefront BigCommerce
• Qilin guida il picco ransomware e sposta il baricentro
• Un socket locale basta a prendere il controllo dell’host

Edizioni recenti

• martedì 22 settembre 2026: GitLab passa da advisory a emergenza operativa · 19 storie
• lunedì 21 settembre 2026: Patch installata, accesso residuo sui switch Zyxel · 20 storie
• domenica 20 settembre 2026: Conductor esposto in rete diventa un runner di comandi · 5 storie
• sabato 19 settembre 2026: TLS non basta: Redis espone RCE remota · 17 storie
• venerdì 18 settembre 2026: NightEagle riusa credenziali rubate e tooling pubblico · 17 storie
• giovedì 17 settembre 2026: Siti Joomla trasformati in host di webshell persistenti · 16 storie
• mercoledì 16 settembre 2026: Un bypass JWT apre gli API gateway WSO2 ai dati interni · 17 storie