Collegare le CVE di PHP2Shell al traffico che le cerca senza falsi positivi
Un log HTTP non dice quale vulnerabilità stava cercando chi ha fatto la richiesta. Dice un metodo, un percorso, uno user agent. Da lì a "questa è la CVE tale" c'è un salto che si può fare in modo onesto oppure in modo sbagliato, e il modo sbagliato produce classifiche che sembrano analisi e non lo sono. Su dodici anni di richieste non sollecitate il salto regge solo partendo dalle firme pubbliche, con quattro filtri e una coda di revisione umana. Continua a leggere
Ultima modifica:
Per PHP2Shell la risposta è stata un'ora e trentacinque minuti dagli avvisi, e quattro giorni prima altrove. Ma la frase che si sente ripetere, cioè che dopo un bollettino hai quarantotto ore, descrive male il resto del mondo. Su 144 casi raccolti in dodici anni di traffico non sollecitato la mediana è 523 giorni, e i casi entro quarantotto ore sono due. Non vuol dire stare tranquilli, vuol dire spendere la fretta dove serve. 
Per i soggetti NIS2 inseriti nell'elenco nel 2025, i 18 mesi concessi dall'ACN per le misure di sicurezza di base si esauriscono attorno al 31 ottobre 2026. La data giusta però non è quella del calendario generale, è nella PEC di inserimento che hai ricevuto, e per molti cade prima. Soprattutto il 31 ottobre non chiude una finestra di lavoro, apre quella ispettiva, con vigilanza anche preventiva sui soggetti essenziali, e conviene sapere quali evidenze verranno chieste davvero. 
Due CVE del kernel Linux sono entrate nel catalogo delle vulnerabilità attivamente sfruttate della CISA nel 2026, e altre tre hanno exploit pubblici funzionanti. Su un VPS la parola locale non significa che serve accesso fisico: significa che il processo web compromesso ieri diventa root oggi. Sono cinque, contano tutte per un server Debian o Ubuntu, e quattro su cinque si chiudono con quel riavvio che stai rimandando da settimane. 
L'obbligo di segnalazione dell'articolo 14 del Cyber Resilience Act è attivo dall'11 settembre 2026, con early warning in 24 ore, notifica completa in 72 e piattaforma unica ENISA. Molte piccole software house lo scopriranno al primo incidente, quando il tempo per prepararsi sarà finito. Il lavoro da fare prima è meno di quanto sembri e si fa una volta sola: una policy di coordinated disclosure, un security.txt conforme a RFC 9116, un triage interno che regge il clock e una SBOM generata in CI. 
Mettere i permessi dentro il token è la prima ottimizzazione che viene in mente e la più difficile da disfare: risparmia una query e, in cambio, rende la revoca inefficace fino alla scadenza. Ma rileggerli non basta, perché fra il controllo e l'uso resta una finestra in cui lo stato può cambiare. Il pattern che chiude entrambe le falle, il codice che lo implementa e la disciplina che impedisce a un'operazione nuova di sfuggire alla classificazione. 
La system card di Mythos del 2026 include più di 40 pagine di white-box analysis: feature distinte per etica, vergogna, stress, ostinazione si attivano quando il modello intraprende azioni non allineate. Anthropic chiama Persona Vectors questa sovrapposizione di stati funzionali. Checklist di audit in dieci punti per verificare se il modello ha feature di deception, reward hacking, self-preservation attive, con strumenti open source da integrare in pipeline. 
Il miglior detector commerciale deepfake del 2026 raggiunge 78% di accuratezza su 44 ore di video, esperti forensi arrivano al 90% dichiarato. Dato il limite strutturale, la strategia difensiva passa dalla provenance: Content Credentials (firma C2PA) e SynthID (tracce nei metadata Google Veo). Tutorial pratico per configurare entrambi su un workflow aziendale, con analisi dei casi aggirabili, interoperabilità limitata, valore residuo legale e reputazionale. 
Il provvedimento Garante Privacy gennaio 2026 contro Grok/ChatGPT/Clothoff ha cristallizzato un pattern emergente: quando la qualità dei deepfake è alta, anche i contenuti autentici vengono considerati fake da pezzi di opinione pubblica. È il liar dividend. Per una PMI italiana con CEO visibile, testimonial o portavoce, è un rischio reputazionale nuovo. Checklist operativa in dodici punti per protezione del brand: monitoring, procedure di verifica, policy interna, contrattualistica. 
Un Click Day è il banco di prova più crudele per un'architettura web: migliaia di utenti che premono lo stesso bottone nello stesso istante, un picco che cresce di ordini di grandezza in pochi secondi e poi svanisce. Ho analizzato da cittadino e da ingegnere un Click Day reale che ha retto senza disservizi, ricostruendone l'architettura dai log di rete. Questa è la deconstruction tecnica di come ci è riuscito e di cosa insegna a chi deve reggere un picco improvviso.