Una nuova falla nel cuore di Linux riporta sotto i riflettori un problema che riguarda non solo server e PC, ma anche molti dispositivi Android. La vulnerabilità, soprannominata Bad Epoll, permette a un utente con accessi molto limitati di arrivare fino ai privilegi di root, cioè al livello massimo di controllo sul sistema. In pratica, è come passare da semplice ospite a proprietario con le chiavi di tutte le stanze.

Al cuore del problema

Il punto delicato è che la falla si trova nel kernel, la parte più interna del sistema operativo, quella che gestisce memoria, processi, hardware e permessi. Quando un bug colpisce questa zona, le conseguenze possono essere serie perché non si parla più di un’app difettosa, ma del motore che coordina tutto il resto. Bad Epoll riguarda in particolare epoll, un meccanismo usato da Linux per gestire in modo efficiente molti eventi contemporaneamente, come connessioni di rete o operazioni sui file. È una funzione tecnica poco nota agli utenti, ma molto comune nei sistemi moderni.

Secondo le analisi pubbliche, il difetto è un use-after-free, un termine tecnico che può sembrare oscuro ma che si può spiegare in modo semplice. Immagina che il sistema abbia buttato via un foglio di appunti perché pensa che non serva più, ma un altro processo continui a scriverci sopra come se fosse ancora valido. In informatica succede qualcosa di simile: una parte del sistema libera una porzione di memoria, mentre un’altra prova ancora a usarla. Questo cortocircuito può aprire la strada alla corruzione della memoria e, in alcuni casi, all’aumento dei privilegi.

Il diagramma mostra come una race condition nel sottosistema epoll di Linux possa aprire una finestra di scrittura su memoria liberata, consentendo l’escalation dei privilegi fino a root su sistemi Linux e Android vulnerabili.

Nel caso di Bad Epoll c’è anche un elemento che preoccupa particolarmente: il prototipo di exploit sviluppato dal ricercatore che ha segnalato la falla avrebbe una percentuale di successo molto alta, vicina al 99%, nonostante il difetto si basi su una finestra temporale minuscola. In altre parole, non si tratta solo di una vulnerabilità teorica difficile da sfruttare, ma di qualcosa che ha già mostrato una concreta affidabilità tecnica.

Perché Android entra in questa storia?

Perché il sistema operativo mobile di Google poggia anch’esso sul kernel Linux. Se un dispositivo Android utilizza un kernel vulnerabile, una app malevola o un altro codice già presente sul telefono potrebbe tentare di sfruttare la falla per ottenere permessi molto più elevati. Questo non significa che tutti gli smartphone Android siano automaticamente compromessi, ma ricorda quanto sia importante la velocità con cui i produttori distribuiscono le patch di sicurezza.

Va chiarito anche un punto importante: Bad Epoll non è una falla che consente a chiunque su Internet di entrare da remoto con un clic. Serve già un punto d’appoggio locale sul sistema, per esempio un account limitato, un’app installata o un processo compromesso. Ma proprio qui sta il rischio reale: se un attaccante ha già messo un piede nella porta, questa vulnerabilità può spalancarla del tutto.

La difesa più concreta, in questo momento, è semplice da dire e meno semplice da applicare ovunque: aggiornare. Le correzioni esistono già e andrebbero installate il prima possibile sui sistemi Linux interessati e, nel caso di Android, non appena il produttore del dispositivo le rende disponibili. Per aziende e amministratori vale la pena dare priorità ai sistemi esposti, multiutente o dove gira codice non fidato. Per gli utenti comuni, invece, il consiglio resta quello di installare aggiornamenti, evitare app da fonti sconosciute e non sottovalutare mai i bollettini di sicurezza.

C’è una scadenza importante che, fuori dagli addetti ai lavori, rischia di passare sotto silenzio: il 12 agosto 2026 si chiude il nuovo round ICANN per richiedere estensioni Internet personalizzate. In pratica, enti, città, territori e marchi possono candidarsi per ottenere un proprio dominio di primo livello, come già accaduto in passato con esempi internazionali come .paris, .berlin o .london.

L’idea è semplice da capire: invece di usare solo indirizzi tradizionali come “nomeazienda.it”, un’organizzazione potrebbe gestire uno spazio digitale ufficiale che porta il proprio nome alla radice del Web, come .brand o .città. È un po’ come avere un’insegna tutta propria su una strada molto trafficata: non cambia solo l’estetica, ma anche il controllo su ciò che c’è dietro quella porta.

Opportunità per molti

Per aziende e marchi, questa possibilità non è solo una curiosità tecnica. Un’estensione proprietaria può diventare uno strumento per rendere più riconoscibili i canali ufficiali, semplificare la comunicazione e aiutare gli utenti a distinguere più facilmente i siti autentici da quelli imitativi. Se un utente vede un indirizzo dentro un’estensione controllata direttamente dal brand, è più facile che percepisca coerenza e affidabilità.

Il tema è interessante anche per città e territori italiani. Nomi come Roma, Milano, Venezia, Sicilia o Toscana hanno una forza identitaria enorme e sono già riconoscibili nel mondo. Avere un’estensione dedicata potrebbe significare costruire un ambiente digitale ufficiale per turismo, servizi, cultura, promozione economica e dialogo con cittadini e imprese.

Il round attuale è particolarmente rilevante perché arriva dopo molti anni di attesa: l’ultimo grande programma di questo tipo risale al 2012. In altre parole, non si tratta di una finestra che si apre ogni stagione, ma di un’occasione rara, con tempi lunghi e regole complesse. Chi pensa di valutare una candidatura non può permettersi di rimandare troppo.

Non bisogna però confondere questa opportunità con una scorciatoia. Richiedere un nuovo dominio di primo livello significa affrontare un percorso impegnativo, fatto di verifiche tecniche, aspetti legali, costi, regole di governance e, per i nomi geografici, anche autorizzazioni istituzionali. È come progettare una nuova infrastruttura digitale: serve una visione chiara, ma anche la capacità di mantenerla nel tempo.

Sul piano della sicurezza informatica, il punto più interessante è proprio questo: un’estensione ufficiale può aiutare a rafforzare la fiducia degli utenti, ridurre la frammentazione della presenza online e rendere più evidente quali siano i canali autentici. In un’epoca in cui phishing e siti falsi sfruttano spesso la confusione, avere un namespace controllato può diventare anche un alleato nella protezione dell’identità digitale.

Satispay allarga il proprio raggio d’azione e compie un passo importante verso il banking: dopo l’IBAN, arrivano le carte di debito in partnership con Mastercard e debutta anche il servizio per comprare e vendere azioni ed ETF direttamente in app. La novità riguarda una piattaforma che conta già 6,5 milioni di utenti, 450.000 attività convenzionate e un ARR di 120 milioni di euro a giugno 2026, numeri che aiutano a capire perché questa evoluzione non sia solo commerciale ma anche rilevante sul piano della sicurezza digitale.

Quando una app di pagamento diventa sempre più simile a un conto, infatti, cresce anche il suo valore per i cybercriminali. Più servizi finanziari vengono concentrati in un unico punto, più quell’app diventa interessante per phishing, furto di credenziali, SIM swapping e truffe di social engineering. In parole semplici: se in un solo ambiente puoi ricevere denaro, pagare, investire e usare una carta, allora proteggere quell’accesso diventa ancora più cruciale.

Nuova carta di debito

La novità più evidente è l’arrivo delle carte di debito Mastercard, disponibili in tre varianti fisiche e anche in formato digitale per il wallet. Questo permetterà di pagare con Satispay in tutto il mondo, con zero commissioni di cambio sui pagamenti in valuta extra-euro e prelievi gratuiti entro i limiti previsti dai diversi piani. Dal punto di vista della sicurezza, la carta digitale nel wallet è un passaggio importante perché sposta sempre di più i pagamenti verso ambienti protetti da autenticazione del dispositivo, biometria e tokenizzazione, cioè la sostituzione dei dati reali della carta con codici temporanei che riducono l’esposizione delle informazioni sensibili.

Il tema non è secondario. Più i pagamenti diventano semplici, più devono essere robusti dietro le quinte. L’utente vede un gesto rapido, per esempio avvicinare lo smartphone al POS o autorizzare un pagamento in app, ma dietro ci sono controlli che servono a verificare che quel denaro venga mosso davvero dal titolare legittimo. È un equilibrio delicato: la comodità aumenta, ma anche la necessità di difendersi da accessi abusivi, link falsi e tentativi di impersonificazione.

Non solo carte!

Accanto alle carte, Satispay rafforza anche la sezione investimenti. Dalla prossima settimana gli utenti potranno accedere a oltre 1.000 tra azioni ed ETF, con una commissione fissa di 0,89 euro per operazione e la possibilità di iniziare anche da 1 euro grazie agli strumenti frazionati. Qui la sicurezza entra in gioco in modo ancora più evidente, perché ogni funzione finanziaria aggiuntiva amplia il perimetro da proteggere: non ci sono solo i pagamenti, ma anche ordini di acquisto, movimenti di denaro e decisioni di investimento che potrebbero diventare bersagli di frodi sempre più sofisticate.

Per chi non mastica il linguaggio della finanza, un ETF è semplicemente uno strumento che raccoglie più titoli in un unico prodotto, un po’ come un cestino con dentro tante azioni diverse. Proprio perché l’accesso viene reso più facile e guidato, sarà importante accompagnare questa semplificazione con buone pratiche di sicurezza: password solide, autenticazione a più fattori, attenzione ai messaggi che chiedono verifiche urgenti e diffidenza verso finti operatori dell’assistenza.

Quando si parla di sicurezza su Windows, molti pensano che il pericolo arrivi soprattutto da file infetti, allegati sospetti o programmi scaricati da siti poco affidabili. La vicenda di BlueHammer, però, racconta qualcosa di diverso e più scomodo: a volte il problema può nascere dentro un meccanismo di protezione del sistema stesso. La falla, identificata come CVE-2026-33825, riguarda Microsoft Defender ed è stata sfruttata per ottenere un’escalation di privilegi, cioè per passare da un account normale al pieno controllo del computer.

Come funziona un attacco Privilege Escalation

Immaginiamo un visitatore che riesce a entrare in un edificio con un badge da ospite e, sfruttando un difetto nei controlli interni, finisca direttamente nella sala di comando. Ecco: un attacco di privilege escalation funziona più o meno così. L’aggressore non entra necessariamente da zero, ma una volta dentro prova a salire di livello fino a ottenere i permessi più alti, quelli che su Windows corrispondono all’account SYSTEM.

Secondo le analisi pubbliche, BlueHammer avrebbe sfruttato il processo di aggiornamento delle firme di Defender, cioè quei file che l’antivirus usa per riconoscere minacce note. Durante quel passaggio, in condizioni specifiche, sarebbe stato possibile manipolare il flusso e costringere il sistema a compiere operazioni con privilegi elevatissimi. Il punto delicato è proprio questo: l’attacco non passerebbe da una classica finestra sospetta o da un allarme evidente, ma sfrutterebbe un comportamento interno del sistema operativo.

Per gli utenti comuni questo dettaglio conta molto. Significa che anche un account “limitato”, magari quello di un dipendente senza privilegi amministrativi, può diventare un trampolino di lancio se un attaccante riesce a comprometterlo con phishing, malware o credenziali rubate. Da lì, una falla come BlueHammer può trasformare un accesso iniziale modesto in un controllo quasi totale della macchina.

Esiste una soluzione?

La buona notizia è che Microsoft ha corretto il problema con la patch del 14 aprile 2026. La cattiva è che, secondo fonti recenti, la vulnerabilità continua a essere sfruttata attivamente contro sistemi Windows 10 e Windows 11 non aggiornati. CISA ha inserito BlueHammer tra le vulnerabilità note e sfruttate, segnale che il rischio non è rimasto teorico.

Qui entra in gioco una lezione importante, spesso sottovalutata: aggiornare non serve solo ad avere nuove funzioni, ma a chiudere porte che gli attaccanti conoscono già. Molti utenti rimandano gli update perché temono riavvii, perdita di tempo o piccoli problemi di compatibilità. Ma una patch installata in ritardo può lasciare aperto un varco che, nel frattempo, è già finito nei kit e negli strumenti usati dagli attaccanti.

In pratica, chi usa Windows 10 o Windows 11 dovrebbe verificare di aver installato gli aggiornamenti cumulativi successivi al 14 aprile 2026. Per aziende e amministratori conta anche il monitoraggio dei comportamenti anomali, soprattutto quando un processo con pochi privilegi tenta improvvisamente di ottenere accessi molto più ampi.

Una nuova ricerca di Check Point mostra un cambio di scenario che potrebbe pesare molto sulla sicurezza digitale dei prossimi anni: un modello di intelligenza artificiale avrebbe individuato da solo un modo concreto per trasformare una normale funzione del browser in una tecnica simile al ransomware. In altre parole, non si parla di un virus classico da installare sul telefono o sul PC, ma di una trappola che può partire direttamente dal browser, con un semplice clic su una richiesta di autorizzazione.

Le origini

Il caso nasce dall’analisi di file attribuiti a DeepSeek, uno dei modelli di AI oggi più accessibili. Secondo Check Point, tra quasi 3.000 campioni esaminati è emerso un codice che sembrava inizialmente una “allucinazione” dell’intelligenza artificiale, cioè una risposta tecnicamente confusa o sbagliata. Dentro quella confusione, però, il modello aveva individuato un elemento corretto e molto delicato: l’uso di una funzione del browser chiamata showDirectoryPicker(), che permette a un sito Web di chiedere accesso a una cartella selezionata dall’utente.

Detta così può sembrare innocua, e in effetti la funzione è legittima. Serve, per esempio, a far lavorare applicazioni Web che devono aprire, modificare o salvare file. Il problema nasce se quella stessa possibilità viene usata in modo malevolo. Per dimostrare il rischio, i ricercatori hanno creato una prova di concetto chiamata AI Avatar Enhancer, presentata come uno strumento per migliorare fotografie con l’AI. In realtà, una volta ottenuto l’accesso alla cartella scelta dalla vittima, il sito poteva cifrare i file proprio come farebbe un ransomware.

Qui entra in gioco un aspetto importante: non servono exploit del browser, privilegi speciali, installazione di app o file APK. Basta che l’utente autorizzi il sito ad accedere a una directory. È un dettaglio cruciale perché sposta il rischio su un gesto che molte persone considerano banale, come accettare una finestra di permesso. In pratica, è un po’ come lasciare entrare qualcuno in casa perché si presenta come un tecnico che deve sistemare le foto di famiglia, salvo poi ritrovarsi gli armadi chiusi a chiave.

Utenti Android a rischio

Con Chrome 132 Google ha introdotto il pieno supporto alla File System Access API su Android e i test con Chrome 148 hanno mostrato che una pagina Web può chiedere l’accesso alla cartella DCIM, quella che di solito contiene foto, screenshot, documenti scansionati, codici di recupero e spesso anche immagini di referti o carte d’identità. Safari su iPhone non espone questa API, quindi la tecnica descritta non risulta applicabile ai dispositivi Apple.

Il punto più inquietante, però, è un altro: l’AI non si sarebbe limitata a copiare una tecnica nota, ma avrebbe collegato autonomamente un rischio teorico a una catena di attacco praticabile. Questo significa che la barriera tra “idea pericolosa” e “attacco funzionante” potrebbe abbassarsi molto, soprattutto per criminali con competenze tecniche limitate.

Una semplice richiesta di lavoro o una comunicazione che sembra legata alla gestione delle prenotazioni può trasformarsi in una trappola molto efficace. È questo il punto che emerge dalle più recenti campagne rivolte al settore alberghiero, dove i criminali informatici sfruttano file compressi, falsi strumenti software e procedure apparentemente normali per infettare i computer e sottrarre dati sensibili.

Il funzionamento

Il meccanismo è più subdolo di quanto sembri. Invece di puntare su allegati palesemente sospetti, gli attaccanti confezionano messaggi credibili, spesso costruiti per sembrare richieste tecniche, documenti da controllare o aggiornamenti necessari per visualizzare un contenuto. In alcuni casi, alla vittima viene chiesto di aprire un file ZIP e installare un componente che dovrebbe servire a far funzionare correttamente un’applicazione. In realtà, dietro quel passaggio si nasconde l’avvio dell’infezione.

Per capire il rischio, basta pensare a un pacco con etichetta autentica ma contenuto manomesso. Il file ZIP, di per sé, non è pericoloso: è solo un contenitore compresso, usato normalmente per inviare più file insieme. Il problema nasce da ciò che contiene. Se dentro c’è un programma modificato o uno script malevolo, l’utente può avviare inconsapevolmente un software pensato per aprire la porta agli aggressori.

Uno degli aspetti più insidiosi di queste campagne è l’uso di strumenti legittimi o molto comuni nel mondo dello sviluppo software, come Node.js. Per chi non lo conosce, si tratta di una piattaforma utilizzata dagli sviluppatori per eseguire applicazioni JavaScript fuori dal browser. In un contesto aziendale normale non dovrebbe far scattare allarmi immediati. Proprio per questo può diventare un ottimo travestimento: se un attaccante riesce a far passare un’installazione malevola come un componente tecnico necessario, molte persone potrebbero considerarla una procedura plausibile.

I rischi

Il bersaglio, però, non è il software in sé. L’obiettivo finale è quasi sempre il furto di informazioni: credenziali di accesso, dati aziendali, contenuti delle e-mail, documenti interni o dettagli finanziari. Nel caso degli hotel, il rischio è ancora più delicato perché queste strutture gestiscono prenotazioni, dati personali dei clienti, dettagli di pagamento e comunicazioni continue con fornitori e piattaforme esterne. Un singolo computer compromesso può quindi diventare il punto di partenza per frodi, furto di account o attacchi successivi.

Il motivo per cui il settore ricettivo è così appetibile è semplice: lavora con ritmi rapidi, personale spesso sotto pressione e un flusso costante di file, conferme e richieste urgenti. In un ambiente del genere, una email ben scritta e un allegato apparentemente coerente con l’attività quotidiana possono sembrare del tutto normali. È qui che entra in gioco l’ingegneria sociale, cioè l’arte di manipolare una persona spingendola a fidarsi e ad agire in fretta.

La difesa più efficace parte da abitudini concrete. Non installare componenti ricevuti via mail senza una verifica, evitare di aprire archivi compressi inattesi, controllare sempre il mittente reale del messaggio e limitare i privilegi di installazione sui PC aziendali. Anche la formazione del personale conta molto: riconoscere una richiesta anomala prima ancora del clic resta uno dei modi migliori per fermare l’attacco all’inizio.

Leggi anche: “Attacco dos sul software 7-zip”

*Illustrazione progettata da Microsoft

Una sola e-mail può bastare per mettere in crisi un’intera organizzazione. È il messaggio che arriva da una simulazione condotta da Barracuda, secondo cui un attacco di phishing ben costruito può trasformarsi in una compromissione completa nel giro di appena cinque minuti. Un tempo brevissimo, ma sufficiente per rubare credenziali, aggirare l’autenticazione a più fattori, prendere il controllo della casella di posta e aprire la strada a ulteriori azioni malevole.

Attacco in pratica

La dimostrazione parte da un elemento ormai familiare: una e-mail credibile, scritta con l’aiuto dell’intelligenza artificiale generativa e costruita per sembrare urgente. Nel caso simulato, il destinatario ha ricevuto la richiesta di controllare rapidamente un documento. Nulla di particolarmente sospetto all’apparenza. Dopo una ventina di minuti ha aperto il messaggio e cliccato sul link, finendo su una falsa pagina di accesso Microsoft.

A quel punto l’attacco accelera. Nel giro di un minuto la vittima inserisce le proprie credenziali, convinta di trovarsi davanti al sito autentico. In realtà gli aggressori stanno intercettando in tempo reale i dati che passano tra l’utente e la piattaforma legittima. Subito dopo arriva la richiesta di autenticazione a più fattori, il sistema che di solito aggiunge un secondo livello di sicurezza oltre alla password. Ma anche questo passaggio, in questo scenario, non basta.

Gli attaccanti riescono infatti a sottrarre il cookie di sessione, cioè una sorta di “pass temporaneo” che dice al sistema: questo utente ha già effettuato correttamente il login. Per capirci, è come rubare non la chiave di casa, ma il badge già attivo che permette di entrare senza rifare i controlli. Con quel pass digitale, dopo appena due minuti dal primo clic, il Red Team è riuscito ad accedere direttamente alla posta della vittima, leggere e inviare messaggi a suo nome, entrare in SharePoint e OneDrive, impostare regole per nascondere la propria attività e autorizzare applicazioni OAuth malevole.

Anche qui conviene spiegare il termine: OAuth è un sistema che consente a un’app di ottenere permessi su un account senza conoscere direttamente la password. È molto comodo quando usiamo servizi legittimi collegati tra loro, ma può diventare pericoloso se viene concesso accesso a un’app malevola che si presenta come innocua. Per mantenere il controllo più a lungo, nella simulazione è stata usata anche una tecnica chiamata ClickFix. In pratica, alla vittima viene chiesto di eseguire un’apparente verifica aggiuntiva, ma il risultato è che copia e attiva inconsapevolmente uno script dannoso. È un trucco semplice e subdolo: l’utente pensa di risolvere un problema tecnico e invece sta aprendo la porta all’attaccante.

Il punto chiave è che oggi molte campagne non si fermano più al furto della password. Puntano a entrare, restare nascoste e consolidare la propria presenza prima che qualcuno si accorga di qualcosa. Se un’operazione del genere proseguisse senza essere fermata, il passo successivo potrebbe essere il furto di dati, il blocco dei sistemi o perfino un attacco ransomware.

*Illustrazione progettata da Barracuda