AI Act: partono le prime richieste dell’AI Office, cosa comporta
Oltre 30 fornitori di modelli hanno ricevuto una richiesta formale di informazioni. Rispondere è obbligatorio e una risposta incompleta si paga fino al 3% del fatturato mondiale.
Bollettino del giorno
Alert di CSIRT Italia, guide e norme europee, riletti dalla fonte e spiegati per chi deve agire.
Ogni alert, tradotto in cosa fare.
Cyberness riscrive in italiano semplice i bollettini di sicurezza e le norme europee che contano: NIS2, DORA, AI Act e Cyber Resilience Act. Per professionisti, PMI e referenti IT.
284articoli pubblicati dal Novembre 2020
41alert di sicurezza spiegati passo per passo
111voci nel glossario dalla A alla V
5norme europee seguite: NIS2, DORA, AI Act, eIDAS 2, CRA
Alert di sicurezza dai bollettini di CSIRT Italia e dei produttori
Tutti gli alert-
24
Undici vulnerabilità nel driver C# di MongoDB, già corrette
Il CSIRT Italia segnala undici vulnerabilità nel MongoDB C# Driver, dalla 2.0.0 alla 3.12.0, con proof of concept disponibili. Esiste l'aggiornamento.
CSIRT ItaliaAL03/261023/CSIRT-ITA
CVE-2026-114644 -
23Critica
Una falla critica in Arista VeloCloud Orchestrator è già sfruttata
Il CSIRT Italia segnala lo sfruttamento attivo della CVE-2026-114625 in VeloCloud Orchestrator On-Prem di Arista Networks, con CVSS 9.9.
CSIRT ItaliaAL01/261023/CSIRT-ITA
CVE-2026-114625 -
23Critica
Due falle critiche in PHP permettono di eseguire codice da remoto
Il CSIRT Italia segnala due falle critiche in PHP (CVSS 9,2) che permettono di eseguire codice da remoto. Sono disponibili PoC.
CSIRT ItaliaAL07/261021/CSIRT-ITA
CVE-2026-109618 -
22Critica
Una falla in Laravel permette di accedere agli account senza token
Il CSIRT Italia segnala la CVE-2026-114509 in Laravel: un bypass dell'autenticazione con CVSSv4 9.2. Disponibile un proof of concept.
CSIRT ItaliaAL02/261022/CSIRT-ITA
CVE-2026-114509 -
22Critica
In Ollama una falla permette di eseguire codice da remoto
Il CSIRT Italia segnala la CVE-2026-103663 in Ollama: punteggio CVSSv4 di 9.4, interessate le versioni dalla 0.34.2 alla 0.35.0 esclusa.
CSIRT ItaliaAL08/261021/CSIRT-ITA
CVE-2026-103663 -
21Critica
Oracle corregge 447 vulnerabilità gravi con l’aggiornamento di ottobre
Il CSIRT Italia segnala il Critical Patch Update di Oracle di ottobre: 64 vulnerabilità critiche e 383 di gravità alta su molti prodotti.
CSIRT ItaliaAL01/261021/CSIRT-ITA -
21Critica
Signal corregge una falla critica nelle chiamate audio e video
Il CSIRT Italia segnala una vulnerabilità critica in RingRTC, la libreria delle chiamate di Signal. Le versioni di Android, iOS e Desktop da aggiornare.
CSIRT ItaliaAL03/261020/CSIRT-ITA
CVE-2026-113380 -
20Alta
Quattro falle in Plex Media Server vengono sfruttate in rete
Il CSIRT Italia segnala lo sfruttamento attivo di quattro vulnerabilità concatenate in Plex Media Server, già corrette dal produttore.
CSIRT ItaliaAL05/261020/CSIRT-ITA
CVE-2026-96652 -
20Critica
Craft CMS corregge otto falle, una delle quali critica
Il CSIRT Italia segnala otto vulnerabilità in Craft CMS, una critica e sette alte. Colpite le versioni 5.x prima della 5.11.0 e 4.x prima…
CSIRT ItaliaAL01/261020/CSIRT-ITA
CVE-2026-112770
Criticagravità critica
Altagravità alta
La gravità è quella indicata nel bollettino; senza badge quando la fonte non la indica.
In primo piano
AnalisiAnthropic e il Pentagono: la sentenza sul ‘rischio supply chain’ e cosa insegna
Una giudice federale dichiara illegittima la designazione di Anthropic come rischio per la supply chain: cosa significa per la governance dei fornitori,…
Wi-Fi pubblico: i rischi e come proteggersi
Reti aperte comode ma insidiose: evil twin, sessioni rubate, intercettazione. Ecco il ruolo di HTTPS, quando serve una VPN e le buone…
VPN: cosa fa davvero e quando serve (e quando no)
Cos'è davvero una VPN, cosa protegge e cosa no. Senza mito dell'anonimato totale né scetticismo cieco: i casi in cui serve e…
Password manager in azienda: la base trascurata
Riuso, password su Excel e credenziali via chat: perché il password manager aziendale è una fondamenta, non un accessorio.
Guide pratiche le basi, una alla volta
Tutte le guide01Accessi
MFA: cos’è l’autenticazione a più fattori e perché attivarla
La password da sola non basta più. Ecco cos'è l'autenticazione a più fattori, quali metodi sono davvero sicuri e dove…
02Accessi
Passkey: cos’è l’accesso senza password e perché conviene
Cosa sono le passkey, come funziona la crittografia a chiave pubblica dietro di esse, perché resistono al phishing e come…
03Persone
Riconoscere una mail di phishing: i segnali che contano
Il phishing punta sulle persone, non sui sistemi. I segnali concreti per smascherare una mail truffa e cosa fare in…
04Minacce
Ransomware: cos’è, come funziona e come difendersi
Cos'è il ransomware, come si sviluppa la catena d'attacco, cosa fare prima e dopo un attacco. Guida pratica alla prevenzione…
05Dati
Backup 3-2-1: come salvare davvero i dati (e testarli)
La regola 3-2-1 e la sua evoluzione 3-2-1-1-0: come costruire backup che reggono davvero, e perché testare il ripristino conta…
06Sistemi
Aggiornamenti software: perché installarli subito
Un aggiornamento non è solo una nuova funzione: spesso chiude una falla di sicurezza. E chi aspetta lascia la porta…
Normative
Le regole europee, lette sul testo.
Obblighi, scadenze e cosa fare in pratica, ricavati direttamente da decreti, regolamenti e determinazioni ACN. Per chi deve adeguarsi e per chi lo segue.
NIS2
D.Lgs. 138/2024
- NIS 2: sei un soggetto essenziale o importante?
- NIS 2: il calendario delle scadenze 2026
- NIS2: come notificare un incidente all’ACN (early warning 24 ore, notifica 72 ore)
- NIS2 e responsabilita degli organi di amministrazione: cosa devono approvare e quale formazione fare entro ottobre 2026
- NIS2: dopo il 30 giugno scattano le misure di sicurezza
DORA
Reg. UE 2022/2554
AI Act
Reg. UE 2024/1689
- AI Act: partono le prime richieste dell’AI Office, cosa comporta
- AI Act, obblighi per i fornitori di modelli GPAI: art. 53 e 55, il Codice di buone pratiche e cosa fa l’AI Office
- AI Act, milestone 2 agosto 2026: cosa scatta per deployer di sistemi ad alto rischio e fornitori GPAI
eIDAS 2
Reg. UE 2024/1183
Intelligenza artificiale e sicurezza
Sezione IA48
articoli nella sezione
Agenti, modelli e nuove superfici d'attacco
Come cambiano attacco e difesa quando entrano in gioco i modelli linguistici: dalle botnet che cercano IA esposte alle identità non umane da governare.
- Prompt injection: perché è il rischio numero uno degli assistenti AI e come difendersi
- AI Act, obblighi per i fornitori di modelli GPAI: art. 53 e 55, il Codice di buone pratiche e cosa fa l’AI Office
- Cyber resilience per le PMI: la checklist delle basi (nell’era degli attacchi AI)
- AI nel SOC: difendere alla velocità della macchina
- Project Glasswing si allarga: la coalizione dei difensori arriva a 150 organizzazioni
- Vulnerability management nel 2026: perche il punteggio CVSS non basta piu
Glossario dalla A alla V
Le parole della sicurezza informatica spiegate in poche righe: dagli attacchi (phishing, DDoS, ransomware) agli strumenti di difesa (firewall, SIEM, honeypot).
Chi scrive
Fausto Pitzalis cura Cyberness dal 2020. Ogni articolo parte da un documento verificabile, citato nel testo: bollettini di CSIRT Italia, determinazioni ACN, Gazzetta Ufficiale, EUR-Lex, avvisi dei produttori.