AI Act: partono le prime richieste dell’AI Office, cosa comporta
Oltre 30 fornitori di modelli hanno ricevuto una richiesta formale di informazioni. Rispondere è obbligatorio e una risposta incompleta si paga fino al 3% del fatturato mondiale.
Bollettino del giorno
Alert di CSIRT Italia, guide e norme europee, riletti dalla fonte e spiegati per chi deve agire.
Ogni alert, tradotto in cosa fare.
Cyberness riscrive in italiano semplice i bollettini di sicurezza e le norme europee che contano: NIS2, DORA, AI Act e Cyber Resilience Act. Per professionisti, PMI e referenti IT.
291articoli pubblicati dal Novembre 2020
48alert di sicurezza spiegati passo per passo
111voci nel glossario dalla A alla V
5norme europee seguite: NIS2, DORA, AI Act, eIDAS 2, CRA
Alert di sicurezza dai bollettini di CSIRT Italia e dei produttori
Tutti gli alert-
27Critica
Una falla nella libreria Brotli riguarda Node.js, .NET e Python
Il CSIRT Italia segnala la CVE-2026-111497 nel decoder Brotli, con CVSS 9.2. Disponibile un PoC. Come aggiornare le versioni interessate.
CSIRT ItaliaAL03/261026/CSIRT-ITA
CVE-2026-111497 -
27Critica
IceWarp Server, falle critiche nel PHP integrato: pacchetti disponibili
Il CSIRT Italia segnala le vulnerabilità PHP2Shell in IceWarp Server on-premises: disponibili patch manuali e misure di mitigazione.
CSIRT ItaliaAL04/261026/CSIRT-ITA
CVE-2026-109618 -
26Alta
Dieci falle in Rclone permettono di leggere e alterare file in remoto
Il CSIRT Italia segnala dieci vulnerabilità in Rclone 1.75.1 e precedenti: sono disponibili i PoC. Il vendor ha già corretto i difetti.
CSIRT ItaliaAL02/261026/CSIRT-ITA
CVE-2026-116191 -
26Critica
Il CSIRT Italia segnala che l’81,9% dei servizi PHP è vulnerabile
Secondo il CSIRT Italia, 285.149 servizi PHP usano versioni vulnerabili a PHP2Shell. Per una falla non c'è ancora la patch: la mitigazione indicata.
CSIRT ItaliaAL01/261025/CSIRT-ITA
CVE-2026-109618 -
25Alta
ASUS corregge tre vulnerabilità gravi nel firmware dei router
ASUS ha rilasciato aggiornamenti per tre vulnerabilità di gravità alta nel firmware dei router, serie 3.0.0.6_102, segnala il CSIRT Italia.
CSIRT ItaliaAL02/261023/CSIRT-ITA
CVE-2026-93489 -
25Critica
Splunk corregge vulnerabilità critiche in SOAR ed Enterprise
Il CSIRT Italia segnala aggiornamenti Splunk per vulnerabilità critiche e alte in SOAR ed Enterprise. Ecco le versioni coinvolte e le azioni indicate.
CSIRT ItaliaAL03/261022/CSIRT-ITA -
24Critica
GitLab corregge 12 vulnerabilità, una è di gravità critica
Il CSIRT Italia segnala 12 vulnerabilità in GitLab CE ed EE, una critica e due alte. Gli aggiornamenti sono disponibili per le installazioni self-managed.
CSIRT ItaliaAL01/261022/CSIRT-ITA
CVE-2026-15723 -
24
Undici vulnerabilità nel driver C# di MongoDB, già corrette
Il CSIRT Italia segnala undici vulnerabilità nel MongoDB C# Driver, dalla 2.0.0 alla 3.12.0, con proof of concept disponibili. Esiste l'aggiornamento.
CSIRT ItaliaAL03/261023/CSIRT-ITA
CVE-2026-114644 -
23Critica
Una falla critica in Arista VeloCloud Orchestrator è già sfruttata
Il CSIRT Italia segnala lo sfruttamento attivo della CVE-2026-114625 in VeloCloud Orchestrator On-Prem di Arista Networks, con CVSS 9.9.
CSIRT ItaliaAL01/261023/CSIRT-ITA
CVE-2026-114625
Criticagravità critica
Altagravità alta
La gravità è quella indicata nel bollettino; senza badge quando la fonte non la indica.
In primo piano
AnalisiAnthropic e il Pentagono: la sentenza sul ‘rischio supply chain’ e cosa insegna
Una giudice federale dichiara illegittima la designazione di Anthropic come rischio per la supply chain: cosa significa per la governance dei fornitori,…
Wi-Fi pubblico: i rischi e come proteggersi
Reti aperte comode ma insidiose: evil twin, sessioni rubate, intercettazione. Ecco il ruolo di HTTPS, quando serve una VPN e le buone…
VPN: cosa fa davvero e quando serve (e quando no)
Cos'è davvero una VPN, cosa protegge e cosa no. Senza mito dell'anonimato totale né scetticismo cieco: i casi in cui serve e…
Password manager in azienda: la base trascurata
Riuso, password su Excel e credenziali via chat: perché il password manager aziendale è una fondamenta, non un accessorio.
Guide pratiche le basi, una alla volta
Tutte le guide01Accessi
MFA: cos’è l’autenticazione a più fattori e perché attivarla
La password da sola non basta più. Ecco cos'è l'autenticazione a più fattori, quali metodi sono davvero sicuri e dove…
02Accessi
Passkey: cos’è l’accesso senza password e perché conviene
Cosa sono le passkey, come funziona la crittografia a chiave pubblica dietro di esse, perché resistono al phishing e come…
03Persone
Riconoscere una mail di phishing: i segnali che contano
Il phishing punta sulle persone, non sui sistemi. I segnali concreti per smascherare una mail truffa e cosa fare in…
04Minacce
Ransomware: cos’è, come funziona e come difendersi
Cos'è il ransomware, come si sviluppa la catena d'attacco, cosa fare prima e dopo un attacco. Guida pratica alla prevenzione…
05Dati
Backup 3-2-1: come salvare davvero i dati (e testarli)
La regola 3-2-1 e la sua evoluzione 3-2-1-1-0: come costruire backup che reggono davvero, e perché testare il ripristino conta…
06Sistemi
Aggiornamenti software: perché installarli subito
Un aggiornamento non è solo una nuova funzione: spesso chiude una falla di sicurezza. E chi aspetta lascia la porta…
Normative
Le regole europee, lette sul testo.
Obblighi, scadenze e cosa fare in pratica, ricavati direttamente da decreti, regolamenti e determinazioni ACN. Per chi deve adeguarsi e per chi lo segue.
NIS2
D.Lgs. 138/2024
- NIS 2: sei un soggetto essenziale o importante?
- NIS 2: il calendario delle scadenze 2026
- NIS2: come notificare un incidente all’ACN (early warning 24 ore, notifica 72 ore)
- NIS2 e responsabilita degli organi di amministrazione: cosa devono approvare e quale formazione fare entro ottobre 2026
- NIS2: dopo il 30 giugno scattano le misure di sicurezza
DORA
Reg. UE 2022/2554
AI Act
Reg. UE 2024/1689
- AI Act: partono le prime richieste dell’AI Office, cosa comporta
- AI Act, obblighi per i fornitori di modelli GPAI: art. 53 e 55, il Codice di buone pratiche e cosa fa l’AI Office
- AI Act, milestone 2 agosto 2026: cosa scatta per deployer di sistemi ad alto rischio e fornitori GPAI
eIDAS 2
Reg. UE 2024/1183
Intelligenza artificiale e sicurezza
Sezione IA48
articoli nella sezione
Agenti, modelli e nuove superfici d'attacco
Come cambiano attacco e difesa quando entrano in gioco i modelli linguistici: dalle botnet che cercano IA esposte alle identità non umane da governare.
- Prompt injection: perché è il rischio numero uno degli assistenti AI e come difendersi
- AI Act, obblighi per i fornitori di modelli GPAI: art. 53 e 55, il Codice di buone pratiche e cosa fa l’AI Office
- Cyber resilience per le PMI: la checklist delle basi (nell’era degli attacchi AI)
- AI nel SOC: difendere alla velocità della macchina
- Project Glasswing si allarga: la coalizione dei difensori arriva a 150 organizzazioni
- Vulnerability management nel 2026: perche il punteggio CVSS non basta piu
Glossario dalla A alla V
Le parole della sicurezza informatica spiegate in poche righe: dagli attacchi (phishing, DDoS, ransomware) agli strumenti di difesa (firewall, SIEM, honeypot).
Chi scrive
Fausto Pitzalis cura Cyberness dal 2020. Ogni articolo parte da un documento verificabile, citato nel testo: bollettini di CSIRT Italia, determinazioni ACN, Gazzetta Ufficiale, EUR-Lex, avvisi dei produttori.