Nel panorama della cybersecurity di questa settimana emerge un messaggio chiaro: una singola configurazione sbagliata, un accesso dimenticato o una patch rimandata possono aprire la porta ad attacchi concreti e ripetibili. Tra i temi più rilevanti spiccano vulnerabilità nel Linux kernel, tecniche di evasione pensate per ingannare strumenti di analisi basati su intelligenza artificiale e campagne criminali che puntano al furto di credenziali su larga scala.
Uno dei punti più urgenti riguarda DirtyClone (CVE-2026-43503), una nuova variante di una famiglia di difetti che consente escalation di privilegi fino a ottenere root. Il rischio aumenta in ambienti multi-tenant, cloud, cluster Kubernetes e workload containerizzati, dove l’accesso a CAP_NET_ADMIN o l’uso di user namespace non privilegiati può rendere più facile l’abuso. In pratica, non serve un attaccante remoto: se un utente locale o un processo con capability adeguate riesce a sfruttare il bug, l’impatto può diventare critico per l’intera infrastruttura.
Sul fronte delle vulnerabilità sfruttate attivamente si segnala anche una falla di remote code execution in PTC Windchill PDMlink e PTC FlexPLM (CVE-2026-12569), legata a validazione input inadeguata e già usata per installare web shell JSP. Per le aziende che dipendono da piattaforme PDM e PLM la priorità è applicare gli aggiornamenti e verificare eventuali indicatori di compromissione sui server esposti.
Cresce inoltre la pressione legata all’intelligenza artificiale in sicurezza. Da un lato, modelli sempre più capaci accelerano la scoperta di bug e riducono il tempo tra patch ed exploit. Dall’altro, i criminali sperimentano contromisure come Gaslight, un malware macOS progettato per confondere analisi assistite da AI tramite prompt injection e dati di debug falsi nel binario. Questo tipo di anti-analysis punta a far fallire o deviare la valutazione automatizzata, rallentando la risposta.
Le operazioni di contrasto mostrano risultati importanti come la disruption di infrastrutture usate da Amadey e StealC nel modello malware-as-a-service, con server e domini smantellati e milioni di credenziali recuperate. Il dato conferma quanto gli infostealer restino centrali per accessi iniziali e attacchi successivi.