Con la determinazione del 19 settembre 2025, ACN introduce con l’art. 7 la figura del referente CSIRT all’interno degli adempimenti previsti dalla NIS 2. O, per meglio dire, dal decreto di recepimento della direttiva in Italia.

Mentre il punto di contatto è la persona fisica designata dal soggetto NIS che ha il compito di curare l’attuazione delle disposizioni del decreto NIS per conto del soggetto stesso, il referente CSIRT è una persona delegata da questi che ha il compito di interloquire con lo CSIRT Italia, e di effettuare le notifiche degli incidenti e delle informazioni pertinenti.

Le qualità professionali di questa figura consistono nel possesso di competenze di base in materia di sicurezza informatica e gestione degli incidenti informatici, oltre che di una conoscenza approfondita dei sistemi informativi e di rete del soggetto NIS. Tali requisiti devono essere intesi come un presupposto necessario affinché la designazione possa dirsi valida, dal momento che questi è chiamato a svolgere un ruolo eminentemente operativo.

Quali sono gli adempimenti previsti?

La designazione del referente CSIRT avviene a cura del punto di contatto del soggetto NIS attraverso la procedura telematica del Portale ACN fra il 20 novembre e il 31 dicembre 2025. In modo analogo a quanto avviene per i sostituti punto di contatto, è possibile che vengano indicati uno o più sostituti referente CSIRT.

L’art. 7 co. 3 della citata determinazione, stabilisce infatti che:

Al fine di assicurare il tempestivo svolgimento dei compiti del referente CSIRT, con particolare riferimento alla notifica degli incidenti significativi di cui all’articolo 25 del decreto NIS e relativi seguiti, con le medesime modalità di cui al comma 1, possono essere designati uno o più sostituti referente CSIRT.

Questi sostituti, qualora designati, fungono da supporto per il referente CSIRT nell’esercizio delle proprie funzioni e hanno la facoltà di svolgerle per suo conto, dal momento che devono possedere i medesimi requisiti soggettivi di conoscenze e competenze di questi.

A differenza dei sostituti punto di contatto, per i quali la designazione è da intendersi come generalmente obbligatoria a meno che il soggetto NIS non versi “nell’impossibilità materiale di effettuare tale adempimento, in quanto il punto di
contatto è l’unica persona fisica operante nell’organizzazione“, la previsione in organigramma di sostituti CSIRT è una facoltà dell’organizzazione. Ovviamente, l’organizzazione dovrà comunque essere in grado di mantenere la capacità di notificare gli incidenti significativi secondo le previsioni dell’art. 25 del decreto di recepimento della NIS 2.

Il referente CSIRT può essere esterno?

Mentre la deliberazione è chiara nell’escludere che il punto di contatto possa essere un soggetto esterno (il quale ovviamente può ben avvalersi di consulenti e supporto esterni), la stessa previsione non ricorre con riferimento al referente CSIRT.

Pertanto, si può ritenere che, salvo precisazioni di contrario avviso, questa funzione possa essere esternalizzata, sebbene tale opzione debba logicamente prevedere una chiara definizione dei livelli di servizio, nonché valutare che sussistano le capacità adeguate per ricoprire tale ruolo. Capacità che non possono certo limitarsi al possesso di competenze e conoscenze richieste per la funzione, ma che devono presentare evidenze circa la garanzia di un’interlocuzione efficace e tempestiva con lo CSIRT Italia. Soprattutto per la gestione tempestiva degli incidenti.

L'articolo NIS 2: arriva il referente CSIRT, il vero braccio operativo della sicurezza informatica italiana proviene da il blog della sicurezza informatica.

Siamo ancora qui a parlare di chatControl, una cosa che solo in Cina e Corea del Nord.
Non è questione di schieramenti, affondatelo e non parliamone più.
Per votare a favore della sorveglianza generalizzata della popolazione con la scusa di proteggere i picciriddi occorre essere idioti, o in malafede, o entrambe le cose.

spreaker.com/episode/dk-10x05-…

Esistono opere che è corretto definire «monumentali», ma non tanto per la loro mole o il numero di pagine quanto per la completezza e l’autorevolezza sia del testo sia degli autori. In questa categoria rientra senza dubbio il Commentario biblico per il XXI secolo, che in ambito internazionale è meglio noto con il suo titolo originale: The Jerome Biblical Commentary (JBC). Jerome è un chiaro riferimento a san Girolamo e vuole marcare un tributo di riconoscenza e di ispirazione nei confronti della sua famosa Vulgata, risalente alla fine del IV secolo.

Fin dalla prima edizione statunitense del 1968, il volume si caratterizza come un ampio manuale di base di sicuro riferimento per l’esegesi biblica di ambito cattolico, ma in generale è apprezzato dagli studiosi e dagli uomini di cultura di tutte le confessioni religiose, senza tuttavia escludere i laici non credenti interessati ad approfondire la lettura delle Sacre Scritture.

La traduzione in lingua italiana è condotta sulla terza edizione, pubblicata in lingua inglese nel 2022, e tutto il Commentario è stato completamente riveduto e aggiornato non soltanto per tener conto dei progressi negli studi biblici verificatisi dal 1990 (data della seconda edizione) ai giorni nostri, ma anche per renderlo maggiormente fruibile alle persone del nostro secolo.

I testi sono tutti redatti da specialisti per ogni singola materia (se ne contano almeno una novantina). Come viene riconosciuto nella Prefazione, oggi sono a disposizione dei commentatori molteplici strumenti, che vanno dal metodo storico-critico all’analisi retorica, dall’approccio canonico all’analisi narrativa, dall’indagine semiotica agli approfondimenti sociologici, antropologici, culturali e psicologici; e si può ben dire che gli autori dei singoli commenti facciano ricorso a svariati di essi, con talvolta punti di vista o prospettive di approccio chiaramente differenti, che contribuiscono a fornire al lettore un quadro d’insieme pluralistico, al passo con i tempi e teologicamente stimolante.

La prima parte del Commentario è costituita da una serie di articoli introduttivi dedicati alla geografia biblica, all’archeologia dell’Antico e del Nuovo Testamento, alla storia d’Israele, al Gesù storico e alla prima comunità cristiana: articoli propedeutici certamente indispensabili per calare nel contesto storico-ambientale originale gli scritti del canone biblico cattolico.

La seconda e la terza parte sono rispettivamente dedicate ai testi dell’antica e della nuova Alleanza, con uno schema didascalico molto appropriato, perché ogni libro della Bibbia viene affrontato tramite un’ampia introduzione e un puntuale commento, corredandolo infine con una strutturata bibliografia, molto utile per coloro che vogliono indagare ulteriormente i singoli aspetti trattati.

La quarta e ultima parte è interamente dedicata agli approfondimenti di ordine generale. In essa si trattano argomenti complementari ai commenti biblici, ma tutt’altro che secondari, come per esempio la storia dell’interpretazione della Bibbia nella Chiesa, le questioni connesse alla natura della Rivelazione biblica, all’ispirazione e al canone, nonché alla liturgia, all’etica, all’ecumenismo e ai punti di vista interpretativi degli esegeti di differenti aree geopolitiche (africana, latinoamericana, nordamericana, asiatica e, ovviamente, europea).

Particolarmente importante è infine la Prefazione di papa Francesco, che rappresenta uno dei suoi ultimi scritti prima di tornare alla casa del Padre. In essa Francesco ricorda come «la relazione tra il Signore risorto, la comunità dei credenti e la Sacra Scrittura sia essenziale per la nostra identità di cristiani», tanto è vero che «San Gerolamo ha potuto affermare che l’ignoranza delle Scritture è ignoranza di Cristo» (p. 9). La Bibbia dunque «unisce i credenti e li rende un popolo», e pertanto è indispensabile non soltanto leggerla quotidianamente, ma anche conoscerla in profondità per ricavarne tutta l’ispirazione che da essa promana in diversi rivoli e in differenti strati.

Francesco riteneva fondamentale il contributo della scienza biblica alla Chiesa, così come si è espresso in questo autorevole Commentario; infatti, «il ministero di chi disvela la parola di Dio al popolo di Dio è un compito sacro che richiede studio serio, amore profondo e apertura alla bellezza e alla potenza delle Scritture» (p. 10). Lo studio attento e contemplativo della Bibbia fa comprendere ai suoi lettori, e tra loro soprattutto ai credenti, di essere «depositari di un bene che rende più umani e aiuta a condurre una vita nuova» (ivi). A ben guardare, non c’è dunque niente di più prezioso della fede contenuta nei testi sacri per tracciare una rotta sicura per la propria esistenza.

The post Commentario Biblico per il XXI secolo first appeared on La Civiltà Cattolica.

Every Thursday of the week, Bastian’s Night is broadcast from 21:30 CEST (new time).

Bastian’s Night is a live talk show in German with lots of music, a weekly round-up of news from around the world, and a glimpse into the host’s crazy week in the pirate movement.

If you want to read more about @BastianBB: –> This way

piratesonair.net/bastians-nigh…

Although largely recognizable to anyone who had a video game console in the 80s or 90s, cartridges have long since disappeared from the computing world. These squares of plastic with a few ROM modules were a major route to get software for a time, not only for consoles but for PCs as well. Perhaps most famously, the Commodore VIC-20 and Commodore 64 had cartridge slots for both gaming and other software packages. As part of the Chip Hall of Fame created by IEEE Spectrum, [James] found himself building a Commodore cartridge more than three decades after last working in front of one of these computers.

[James] points out that even by the standards of the early 80s the Commodore cartridges were pretty low on specs. They’re limited to 16 kB, which means programming in assembly and doing things like interacting with video hardware directly. Luckily there’s a treasure trove of documentation about the C64 nowadays as well as a number of modern programming tools for them, in contrast to the 80s when tools and documentation were scarce or nonexistent. Hardware these days is cheap as well; the cartridge PCB and other hardware cost only a few dollars, and the case for it can easily be 3D printed.

Burning the software to the $3 ROM chip was straightforward as well with a TL866 programmer, although [James] left a piece of memory management code in the first pass which caused the C64 to lock up. Removing this code and flashing the chip again got the demo up and running though, and it’ll be on display at their travelling “Chips that Changed the World” exhibit. If you find yourself in the opposite situation, though, we’ve also seen projects that cleverly pull the data off of ancient C64 ROM chips for preservation.

hackaday.com/2025/10/06/a-new-…

Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema host sottostante.

Il problema di sicurezza, è stato contrassegnato come CVE-2025-49844 ed è stato rilevato da Wiz Research. A questo problema è stato assegnato il massimo livello di gravità secondo la scala CVSS, con un punteggio di 10,0, una valutazione che indica le vulnerabilità di sicurezza più critiche.

l’analisi condotta da Wiz Research ha rivelato un’ampia superficie di attacco, con circa 330.000 istanze Redis esposte a Internet. È allarmante notare che circa 60.000 di queste istanze non hanno alcuna autenticazione configurata.

La falla di sicurezza, viene causata da un errore di tipo Use-After-Free (UAF) nella gestione della memoria, è presente nel codice di Redis da circa tredici anni. Questa vulnerabilità può essere sfruttata da un utente malintenzionato, dopo aver completato l’autenticazione, attraverso l’invio di uno script Lua appositamente realizzato.

Poiché lo scripting Lua è una funzionalità predefinita, l’aggressore può uscire dall’ambiente sandbox Lua per ottenere l’esecuzione di codice arbitrario sull’host Redis.

Il controllo completo viene garantito all’aggressore a questo livello di accesso, permettendogli di dirottare le risorse di sistema per attività come il mining di criptovalute, di muoversi lateralmente sulla rete, nonché di rubare, eliminare o crittografare i dati.

Il potenziale impatto è amplificato dall’ubiquità di Redis. Si stima che il 75% degli ambienti cloud utilizzi l’archivio dati in-memory per la memorizzazione nella cache, la gestione delle sessioni e la messaggistica.

Il flusso di attacco inizia con l’invio da parte dell’aggressore di uno script Lua dannoso all’istanza vulnerabile di Redis. Dopo aver sfruttato con successo il bug UAF per uscire dalla sandbox, l’aggressore può stabilire una reverse shell per l’accesso persistente. Da lì, possono compromettere l’intero host rubando credenziali come chiavi SSH e token IAM, installando malware ed esfiltrando dati sensibili sia da Redis che dalla macchina host.

Il 3 ottobre 2025, Redis ha rilasciato un avviso di sicurezza e versioni patchate per risolvere il problema CVE-2025-49844. Si consiglia vivamente a tutti gli utenti Redis di aggiornare immediatamente le proprie istanze, dando priorità a quelle esposte a Internet o prive di autenticazione.

L'articolo RediShell: una RCE da score 10 vecchia di 13 anni è stata aggiornata in Redis proviene da il blog della sicurezza informatica.

È stata scoperta una vulnerabilità nel motore di gioco Unity, presente dal 2017. Il problema può essere sfruttato per l’esecuzione di codice su Android e per l’escalation dei privilegi su Windows.

Gli sviluppatori di Valve hanno già aggiornato Steam e Microsoft ha aggiornato Microsoft Defender, consigliando agli utenti di disinstallare i giochi vulnerabili fino a quando non riceveranno le patch.

Il bug di sicurezza

Unity è un motore di gioco e una piattaforma di sviluppo multipiattaforma che fornisce strumenti di rendering, fisica, animazione e scripting per la creazione di giochi per Windows, macOS, Android, iOS, console e web. Unity è alla base di un gran numero di giochi per dispositivi mobili, nonché di numerosi progetti indipendenti per PC e console. La piattaforma viene utilizzata anche al di fuori dell’industria videoludica per creare applicazioni 3D in tempo reale.

La vulnerabilità in Unity, identificata come CVE-2025-59489 (punteggio CVSS 8,4), interessa il componente Runtime. Consente il caricamento non sicuro e l’inclusione di file locali (LFI), che potrebbero portare all’esecuzione di codice e alla divulgazione di informazioni.

Il problema è stato scoperto a maggio di quest’anno da uno specialista di sicurezza di GMO Flatt, noto con lo pseudonimo RyotaK. RyotaK riferisce che il bug riguarda tutti i giochi basati su Unity, a partire dalla versione 2017.1 e successive.

In un rapporto tecnico , RyotaK dimostra che la gestione degli Android Intent da parte di Unity consente a qualsiasi app dannosa installata sullo stesso dispositivo di un gioco vulnerabile di scaricare ed eseguire una libreria nativa fornita dall’aggressore. Questo porta all’esecuzione di codice arbitrario con i privilegi del gioco vulnerabile.

La vulnerabilità consente “l’esecuzione di codice locale e l’accesso a informazioni sensibili sui dispositivi degli utenti finali che eseguono applicazioni basate su Unity”, avvertono gli sviluppatori di Unity nel loro bollettino sulla sicurezza . “L’esecuzione del codice sarebbe limitata al livello di privilegio dell’applicazione vulnerabile e la divulgazione delle informazioni sarebbe limitata alle informazioni accessibili all’applicazione vulnerabile”.

Si sottolinea che al momento non vi sono prove che questa vulnerabilità sia stata sfruttata o che possa avere un impatto sugli utenti o sui clienti.

Gli sviluppatori hanno già preparato delle patch, anche per le versioni non supportate (a partire dalla 2019.1). Le versioni precedenti, da tempo non supportate, non riceveranno correzioni. I passaggi per risolvere il problema includono l’aggiornamento dell’editor di Unity alla versione più recente, la successiva ricostruzione e ridistribuzione dell’applicazione, nonché la sostituzione del binario runtime di Unity con una versione patchata.

Reazione

In seguito alla segnalazione di RyotaK, Valve ha rilasciato un aggiornamento del client Steam che blocca gli schemi URI personalizzati per impedire lo sfruttamento di CVE-2025-59489. Valve raccomanda inoltre agli sviluppatori di ricostruire i propri giochi utilizzando una versione sicura di Unity il prima possibile o di implementare una versione patchata di UnityPlayer.dll nelle build esistenti.

Microsoft ha anche pubblicato un proprio bollettino di sicurezza, raccomandando agli utenti di disinstallare i giochi vulnerabili fino al rilascio di versioni aggiornate che risolvano il problema CVE-2025-59489. L’azienda sottolinea che tra i giochi più popolari interessati dalla vulnerabilità figurano Hearthstone, The Elder Scrolls: Blades, Fallout Shelter, DOOM (2019), Wasteland 3 e Forza Customs.

I rappresentanti di Obsidian affermano di essere stati costretti a rimuovere temporaneamente alcuni giochi e prodotti dagli store digitali (tra cui Grounded 2 Founders Edition, Avowed Premium Edition, Pillars of Eternity: Hero Edition, Pillars of Eternity II: Deadfire e Pentiment) finché non riceveranno “gli aggiornamenti necessari per risolvere il problema”.

L'articolo Un bug critico di 8 anni nel motore di gioco Unity: rischi per Android e Windows proviene da il blog della sicurezza informatica.