When we use the command line on Linux, we often refer to it as a terminal. It’s a word with a past invoking images of serial terminals, rows of green-screened machines hooked up to a central computer somewhere. Those in turn were electronic versions of mechanical teletypes, and it’s one of these machines we’re bringing you today. [DipDoT] has a Lorenz teletype from the 1950s, and he’s taking us through servicing and cleaning it, eventually showing us its inner workings.

The machine in question had been in storage for many years, but remained in good condition. To be this long out of use though meant it needed a thorough clean, so he sets about oiling the many hundreds of maintenance points listed in a Lorenz manual. It’s a pleasant surprise for us to see keyboard and printer unit come away from the chassis for servicing so easily, and by stepping it through its operation step by step we can see how it works in detail. It even incorporates an identifier key — think of it as a mechanical ROM that stores a sequence of letters — which leads him to believe it may have come from a New York news office. The video is below the break, and makes for an interesting watch.

He’s going to use it with a relay computer, but if you don’t have one of those there are more modern ways to do it.

youtube.com/embed/XKv8w1sUX_o?…

hackaday.com/2025/10/07/a-lore…

Nel contesto attuale, dove il cybercrime evolve a ritmi senza precedenti, la sicurezza informatica aziendale è prerequisito competitivo e non solo obbligo normativo (NIS2).

Aziende di tutte le dimensioni sono continuamente esposte a minacce sofisticate che possono mettere a rischio dati, continuità operativa e reputazione. In questa guida tecnica scoprirai sette direttrici fondamentali per proteggere efficacemente le infrastrutture aziendali e garantire la compliance ai principali standard di settore.

1 – Asset inventory e mappatura delle infrastrutture

Prima di implementare qualsiasi strategia difensiva, è fondamentale comprendere appieno l’ambiente da proteggere. Questo richiede:

• Censimento Hardware e Software: realizza un inventario dettagliato di ogni componente IT e OT, inclusi dispositivi di rete, endpoint, risorse cloud e apparati legacy.
• Risk mapping: associa a ciascun asset una classificazione rispetto a criticità, esposizione e impatto potenziale in caso di compromissione.
• Automazione: sfrutta piattaforme di discovery automatizzato per monitorare modifiche e anomalie in tempo reale, che ti permette una gestione efficace delle risorse e una rilevazione tempestiva delle anomalie.

2 – Gestione delle identità e accessi (IAM)

La corretta gestione delle identità è cruciale per prevenire intrusioni indesiderate. È indispensabile applicare rigorosamente il principio del minimo privilegio e della separazione dei ruoli, limitando così l’accesso alle sole risorse necessarie per ciascun utente.

L’implementazione della Multi-Factor Authentication (MFA), soprattutto per gli account privilegiati e gli accessi da remoto, rappresenta un ulteriore livello di protezione. In contesti eterogenei, l’uso di sistemi di identity federation e single sign-on può ulteriormente mitigare il rischio associato alla gestione delle credenziali.

3 – Hardening, patch management e gestione delle vulnerabilità

Una strategia di sicurezza efficace deve includere misure proattive di hardening e gestione delle vulnerabilità. Scegli tecnologie che incorporano i principi di“Secure by Design” e “Secure by Default”, ovvero sicurezza incorporata già in fase di progettazione, e secure by default, con configurazioni di sicurezza ottimali già preimpostate.

Automatizza i cicli di aggiornamento e verifica la corretta applicazione, anche per sistemi operativi custom o embedded (patch management).

Completa il processo con audit periodici, vulnerability assessment e penetration test certificati secondo standard ISO/NIST, per identificare nuove superfici di rischio.

4 – Monitoraggio Continuo, Log Management e SIEM

Per una protezione continua ed efficace è necessario un monitoraggio costante del traffico di rete e delle attività dei sistemi tramite soluzioni Network Detection and Response (NDR) e SIEM, seguendo best practice GDPR e ISO 27001.

Inoltre, conserva i log in modo certificato e inalterabile per garantire tracciabilità e accountability in caso di incident response, conforme ai requisiti normativi.

5 – Difesa a strati: firewall, IDS/IPS, honeypot e segmentazione

Una difesa robusta si basa su più livelli di protezione:

• Firewall avanzati: utilizza dispositivi di nuova generazione (NGFW) con capacità di deep packet inspection, application control e threat intelligence.
• IDS/IPS e honeypot: integra sistemi di Intrusion Detection & Prevention base AI, e honeypot dinamici per l’inganno attivo delle minacce, monitorando pattern di attacco reali su asset esca.
• Segmentazione della rete: isola reti critiche tramite VLAN, DMZ e policy di accesso segmentate, prevenendo la lateral movement.

6 – Formazione del personale e cultura della sicurezza

La formazione del personale rappresenta una delle migliori di fese contro le minacce informatiche e prevenire il crimine informatico. Programmi di awareness periodici e simulazioni di attacco permettono di testare e migliorare continuamente la reattività tecnica e organizzativa dell’azienda.

Una cultura aziendale orientata alla sicurezza favorisce inoltre la collaborazione e la comunicazione tra i vari dipartimenti, accelerando la gestione degli incidenti.

7 – Data security, backup, encryption e compliance normativa

La sicurezza dei dati aziendali passa anche attraverso backup regolari, testati e possibilmente air-gap, per una rapida recovery in caso di ransomware o altre minacce.

La crittografia end-to-end e l’adozione di tokenization proteggono i dati sensibili nel rispetto del GDPR e della ISO 27001.

Infine, è indispensabile un continuo aggiornamento normativo(NIS2, Privacy Code, GDPR) per garantire compliance e sicurezza nel lungo termine. Come costruire una sicurezza “Plug & Play” con LECS! L’NDR LECS, con la sua architettura proprietaria e patent blackbox di cybersecurity, incarna il paradigma secure by design: ogni dispositivo si autodetermina, lavora in modalità stealth, include honeypot integrato, AI per detection e response in real time, controllo dashboard user friendly e certificazione avanzata dei log.

La soluzione plug & play riduce drasticamente la curva d’adozione e garantisce la massima protezione senza bloccare la produttività aziendale.

Best practice per il futuro

Audit regolare: documenta ogni attività e aggiorna il piano della sicurezza almeno annualmente o dopo ogni cambiamento rilevante nelle infrastrutture IT/OT.

Supply Chain Security: richiedi ai fornitori garanzie “secure by design” e “secure by default”, verificando la resilienza delle terze parti sull’intero ciclo di vita del dato. Investire nella sicurezza IT per PMI e grandi aziende non è più rimandabile: adottare un approccio strutturato, aggiornato e tecnicamente evoluto consente di proteggere l’azienda da rischi esistenziali, garantendo competitività, operatività e reputazione nel lungo periodo.

L'articolo 7 passi per proteggere la tua impresa con la sicurezza informatica e LECS proviene da il blog della sicurezza informatica.

Durante l’Italian Tech Week di Torino, Jeff Bezos, fondatore di Amazon e uno degli uomini più ricchi al mondo (con un patrimonio stimato di 235,4 miliardi di dollari secondo Forbes Real-Time), ha definito l’attuale entusiasmo per l’intelligenza artificiale (IA) come una “bolla”.

“Sebbene l’IA in questo momento sia una bolla, è davvero una di quelle tecnologie destinate a cambiare tutto. Come l’aratro, come l’elettricità”

Bezos ha spiegato che in momenti di grande euforia come quello attuale, “ogni esperimento viene finanziato, ogni azienda riceve fondi, indipendentemente dalla qualità delle idee”. Secondo il miliardario, questo scenario rende difficile per gli investitori distinguere tra progetti validi e iniziative destinate al fallimento, sottolineando come molte società ottengano finanziamenti miliardari prima ancora di lanciare un prodotto sul mercato.

Nonostante i rischi, Bezos ritiene che la cosiddetta “bolla industriale” dell’IA possa avere effetti positivi nel lungo periodo. Ha ricordato l’esempio della bolla biotecnologica degli anni ’90, quando numerose aziende fallirono e molti investitori persero denaro, ma da quel fermento nacquero anche farmaci salvavita. “Quando tutto si sarà stabilizzato, emergeranno i veri vincitori, e la società beneficerà delle loro innovazioni”, ha dichiarato, aggiungendo che l’intelligenza artificiale trasformerà ogni settore e aumenterà la produttività di tutte le imprese nel mondo.

Bezos non è l’unico a mettere in guardia contro una possibile sopravvalutazione del mercato dell’IA. Sam Altman, CEO di OpenAI (con un patrimonio stimato di 2,3 miliardi di dollari secondo Forbes Real-Time), aveva espresso un’opinione analoga ad agosto. In un’intervista a The Verge, Altman ha affermato che “le bolle nascono quando persone intelligenti si entusiasmano troppo per una verità di fondo”, pur riconoscendo che l’IA rappresenta “l’innovazione più importante degli ultimi tempi”.

Anche Elon Musk, fondatore di Tesla e SpaceX e attualmente l’uomo più ricco del mondo (481,9 miliardi di dollari secondo Forbes Real-Time), ha espresso preoccupazione per la rapidità dei progressi dell’intelligenza artificiale. A luglio, su X (ex Twitter), Musk ha scritto che l’IA ha già superato la maggior parte delle capacità umane e che entro cinque anni potrebbe diventare più intelligente di qualsiasi essere umano.

Il dibattito sulla “bolla dell’intelligenza artificiale” sembra quindi destinato a proseguire, alimentato dalle opinioni divergenti dei leader tecnologici che, pur riconoscendone i rischi, ne intravedono un potenziale trasformativo senza precedenti.

L'articolo Jeff Bezos, fondatore di Amazon: l’entusiasmo per l’IA è una bolla! proviene da il blog della sicurezza informatica.

Negli ultimi anni, il tema delle terre rare è tornato al centro del dibattito internazionale, soprattutto per il ruolo dominante della Cina in questo settore strategico. Molti si chiedono: perché gli Stati Uniti devono acquistare terre rare dalla Cina, nonostante possiedano riserve significative?

I dati del Governo degli Stati Uniti del 2022 chiariscono alcuni aspetti. La Cina detiene 44 milioni di tonnellate di riserve di terre rare, pari al 33,8% delle riserve globali, ma produce il 69,2% del totale mondiale.

Le radici della supremazia cinese

Il vantaggio della Cina non si limita alle quantità di minerale, ma si fonda su decenni di sviluppo tecnologico e sull’integrazione completa della filiera industriale. Già nel 1972, il chimico Xu Guangxian sviluppò la teoria dell’estrazione a cascata, applicata con successo su scala industriale nel 1974 presso l’acciaieria di Baotou.

Questo metodo rivoluzionario permise alla Cina di superare la produzione statunitense nel 1986 e di controllare due terzi della produzione globale negli anni ’90, spingendo molti produttori internazionali a ritirarsi dal mercato.

Dal 2014 al 2023, sei aziende principali sono state integrate in due gruppi principali – China Rare Earth e Northern Rare Earth – creando una filiera completa per terre rare leggere, medie e pesanti, con una capacità produttiva del 92% per i magneti permanenti, purezza delle terre rare pesanti di grado 6N (99,9999%), utilizzo dell’85% dei rifiuti solidi e riduzione delle emissioni di oltre il 60%.

Cosa sono le terre rare e perché sono strategiche

Gli elementi definiti “terre rare” comprendono 15 lantanidi: lantanio (La), cerio (Ce), praseodimio (Pr), neodimio (Nd), promezio (Pm), samario (Sm), europio (Eu), gadolinio (Gd), terbio (Tb), disprosio (Dy), olmio (Ho), erbio (Er), tulio (Tm), itterbio (Yb) e lutezio (Lu), più scandio e ittrio, per un totale di 17 elementi.

Non sono rari in senso assoluto: la loro abbondanza nella crosta terrestre è maggiore del rame e oltre 90.000 volte superiore all’oro. Tuttavia, la difficoltà di separazione e purificazione li rende complessi da sfruttare industrialmente.

Le terre rare si distinguono tra leggere e pesanti, ma la classificazione non si basa sul peso atomico bensì sul comportamento chimico e minerale. La Cina è attualmente l’unico Paese al mondo capace di produrre terre rare pesanti con purezza 6N, mentre altri Paesi non superano il grado 4N (99,99%).

La storia statunitense

Negli anni ’60 e ’70, gli Stati Uniti, grazie alla Molycorp Mining Corporation, dominavano la produzione mondiale di terre rare.

Tuttavia, l’estrazione comportava contaminazione da torio. Nel 1980, la Nuclear Regulatory Commission (NRC), seguendo le indicazioni dell’Agenzia internazionale per l’energia atomica, impose regolazioni stringenti, aumentando i costi e causando la contrazione del settore.

La miniera Yamaguchi chiuse nel 1998 e per anni gli USA persero la capacità di purificazione commerciale, riprendendo attenzione al tema solo nel 2002.

Xu Guangxian e l’innovazione cinese

La Cina ha superato le competenze straniere grazie a innovazioni come l’estrazione a cascata di Xu Guangxian, basata sul concetto di “rapporto di estrazione mista costante”. Questa metodologia permise di trasformare un processo empirico, lento e costoso, in un sistema teorico e matematico, applicabile su larga scala industriale già dal 1974.

Nei decenni successivi, tecniche come “le tre uscite”, “l’amplificazione in un’unica fase” e l'”innesto” hanno consolidato il primato tecnologico cinese.

Nel 1986 la produzione cinese superò quella degli Stati Uniti e negli anni ’90 rappresentava oltre i due terzi del mercato mondiale, portando a cali drastici dei prezzi globali e alla chiusura di molte aziende estere.

L’integrazione industriale moderna

A partire dal 2014, la Cina ha consolidato centinaia di aziende in pochi gruppi principali, creando un ecosistema industriale completo. Questo ha reso possibile:

• Produzione stabile di terre rare pesanti e leggere;
• Capacità produttiva superiore per i magneti permanenti (oltre 92% della produzione globale nel 2020);
• Controllo dei margini industriali lungo tutta la filiera;
• Miglior gestione ambientale: uso dell’85% dei rifiuti solidi e riduzione delle emissioni di oltre il 60%.

All’estero, impianti come Lynas in Malaysia hanno raggiunto solo di recente livelli comparabili nella purificazione delle terre rare pesanti, mentre gli USA, nonostante investimenti di quasi un miliardo di dollari nella miniera di Yamaguchi, non sono ancora in grado di lavorare le terre rare pesanti su scala industriale.

Conclusione

La posizione dominante della Cina nel mercato globale delle terre rare non deriva unicamente dalle riserve, ma da un complesso insieme di innovazioni tecnologiche, integrazione industriale e gestione ambientale avanzata.

Dal 2000, il Paese ha prodotto oltre l’85% dei minerali mondiali e oltre il 95% dei prodotti di fusione e separazione. Brevetti e nuove tecnologie continuano a consolidare questo vantaggio, rendendo difficile per gli altri Paesi riprodurre l’intera filiera industriale.

L'articolo Perché gli Stati Uniti comprano terre rare dalla Cina nonostante le proprie riserve? proviene da il blog della sicurezza informatica.

Con la determinazione del 19 settembre 2025, ACN introduce con l’art. 7 la figura del referente CSIRT all’interno degli adempimenti previsti dalla NIS 2. O, per meglio dire, dal decreto di recepimento della direttiva in Italia.

Mentre il punto di contatto è la persona fisica designata dal soggetto NIS che ha il compito di curare l’attuazione delle disposizioni del decreto NIS per conto del soggetto stesso, il referente CSIRT è una persona delegata da questi che ha il compito di interloquire con lo CSIRT Italia, e di effettuare le notifiche degli incidenti e delle informazioni pertinenti.

Le qualità professionali di questa figura consistono nel possesso di competenze di base in materia di sicurezza informatica e gestione degli incidenti informatici, oltre che di una conoscenza approfondita dei sistemi informativi e di rete del soggetto NIS. Tali requisiti devono essere intesi come un presupposto necessario affinché la designazione possa dirsi valida, dal momento che questi è chiamato a svolgere un ruolo eminentemente operativo.

Quali sono gli adempimenti previsti?

La designazione del referente CSIRT avviene a cura del punto di contatto del soggetto NIS attraverso la procedura telematica del Portale ACN fra il 20 novembre e il 31 dicembre 2025. In modo analogo a quanto avviene per i sostituti punto di contatto, è possibile che vengano indicati uno o più sostituti referente CSIRT.

L’art. 7 co. 3 della citata determinazione, stabilisce infatti che:

Al fine di assicurare il tempestivo svolgimento dei compiti del referente CSIRT, con particolare riferimento alla notifica degli incidenti significativi di cui all’articolo 25 del decreto NIS e relativi seguiti, con le medesime modalità di cui al comma 1, possono essere designati uno o più sostituti referente CSIRT.

Questi sostituti, qualora designati, fungono da supporto per il referente CSIRT nell’esercizio delle proprie funzioni e hanno la facoltà di svolgerle per suo conto, dal momento che devono possedere i medesimi requisiti soggettivi di conoscenze e competenze di questi.

A differenza dei sostituti punto di contatto, per i quali la designazione è da intendersi come generalmente obbligatoria a meno che il soggetto NIS non versi “nell’impossibilità materiale di effettuare tale adempimento, in quanto il punto di
contatto è l’unica persona fisica operante nell’organizzazione“, la previsione in organigramma di sostituti CSIRT è una facoltà dell’organizzazione. Ovviamente, l’organizzazione dovrà comunque essere in grado di mantenere la capacità di notificare gli incidenti significativi secondo le previsioni dell’art. 25 del decreto di recepimento della NIS 2.

Il referente CSIRT può essere esterno?

Mentre la deliberazione è chiara nell’escludere che il punto di contatto possa essere un soggetto esterno (il quale ovviamente può ben avvalersi di consulenti e supporto esterni), la stessa previsione non ricorre con riferimento al referente CSIRT.

Pertanto, si può ritenere che, salvo precisazioni di contrario avviso, questa funzione possa essere esternalizzata, sebbene tale opzione debba logicamente prevedere una chiara definizione dei livelli di servizio, nonché valutare che sussistano le capacità adeguate per ricoprire tale ruolo. Capacità che non possono certo limitarsi al possesso di competenze e conoscenze richieste per la funzione, ma che devono presentare evidenze circa la garanzia di un’interlocuzione efficace e tempestiva con lo CSIRT Italia. Soprattutto per la gestione tempestiva degli incidenti.

L'articolo NIS 2: arriva il referente CSIRT, il vero braccio operativo della sicurezza informatica italiana proviene da il blog della sicurezza informatica.

Siamo ancora qui a parlare di chatControl, una cosa che solo in Cina e Corea del Nord.
Non è questione di schieramenti, affondatelo e non parliamone più.
Per votare a favore della sorveglianza generalizzata della popolazione con la scusa di proteggere i picciriddi occorre essere idioti, o in malafede, o entrambe le cose.

spreaker.com/episode/dk-10x05-…

Esistono opere che è corretto definire «monumentali», ma non tanto per la loro mole o il numero di pagine quanto per la completezza e l’autorevolezza sia del testo sia degli autori. In questa categoria rientra senza dubbio il Commentario biblico per il XXI secolo, che in ambito internazionale è meglio noto con il suo titolo originale: The Jerome Biblical Commentary (JBC). Jerome è un chiaro riferimento a san Girolamo e vuole marcare un tributo di riconoscenza e di ispirazione nei confronti della sua famosa Vulgata, risalente alla fine del IV secolo.

Fin dalla prima edizione statunitense del 1968, il volume si caratterizza come un ampio manuale di base di sicuro riferimento per l’esegesi biblica di ambito cattolico, ma in generale è apprezzato dagli studiosi e dagli uomini di cultura di tutte le confessioni religiose, senza tuttavia escludere i laici non credenti interessati ad approfondire la lettura delle Sacre Scritture.

La traduzione in lingua italiana è condotta sulla terza edizione, pubblicata in lingua inglese nel 2022, e tutto il Commentario è stato completamente riveduto e aggiornato non soltanto per tener conto dei progressi negli studi biblici verificatisi dal 1990 (data della seconda edizione) ai giorni nostri, ma anche per renderlo maggiormente fruibile alle persone del nostro secolo.

I testi sono tutti redatti da specialisti per ogni singola materia (se ne contano almeno una novantina). Come viene riconosciuto nella Prefazione, oggi sono a disposizione dei commentatori molteplici strumenti, che vanno dal metodo storico-critico all’analisi retorica, dall’approccio canonico all’analisi narrativa, dall’indagine semiotica agli approfondimenti sociologici, antropologici, culturali e psicologici; e si può ben dire che gli autori dei singoli commenti facciano ricorso a svariati di essi, con talvolta punti di vista o prospettive di approccio chiaramente differenti, che contribuiscono a fornire al lettore un quadro d’insieme pluralistico, al passo con i tempi e teologicamente stimolante.

La prima parte del Commentario è costituita da una serie di articoli introduttivi dedicati alla geografia biblica, all’archeologia dell’Antico e del Nuovo Testamento, alla storia d’Israele, al Gesù storico e alla prima comunità cristiana: articoli propedeutici certamente indispensabili per calare nel contesto storico-ambientale originale gli scritti del canone biblico cattolico.

La seconda e la terza parte sono rispettivamente dedicate ai testi dell’antica e della nuova Alleanza, con uno schema didascalico molto appropriato, perché ogni libro della Bibbia viene affrontato tramite un’ampia introduzione e un puntuale commento, corredandolo infine con una strutturata bibliografia, molto utile per coloro che vogliono indagare ulteriormente i singoli aspetti trattati.

La quarta e ultima parte è interamente dedicata agli approfondimenti di ordine generale. In essa si trattano argomenti complementari ai commenti biblici, ma tutt’altro che secondari, come per esempio la storia dell’interpretazione della Bibbia nella Chiesa, le questioni connesse alla natura della Rivelazione biblica, all’ispirazione e al canone, nonché alla liturgia, all’etica, all’ecumenismo e ai punti di vista interpretativi degli esegeti di differenti aree geopolitiche (africana, latinoamericana, nordamericana, asiatica e, ovviamente, europea).

Particolarmente importante è infine la Prefazione di papa Francesco, che rappresenta uno dei suoi ultimi scritti prima di tornare alla casa del Padre. In essa Francesco ricorda come «la relazione tra il Signore risorto, la comunità dei credenti e la Sacra Scrittura sia essenziale per la nostra identità di cristiani», tanto è vero che «San Gerolamo ha potuto affermare che l’ignoranza delle Scritture è ignoranza di Cristo» (p. 9). La Bibbia dunque «unisce i credenti e li rende un popolo», e pertanto è indispensabile non soltanto leggerla quotidianamente, ma anche conoscerla in profondità per ricavarne tutta l’ispirazione che da essa promana in diversi rivoli e in differenti strati.

Francesco riteneva fondamentale il contributo della scienza biblica alla Chiesa, così come si è espresso in questo autorevole Commentario; infatti, «il ministero di chi disvela la parola di Dio al popolo di Dio è un compito sacro che richiede studio serio, amore profondo e apertura alla bellezza e alla potenza delle Scritture» (p. 10). Lo studio attento e contemplativo della Bibbia fa comprendere ai suoi lettori, e tra loro soprattutto ai credenti, di essere «depositari di un bene che rende più umani e aiuta a condurre una vita nuova» (ivi). A ben guardare, non c’è dunque niente di più prezioso della fede contenuta nei testi sacri per tracciare una rotta sicura per la propria esistenza.

The post Commentario Biblico per il XXI secolo first appeared on La Civiltà Cattolica.

Every Thursday of the week, Bastian’s Night is broadcast from 21:30 CEST (new time).

Bastian’s Night is a live talk show in German with lots of music, a weekly round-up of news from around the world, and a glimpse into the host’s crazy week in the pirate movement.

If you want to read more about @BastianBB: –> This way

piratesonair.net/bastians-nigh…

Although largely recognizable to anyone who had a video game console in the 80s or 90s, cartridges have long since disappeared from the computing world. These squares of plastic with a few ROM modules were a major route to get software for a time, not only for consoles but for PCs as well. Perhaps most famously, the Commodore VIC-20 and Commodore 64 had cartridge slots for both gaming and other software packages. As part of the Chip Hall of Fame created by IEEE Spectrum, [James] found himself building a Commodore cartridge more than three decades after last working in front of one of these computers.

[James] points out that even by the standards of the early 80s the Commodore cartridges were pretty low on specs. They’re limited to 16 kB, which means programming in assembly and doing things like interacting with video hardware directly. Luckily there’s a treasure trove of documentation about the C64 nowadays as well as a number of modern programming tools for them, in contrast to the 80s when tools and documentation were scarce or nonexistent. Hardware these days is cheap as well; the cartridge PCB and other hardware cost only a few dollars, and the case for it can easily be 3D printed.

Burning the software to the $3 ROM chip was straightforward as well with a TL866 programmer, although [James] left a piece of memory management code in the first pass which caused the C64 to lock up. Removing this code and flashing the chip again got the demo up and running though, and it’ll be on display at their travelling “Chips that Changed the World” exhibit. If you find yourself in the opposite situation, though, we’ve also seen projects that cleverly pull the data off of ancient C64 ROM chips for preservation.

hackaday.com/2025/10/06/a-new-…

Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema host sottostante.

Il problema di sicurezza, è stato contrassegnato come CVE-2025-49844 ed è stato rilevato da Wiz Research. A questo problema è stato assegnato il massimo livello di gravità secondo la scala CVSS, con un punteggio di 10,0, una valutazione che indica le vulnerabilità di sicurezza più critiche.

l’analisi condotta da Wiz Research ha rivelato un’ampia superficie di attacco, con circa 330.000 istanze Redis esposte a Internet. È allarmante notare che circa 60.000 di queste istanze non hanno alcuna autenticazione configurata.

La falla di sicurezza, viene causata da un errore di tipo Use-After-Free (UAF) nella gestione della memoria, è presente nel codice di Redis da circa tredici anni. Questa vulnerabilità può essere sfruttata da un utente malintenzionato, dopo aver completato l’autenticazione, attraverso l’invio di uno script Lua appositamente realizzato.

Poiché lo scripting Lua è una funzionalità predefinita, l’aggressore può uscire dall’ambiente sandbox Lua per ottenere l’esecuzione di codice arbitrario sull’host Redis.

Il controllo completo viene garantito all’aggressore a questo livello di accesso, permettendogli di dirottare le risorse di sistema per attività come il mining di criptovalute, di muoversi lateralmente sulla rete, nonché di rubare, eliminare o crittografare i dati.

Il potenziale impatto è amplificato dall’ubiquità di Redis. Si stima che il 75% degli ambienti cloud utilizzi l’archivio dati in-memory per la memorizzazione nella cache, la gestione delle sessioni e la messaggistica.

Il flusso di attacco inizia con l’invio da parte dell’aggressore di uno script Lua dannoso all’istanza vulnerabile di Redis. Dopo aver sfruttato con successo il bug UAF per uscire dalla sandbox, l’aggressore può stabilire una reverse shell per l’accesso persistente. Da lì, possono compromettere l’intero host rubando credenziali come chiavi SSH e token IAM, installando malware ed esfiltrando dati sensibili sia da Redis che dalla macchina host.

Il 3 ottobre 2025, Redis ha rilasciato un avviso di sicurezza e versioni patchate per risolvere il problema CVE-2025-49844. Si consiglia vivamente a tutti gli utenti Redis di aggiornare immediatamente le proprie istanze, dando priorità a quelle esposte a Internet o prive di autenticazione.

L'articolo RediShell: una RCE da score 10 vecchia di 13 anni è stata aggiornata in Redis proviene da il blog della sicurezza informatica.