Dopo che la vulnerabilità in FreePBX è stata scoperta, è stata immediatamente sfruttata attivamente nell’ecosistema della telefonia IP. La comunità ha notato compromissioni di massa il 21 agosto 2025, e da allora sintomi identici e tracce di manomissioni hanno iniziato a comparire sui forum. I ricercatori di watchTowr Labs hanno confermato che si tratta di un attacco remoto senza autenticazione correlato al modulo Endpoint commerciale e a un errore nell’elaborazione del class autoloader.

Al problema è stato assegnato l’identificatore CVE-2025-57819. FreePBX è un’interfaccia web per Asterisk utilizzata da tutti, dagli appassionati di home office ai fornitori di servizi e ai sistemi aziendali, quindi l’impatto si estende oltre i pannelli interni, consentendo l’accesso a chiamate, segreteria telefonica e registrazioni delle chiamate.

Il primo campanello d’allarme, il 25 agosto, è stato il crash di massa dell’interfaccia con un errore PHP relativo a una classe Symfony mancante. Il giorno successivo, uno degli amministratori ha mostrato un file .clean.sh improvvisamente apparso sul server. Lo script ha analizzato i log in “/var/log/*”, ha cancellato selettivamente le righe in cui potevano esserci riferimenti a web shell e nomi di servizi, per poi cancellarsi. Tale pulizia dei log è un tipico segnale di post-exploitation, quando gli aggressori cancellano le tracce e complicano l’analisi dell’incidente.

WatchTowr ha implementato un sensore FreePBX completamente monitorato e ne ha confrontato il comportamento prima e dopo le correzioni. È emerso che l’accesso diretto al codice vulnerabile si trova all’interno del modulo Endpoint e che il bundle di routing /admin/ajax.php e il meccanismo di caricamento automatico delle classi svolgono un ruolo cruciale. Il codice sorgente di FreePBX prevede un controllo class_exists per il valore del parametro del modulo e, con il valore di caricamento automatico PHP predefinito, questa chiamata passa una stringa all’utente fpbx_framework_autoloader.

Se si invia un modulo del tipo “FreePBXmodulesendpointajax“, l’autoloader raccoglie il percorso “/admin/modules/endpoint/ajax.php” e include semplicemente il file corrispondente, prima che la sessione venga verificata. In questo modo, il codice del modulo viene avviato senza login, ma a quel punto entra in gioco l’errore di validazione in Endpoint: l’iniezione SQL nei parametri del gestore ajax consente di manipolare il database di FreePBX.

In pratica, gli aggressori hanno prima creato un amministratore nascosto “ampuser” – ciò è confermato dalle richieste honeypot catturate, in cui un’operazione INSERT è stata iniettata nella tabella ampusers nel parametro brand. Quindi, per passare dall’accesso al database all’esecuzione di comandi, hanno aggiunto un record alla tabella cron_jobs con la pianificazione standard “* * * * *”, specificando il payload nel campo command – in questo modo, il codice è stato eseguito una volta al minuto per conto delle utilità di sistema di FreePBX. Questa catena watchTowr è stata riprodotta in laboratorio e, per verificare le tracce, è stato pubblicato un generatore di artefatti di rilevamento, che alternativamente tenta di registrare la web shell tramite cron o di aggiungere un nuovo utente.

Gli sviluppatori di FreePBX hanno risposto prontamente e hanno raccomandato di chiudere temporaneamente l’interfaccia di amministrazione tramite elenchi IP o un firewall e di installare aggiornamenti non pianificati per il modulo Endpoint. Per FreePBX 16/17, è stato suggerito il comando “fwconsole ma downloadinstall endpoint –edge”, per PBXAct 16 – “–tag 16.0.88.19”, per PBXAct 17 – “–tag 17.0.2.31”.

Nella descrizione dell’incidente, il team di FreePBX ha specificamente osservato che, a partire dal 21 agosto 2025, una persona sconosciuta ha iniziato ad accedere ai sistemi versione 16 e 17 accessibili da Internet senza un adeguato filtraggio e, dopo il login iniziale e una serie di passaggi sono stati concessi i diritti di root. Allo stesso tempo, watchTowr sottolinea che la correzione modulare risolve l’SQL injection, ma la causa principale, ovvero il caricamento automatico nel kernel, richiede ancora una riconsiderazione, poiché la connessione pre-autenticazione dei singoli file “.php” all’interno di “admin/modules” rimane una via accessibile.

L'articolo La vulnerabilità critica in FreePBX consente un accesso remoto senza autenticazione proviene da il blog della sicurezza informatica.

Microsoft ha iniziato a testare nuove funzionalità basate sull’intelligenza artificiale in Esplora file di Windows 11. Queste funzionalità consentiranno agli utenti di interagire con immagini e documenti direttamente da Esplora file, senza dover aprire i file in app separate.

La nuova funzionalità si chiama “Azioni AI” e attualmente funziona con immagini JPG, JPEG e PNG, consentendo di effettuare le seguenti operazioni:

• Rimuovi sfondo in Paint: ritaglia rapidamente lo sfondo di un’immagine, lasciando solo il soggetto;
• Rimuovi oggetti con l’app Foto: consente di rimuovere elementi indesiderati dalle foto utilizzando l’intelligenza artificiale generativa;
• Sfoca lo sfondo utilizzando l’app Foto: mette a fuoco il soggetto sfocando lo sfondo;
• Ricerca immagini con Bing Visual Search : la ricerca visiva con Bing trova immagini, oggetti, punti di riferimento e altro simili sul Web.

“Le azioni AI” in Esplora file semplificano e velocizzano il lavoro con i file: basta fare clic con il pulsante destro del mouse, ad esempio, per modificare un’immagine o ottenere un riepilogo di un documento”, affermano i rappresentanti Microsoft Amanda Langowski e Brandon LeBlanc.

Queste nuove funzionalità sono disponibili in Windows 11 Insider Preview Build 27938. Insieme a queste, è stata introdotta un’altra utile funzionalità: in Impostazioni > Privacy e sicurezza > Generazione di testo e immagini, viene ora visualizzato un elenco delle app di terze parti che hanno utilizzato di recente modelli di intelligenza artificiale generativa locale di Windows.

L’utente può visualizzare questa attività e gestire l’accesso di queste app alle funzionalità di intelligenza artificiale.

A inizio maggio, Microsoft ha anche introdotto gli agenti di intelligenza artificiale , assistenti intelligenti in grado di modificare le impostazioni di Windows con un comando vocale o di testo. Queste funzionalità sono ora disponibili sui PC Copilot+ e sui processori Snapdragon.

L'articolo Windows 11: Microsoft Rinnova Esplora file introducendo l’intelligenza artificiale proviene da il blog della sicurezza informatica.

There have been plenty of books and movies about how the Manhattan Project brought together scientists and engineers to create the nuclear bomb. Most of them don’t have a lot of technical substance, though. You know — military finds genius, genius recruits other geniuses, bomb! But if you want to hear the story of the engineering, [Brian Potter] tells it all. We mean, like, all of it.

If you’re looking for a quick three-minute read, you’ll want to give this a pass. Save it for a rainy afternoon when you can settle in. Even then, he skips past a lot of what is well known. Instead, he spends quite a bit of time discussing how the project addressed the technical challenges, like separating out U235.

Four methods were considered for that task. Creating sufficient amounts of plutonium was also a problem. Producing a pound of plutonium took 4,000 pounds of uranium. When you had enough material, there was the added problem of getting it together fast enough to explode instead of just having a radioactive fizzle.

There are some fascinating tidbits in the write-up. For example, building what would become the Oak Ridge facility required conductors for electromagnets. Copper, however, was in short supply. It was wartime, after all. So the program borrowed another good conductor, silver, from the Treasury Department. Presumably, they eventually returned it, but [Brian] doesn’t say.

There’s the old story that they weren’t entirely sure they wouldn’t ignite the entire atmosphere but, of course, they didn’t. Not that the nuclear program didn’t have its share of bad luck.

hackaday.com/2025/09/12/everyt…

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha presentato il documento “CISA Strategic Focus CVE Quality for a Cyber Secure Future”, una visione strategica volta a ridefinire il programma Common Vulnerabilities and Exposures (CVE). L’obiettivo è orientare il sistema verso le reali esigenze della comunità globale della sicurezza informatica, ponendo al centro fiducia, reattività e qualità dei dati.

Il documento segna il passaggio da una fase di crescita quantitativa a un'”era di qualità”, che mira a rafforzare la logica costruttiva e l’evoluzione del sistema di difesa cibernetica. Il progetto CVE, nato come strumento universale di identificazione delle vulnerabilità, ha già raggiunto una vasta espansione, con oltre 460 autorità di numerazione coinvolte e una gestione collaborativa globale che ha migliorato l’efficienza complessiva delle attività.

Con l’avanzare della digitalizzazione e l’aumento delle esigenze di protezione delle infrastrutture critiche, il modello basato esclusivamente sull’espansione si è rivelato insufficiente. Da qui la necessità di una nuova fase, fondata sulla creazione di fiducia, sulla velocità di risposta e sulla qualità dei dati prodotti.

CISA ha ribadito che il progetto CVE è un bene pubblico essenziale e deve rispettare tre principi cardine: neutralità rispetto ai fornitori, collaborazione ampia e trasparenza dei processi. La governance, quindi, non deve favorire interessi particolari, ma garantire un approccio inclusivo e verificabile.

Un altro punto centrale è la gratuità e l’accessibilità del CVE, considerato un pilastro della difesa informatica globale. Su queste basi, CISA ha delineato alcune direttrici strategiche: ampliare la rete di partner internazionali, assicurare un sostegno finanziario stabile e avviare processi di modernizzazione dell’infrastruttura e dei servizi.

Tra le priorità indicate figurano anche il rafforzamento della trasparenza e della comunicazione con la comunità, la sistematica integrazione del feedback nella roadmap progettuale, l’ottimizzazione dell’esperienza utente e l’espansione del supporto API. Centrale, inoltre, l’impegno a migliorare la qualità dei dati attraverso standard minimi condivisi, arricchimento delle informazioni e l’uso di tecnologie avanzate come l’intelligenza artificiale.

Secondo CISA, il passaggio all'”era della qualità” avrà effetti non solo sulla resilienza cibernetica degli Stati Uniti, ma sull’intero scenario internazionale. La costruzione di una base dati più affidabile e di meccanismi di collaborazione rafforzati contribuirà a un sistema globale di difesa informatica più solido ed efficiente.

L'articolo CISA lancia nuovo piano per migliorare qualità CVE e difesa informatica globale proviene da il blog della sicurezza informatica.

Per rafforzare la sicurezza della sua piattaforma Teams, Microsoft implementerà un sistema di notifica automatica agli utenti riguardo alla presenza di link pericolosi all’interno dei messaggi di chat. Questa nuova funzione, integrata in Microsoft Defender per Office 365, ha come obiettivo primario la tutela degli utenti contro phishing, spam e malware, attraverso l’identificazione degli URL potenzialmente dannosi scambiati sia all’interno che all’esterno delle conversazioni.

I collegamenti vengono esaminati dal sistema, che li paragona con i motori di rilevamento, basati sull’intelligence delle minacce e sull’apprendimento automatico di Microsoft Defender, al fine di stabilire se costituiscono un rischio.

La distribuzione dell’aggiornamento in anteprima pubblica per i clienti aziendali avrà inizio all’inizio di settembre 2025. La disponibilità generale a livello mondiale sarà completata entro la metà di novembre 2025. Sarà possibile utilizzare la funzionalità su Microsoft Teams attraverso le piattaforme desktop, web, Android e iOS.

Al momento in cui un utente viene in contatto con un messaggio contenente un URL segnalato, un avviso esplicito compare direttamente nella chat, informandolo che il link potrebbe rappresentare un rischio per la sicurezza. Contestualmente, il sistema di notifica comunica anche al mittente che il link condiviso è stato identificato come potenzialmente pericoloso, dandogli la possibilità di correggere o cancellare il messaggio.

Nel caso in cui un link sia contrassegnato come nocivo entro un lasso di tempo di 48 ore dalla sua presentazione, il sistema provvederà ad applicare in via retroattiva un messaggio di avviso sul messaggio, attraverso un processo comunemente noto come Zero-hour auto purge (ZAP).

Il sistema di allarme innovativo si integra alle misure di sicurezza già presenti nell’ambiente Microsoft 365. La sua funzionalità si combina con quella di Safe Links, una caratteristica di Microsoft Defender per Office 365 che esegue la verifica al momento del clic, al fine di salvaguardare gli utenti dai collegamenti dannosi. Grazie ai nuovi messaggi di avviso, viene offerto un livello di protezione preventivo, che informa gli utenti prima che essi interagiscano con l’URL, diversamente da quanto avviene con Safe Links, che assicura protezione solo al momento del clic su un collegamento.

La funzionalità di protezione dagli URL dannosi sarà abilitata per impostazione predefinita una volta che sarà disponibile a livello generale a novembre 2025. Durante il periodo di anteprima pubblica a partire da settembre 2025, gli amministratori dovranno acconsentire all’attivazione degli avvisi.

Gli amministratori IT possono gestire le impostazioni della funzionalità tramite l’interfaccia di amministrazione di Teams, nella sezione “Impostazioni di messaggistica”, o tramite i comandi di PowerShell. Ciò consente alle organizzazioni di configurare la protezione in base alle proprie specifiche policy di sicurezza.

Si consiglia agli amministratori di rivedere queste impostazioni, aggiornare la documentazione interna e informare i propri team di supporto in merito alle nuove funzionalità per garantire un’implementazione senza intoppi.

L'articolo Microsoft Teams alza la difesa: avvisi in tempo reale contro i link dannosi proviene da il blog della sicurezza informatica.

Gli utenti di Windows 11 che hanno installato l’aggiornamento di settembre 2025 potrebbero pensare che non cambi praticamente nulla. A prima vista, KB5065426 sembra una normale piccola patch che Microsoft distribuisce a tutti.

Ma in realtà, le modifiche sono molto più evidenti di quanto sembri.

L’aggiornamento rimuove silenziosamente due vecchi strumenti che alcuni utenti potrebbero ancora avere sui propri sistemi: PowerShell 2.0 e la console WMIC (Windows Management Instrumentation Command-Line). Entrambi erano un tempo ampiamente utilizzati da amministratori e utenti avanzati, ma ora sono considerati obsoleti e non sicuri.

Strumenti che hanno fatto la storia di Windows

PowerShell 2.0 consentiva agli amministratori di lavorare con una shell di comandi Windows separata, ma negli ultimi anni è diventata una fonte di potenziali vulnerabilità. Microsoft se ne sta finalmente liberando, lasciando nel sistema la moderna PowerShell, attualmente disponibile nella versione 7.5.

WMIC, a sua volta, aiutava i clienti aziendali a raccogliere dati sui computer in rete, ma è da tempo considerato obsoleto. L’azienda sottolinea che entrambi gli strumenti sono praticamente inutilizzati e creano solo rischi aggiuntivi.

Oltre a rimuovere i vecchi componenti, l’aggiornamento prepara i computer per la versione principale di Windows 11 25H2, prevista per ottobre. Chi è interessato può provare subito una versione di anteprima.

In futuro, Microsoft promette di offrire agli amministratori maggiore libertà nella gestione della composizione del sistema. Ciò include la possibilità di disabilitare le applicazioni integrate e persino alcune funzioni di intelligenza artificiale utilizzando criteri di gruppo, per rendere Windows 11 più leggero e meno sovraccarico di servizi non necessari.

La visione strategica di Microsoft

La rimozione di PowerShell 2.0 e WMIC con l’aggiornamento di settembre 2025 non è solo un’operazione di pulizia, ma rappresenta un passo strategico per Microsoft. Eliminando strumenti obsoleti e potenzialmente vulnerabili, l’azienda crea le condizioni per ristrutturare gradualmente il codice di Windows, riducendo complessità e rischi. Questo processo permette di concentrare le risorse sullo sviluppo e sul miglioramento delle funzionalità moderne, garantendo un sistema più stabile e sicuro.

In pratica, queste “pulizie” facilitano un vero e proprio refactoring del sistema operativo: il codice viene semplificato e aggiornato senza interrompere le funzionalità principali. La rimozione degli strumenti datati permette agli sviluppatori di sostituire componenti superati con soluzioni più efficienti e sicure, preparandosi così alle future versioni di Windows 11 e alle esigenze di sicurezza sempre più stringenti.

L'articolo Addio a PowerShell 2.0 e WMIC! La grande pulizia di Windows 11 è iniziata proviene da il blog della sicurezza informatica.

Un incidente insolito si è verificato al Campus Spinoza di Amsterdam: un aggressore sconosciuto ha hackerato il sistema di pagamento digitale di cinque lavatrici. Per diverse settimane, gli studenti hanno potuto utilizzare le lavatrici gratuitamente, finché Duwo, la società responsabile degli alloggi per studenti, non ha chiuso l’accesso alla lavanderia durante l’estate. Da allora, oltre 1.200 residenti non hanno potuto lavare i propri vestiti nel campus.

Duwo ha spiegato di non essere in grado di coprire le spese degli studenti: i fondi ricavati dai lavaggi a pagamento servivano per la manutenzione delle attrezzature e per mantenere le tariffe accessibili. Dopo la scoperta della violazione , l’accesso alle macchine è stato completamente bloccato. L’organizzatore dell’attacco non è stato trovato. Si è trattato della prima situazione del genere per le società olandesi.

Gli studenti sono stati costretti a usare dieci vecchie lavatrici manuali in un edificio vicino. Tuttavia, spesso si rompono a causa del sovraccarico e spesso solo una lavatrice funziona per l’intera comunità. I residenti affermano che le code stanno diventando enormi e alcuni sono preoccupati per le condizioni igieniche precarie. Molti notano che il caldo negli edifici è molto più fastidioso del cosiddetto “was-gate”. Altri ammettono di aver sempre preferito lavare i vestiti in questa lavanderia, dove ci sono più lavatrici e code più brevi.

L’esperto di sicurezza informatica Simen Rouwhof ha spiegato che l’hacking dei dispositivi smart home è una tendenza in crescita. Lavatrici o TV connesse a Internet possono essere intercettate utilizzando programmi su un laptop. I dispositivi catturati non solo sono in grado di lavare gratuitamente, ma possono anche essere utilizzati per attacchi informatici: se connessi a una rete, possono bloccare importanti siti web con richieste di massa (DDoS). Secondo Rouwhof, nel caso del campus, i colpevoli erano molto probabilmente gli studenti stessi, che hanno competenze di programmazione. Per loro, un simile esperimento avrebbe potuto rappresentare una sfida e un modo per affermarsi.

Dal punto di vista legale, le conseguenze sono gravi: l’accesso non autorizzato ai dispositivi può comportare fino a un anno di carcere e, se comporta il furto di fondi, la pena può arrivare fino a 6 anni. Ruwhof consiglia agli studenti di segnalare eventuali vulnerabilità riscontrate e di non utilizzarle per scopi personali, altrimenti il tribunale considererà tali azioni come reati.

Duwo ha affermato che passerà presto all’utilizzo di dispositivi tradizionali privi di moduli digitali per prevenire tali incidenti. Secondo Ruwhof, il rifiuto nelle apparecchiature “intelligenti” nelle aree comuni è giustificato: riduce il rischio di fughe di dati e previene la possibilità di attacchi. Ha osservato che anche gli specialisti sono tentati di esaminare tali dispositivi alla ricerca di vulnerabilità.

L'articolo Al Campus Spinoza di Amsterdam, 1.200 studenti tenuti in ostaggio dalle lavatrici proviene da il blog della sicurezza informatica.