La DGFiP ha impiegato 48 giorni per rivelare una violazione di 678.000 dati fiscali. La legge francese esenta esplicitamente lo Stato dalle multe GDPR che imporrebbe a un'azienda privata.
CVE-2026-58231 ottiene il punteggio massimo 10.0 in SAP Commerce Cloud. Non esisteva nessun exploit pubblico, ma gli honeypot hanno rilevato attacchi reali tre giorni dopo la patch.
Una chiave AWS esposta ha permesso di copiare il database del CRM benefico Beacon. Le banche hanno il DORA, le infrastrutture critiche il NIS2, il terzo settore non ha né l'uno né l'altro.
Il bollettino di RingCentral del 28 luglio attribuisce l'incidente a una "sofisticata campagna di social engineering" senza dettagli tecnici, dopo che ShinyHunters ha diffuso 1,6 milioni di dati di clienti, lasciando i registri di rischio fornitori in UE e Regno Unito senza nulla da aggiornare.
Clop ha citato Shell, Philips, GE e Fiserv tra quasi 50 vittime di una campagna che ha sfruttato una falla di PTC Windchill corretta due mesi prima. Il materiale sottratto era costituito da dati di ingegneria e di stabilimento, non da dati personali, il che potrebbe eludere la notifica GDPR pur facendo scattare obblighi NIS2 che pochi produttori hanno mappato.
Microsoft attribuisce un nuovo ceppo di ransomware, StormEncryptor, a un gruppo legato alla Cina che è penetrato nelle reti dei clienti sfruttando la stessa falla di N-able N-central che una prima patch non era riuscita a chiudere. N-able ha rilasciato un secondo hotfix il 10 agosto, quattro giorni dopo aver confermato che gli attaccanti avevano già raggiunto gli endpoint gestiti.
CVE-2026-71362 permette a un attaccante non autenticato di cambiare la sessione di un cliente su Adobe Commerce o Magento. Sansec bloccava attacchi reali poche ore dopo la patch.
CVE-2026-55040 e CVE-2026-63520 sono state corrette a un mese di distanza, ma incatenate danno esecuzione di codice remoto non autenticata su ogni versione on-premises di SharePoint supportata.
Il BSI tedesco ha smesso di tutelare i ritardatari NIS2 il 31 luglio. I dati ufficiali mostrano un divario vicino al 40 per cento, e le utility comunali sono le più colpite.
Una falla vCenter con CVSS 9.8 è stata sfruttata attivamente in 47 paesi entro cinque giorni dalla patch, secondo la società forense QUIRSO. Settimane dopo non compare ancora nel catalogo KEV della CISA.
Il proof-of-concept ShieldBreak, pubblicato il 12 agosto, vanifica la patch di luglio di Microsoft per CVE-2026-50656 su Windows 10, 11 e Server 2025 completamente aggiornati. Avere la patch non significa più essere protetti.
ShipMonk, il fornitore di spedizioni di Trezor, è stato violato tramite una falla di Metabase, esponendo gli indirizzi di quasi 13.700 acquirenti di wallet hardware. I dati Chainalysis spiegano perché quella lista vale più di una password.
Pagina 1 / 11
Una nota ragionata su infrastrutture, governance e misurazione, quasi ogni mattina. Niente teoria.