Novità IT: la CISA segnala falle, Apple M6 (29 ott 2026)

In cima alla lista, le vulnerabilità critiche

La notizia IT più importante di oggi è un'ondata di ordini urgenti di patching da parte della statunitense Cybersecurity and Infrastructure Security Agency (CISA). Il 27 ottobre la CISA ha aggiunto al proprio catalogo Known Exploited Vulnerabilities (KEV) la CVE-2026-111497, soprannominata "Node2Shell". Il bug è una falla di scrittura fuori dai limiti nella libreria di compressione Brotli di Google, che interessa le versioni dalla 1.0.3 alla 1.2.0. Gli operatori di honeypot Previdian ed ELLIO avevano già registrato tentativi di sfruttamento reali prima dell'inserimento da parte della CISA. Le agenzie federali hanno tempo fino al 10 novembre per rimediare, ma qualsiasi organizzazione che usi versioni di Brotli interessate dovrebbe considerare la questione prioritaria, perché Brotli è ampiamente integrata in server web e browser.

Un giorno prima la CISA aveva segnalato anche due vulnerabilità critiche di PHP, la CVE-2026-109618 e la CVE-2026-109619, entrambe in grado di consentire l'esecuzione di codice da remoto senza autenticazione. Ai gestori di siti si raccomanda di aggiornare subito a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35. Considerando quanta parte del web funziona ancora su PHP, si tratta di un'esposizione significativa per aziende e provider di hosting.

Un ottobre difficile per GitLab

GitLab ha dovuto rilasciare la seconda patch di gravità massima (CVSS 10.0) di questo mese. Il 21 ottobre l'azienda ha distribuito una correzione fuori ciclo per la CVE-2026-110264, un overflow di interi nel suo motore di espressioni regolari che interessa ogni release self-managed di GitLab dal 2014 in poi. Il rilascio arriva a soli dieci giorni da quello che ha corretto, nello stesso componente, una falla CVSS 10.0 collegata, la CVE-2026-97229. I team che gestiscono istanze GitLab self-managed dovrebbero verificare subito lo stato delle patch: sono proprio i bug che gli aggressori cercano attivamente.

L'evento "Pro and Tell" di Apple porta il nuovo hardware M6

Più positiva la notizia dell'evento "Pro and Tell" di Apple, tenuto a Los Angeles il 28 ottobre, in cui sono stati presentati un nuovo MacBook Pro da 14 pollici e un iMac aggiornato, entrambi con il nuovo chip M6. Apple dichiara che il MacBook Pro M6 elabora i prompt degli LLM fino a 13 volte più velocemente rispetto al modello M1 originale, con 24 ore di autonomia e supporto al Wi-Fi 7. I preordini sono aperti, con le spedizioni dal 6 novembre. Per sviluppatori e carichi di lavoro IA sul Mac, il miglioramento della velocità di inferenza locale è la novità principale.

Infrastruttura cloud: nuovi collegamenti, ma anche disservizi

AWS e Google Cloud hanno lanciato congiuntamente un nuovo servizio di interconnessione multicloud, che combina AWS Interconnect-multicloud con Cross-Cloud Interconnect di Google Cloud. Il servizio consente alle aziende di creare in pochi minuti, anziché in settimane, collegamenti privati ad alta larghezza di banda tra i due cloud; Salesforce è citata tra i primi utilizzatori. È un passo rilevante per le imprese con carichi di lavoro distribuiti tra più provider, perché elimina un importante collo di bottiglia di rete.

Altrove, qualche giorno difficile sul fronte dell'affidabilità. Cloudflare ha subito un'interruzione di circa 90 minuti che ha colpito i Durable Objects nel Nord America orientale, con ripercussioni su D1, Queues e Workflows. Separatamente, AWS ha segnalato disservizi regionali in Bahrein (me-south-1) e negli Emirati Arabi Uniti (me-central-1) tra il 27 e il 28 ottobre circa, mentre le altre 30 delle sue 32 regioni, così come tutte le 59 regioni Azure, sono rimaste operative per tutto il tempo.

Perché è importante

Il riepilogo di oggi ricorda che i cicli di patching di sicurezza continuano ad accelerare, con tre bug distinti di livello KEV in una sola settimana tra librerie di compressione, PHP e GitLab, mentre i fornitori di hardware e cloud proseguono con nuove funzionalità nonostante qualche interruzione.