Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La vulnerabilità CVE-2026-10702 in Firefox per Android permetteva l'esecuzione di codice arbitrario semplicemente visitando una pagina web malevola. Il bug nel compilatore JIT, corretto con Firefox 151.0.3, può essere concatenato con GhostLock (CVE-2026-43499) per ottenere privilegi root. Nessun attacco confermato, ma l'aggiornamento è fortemente consigliato.
A volte, per hackerare un browser, non è necessario scaricare, confermare o modificare le impostazioni: la vulnerabilità CVE-2026-10702 in Firefox su Android consentiva l’esecuzione di codice arbitrario dopo aver semplicemente visitato una sola pagina dannosa appositamente predisposta.
Nebula Security ha trovato un bug nel compilatore JIT di Firefox, che converte JavaScript eseguito di frequente in codice macchina. Mozilla ha assegnato alla vulnerabilità un punteggio di gravità elevato e l’ha corretta in Firefox 151.0.3. Red Hat ha successivamente valutato la vulnerabilità a 7,5 sulla scala CVSS 3.1. L’analisi della cronologia del codice sorgente ha mostrato che il problema era presente nelle versioni stabili di Firefox dalla 147 alla 151.0.2. Non era presente alcun codice di errore in Firefox ESR 140.12.
L’errore si è verificato a causa di una descrizione errata dell’operazione all’interno del compilatore. Firefox ha ritenuto che l’operazione leggesse solo la memoria, anche se in determinate condizioni potrebbe sostituire il buffer dell’oggetto e liberare quello vecchio.
L’ottimizzatore ha continuato a utilizzare il puntatore ormai non valido, che ha permesso di sostituire i dati liberati e ottenere un accesso casuale alla memoria del processo del browser.
Il CVE-2026-10702 stesso eseguiva codice solo all’interno di un processo Firefox isolato. Gli specialisti di Nebula Security lo hanno utilizzato come prima fase della catena dimostrativa IonStack per un dispositivo ARM64 con Android17. Il codice pubblicato ha funzionato su più build Pixel 10 supportate, modificando le autorizzazioni di memoria e reindirizzando l’esecuzione di WebAssembly al codice incorporato.
La seconda fase della catena era una vulnerabilità separata del kernel Linux CVE-2026-43499 (7.8 sulla scala CVSS 3.1), che Nebula Security chiama GhostLock.
Il primo bug consentiva l’accesso remoto tramite un browser e il secondo consentiva l’accesso root su un dispositivo supportato. Gli esperti non hanno ancora completato la catena completa per l’architettura x86.
Anche le versioni di Tor Browser basate sulle versioni interessate di Firefox erano vulnerabili, ma l’elenco esatto delle versioni non è stato stabilito. Al 28 luglio 2026 non sono stati registrati attacchi confermati contro gli utenti. Gli utenti di Firefox dovrebbero aggiornare all’ultima versione del browser. L’aggiornamento chiude l’accesso tramite CVE-2026-10702, ma non risolve la vulnerabilità GhostLock nel kernel Linux.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/