PHP2Shell è grave, ma non è questo il punto

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 342. Questo mese la falla meglio confezionata di tutte si chiama *sshol (CVE-2026-123158): ha un nome, un logo e un sito con la demo. Dietro il marketing c'è un bug vero in OpenSSH su Linux con musl e senza PAM, Alpine di default compreso: una password lunghissima e sbagliata apre gli account che una password non ce l'hanno, e sulle immagini cloud di Alpine da lì si arriva a root. Vi racconto il marketing delle vulnerabilità, come fa una password sbagliata ad aprire la porta (l'asterisco dal 1980 di Bill Joy, musl nel 2012, il salt prestato di OpenSSH nel 2016), il filo dell'AI che sforna exploit a migliaia (GPT-6 Cyber di OpenAI) e perché la falla stava lì da dieci anni.00:00 Sigla e il marketing delle vulnerabilità04:08 La password sbagliata che apre la porta11:13 Gli sciami di agenti14:16 OutroFonti:sshhole.com – il sito dedicato, con la cronologia e la demo nel browser: https://sshhole.com/Alpine Linux – l'advisory ufficiale, meccanismo e fix: https://alpinelinux.org/posts/2026-11-05-openssh-password-authentication-bypass/Ars Technica – la falla sotto sfruttamento attivo: https://arstechnica.com/security/2026/11/vulnerability-that-lets-hackers-ssh-into-linux-devices-is-under-active-exploitation/BleepingComputer – gli attaccanti entrano nei sistemi Linux: https://www.bleepingcomputer.com/news/security/hackers-exploit-sshole-openssh-flaw-to-breach-linux-systems/The Hacker News – root su un honeypot in poche ore: https://thehackernews.com/2026/11/hackers-exploited-openssh-sshole-flaw.htmlThe Hacker News – l'alert CISA: https://thehackernews.com/2026/11/cisa-warns-of-active-exploitation-of.htmlGitHub – lo script di controllo del ricercatore: https://github.com/oz9un/ssholeOpenAI – GPT-6 Cyber: https://openai.com/index/introducing-gpt-6-cyber/BleepingComputer – GPT-6 Cyber trova 81 falle Firefox e 948 bug Linux: https://www.bleepingcomputer.com/news/security/openais-new-gpt-6-cyber-ai-finds-81-firefox-flaws-948-linux-bugs/La mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#openssh #sicurezza #linux #ssh #alpine

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 341. L'8 novembre Aaron Swartz avrebbe compiuto quarant'anni. A tredici anni lavorava alla specifica di RSS 1.0, il formato dei feed; poi Creative Commons, Markdown, web.py e Reddit. Poi l'attivismo: i documenti dei tribunali americani liberati da PACER, il Guerilla Open Access Manifesto scritto in Italia, e uno script, keepgrabbing.py, che da uno sgabuzzino del MIT scaricava articoli da JSTOR. Per quello script lo Stato americano gli contestò tredici capi d'accusa. Una storia di codice, di accesso alla conoscenza e di un sistema che non ha saputo distinguere un ragazzo da un criminale.Se stai attraversando un momento difficile, puoi parlarne con qualcuno: Telefono Amico Italia, 02 2327 2327, tutti i giorni, 24 ore su 24 (https://www.telefonoamico.it).00:00 Sigla e Aaron Swartz, il ragazzo che scriveva RSS a 13 anni04:57 PACER e JSTOR: come funzionava keepgrabbing.py09:57 Il processo, il SOPA e l'11 gennaio 201313:58 OutroFonti:The Internet's Own Boy di Brian Knappenberger (2014), licenza CC BY-NC-SA 3.0, estratti a scopo di citazione e commento: https://archive.org/details/TheInternetsOwnBoyTheStoryofAaronSwartzHDRSS-DEV Working Group – la specifica di RSS 1.0: https://web.resource.org/rss/1.0/specDaring Fireball – Markdown e il contributo di Aaron: https://daringfireball.net/projects/markdown/Stanford Daily – Infogami, Reddit e Condé Nast: https://stanforddaily.com/2013/01/13/aaron-swartz-prodigy-and-drop-out-takes-own-life/New York Times (2009) – PACER e i documenti dei tribunali: https://law.resource.org/pub/us/case/ftc/Declaration%2001/Exhibit%20K.An%20Effort%20to%20Upgrade%20a%20Court%20Archive%20System%20to%20Free%20and%20Easy%202009-02-12.pdfWired (2009) – l'indagine dell'FBI su PACER: https://www.wired.com/2009/10/swartz-fbi/Ars Technica – Steve Schultze, Aaron e la campagna su PACER: https://arstechnica.com/tech-policy/2013/02/the-inside-story-of-aaron-swartzs-campaign-to-liberate-court-filings/Dave Winer – Payloads for RSS, l'allegato audio nei feed (2001): https://web.archive.org/web/20040621044720/https:/thetwowayweb.com/payloadsforrssThe Atlantic – il patteggiamento proposto dalla procura: https://www.theatlantic.com/technology/archive/2013/01/prosecutor-stands-seeking-jail-time-aaron-swartz/319365/Giovanni Ziccardi, Aggiustare il mondo – il Guerilla Open Access Manifesto: https://it.wikisource.org/wiki/Aggiustare_il_mondo_-_Aaron_Swartz/L'attivismo/8._Il_Guerrilla_Open_Access_ManifestoMilano University Press – Aggiustare il mondo, in accesso aperto: https://libri.unimi.it/index.php/milanoup/catalog/book/100Wired (2011) – l'incriminazione: https://www.wired.com/2011/07/swartz-arrest/Wired (2013) – il video della telecamera del MIT: https://www.wired.com/2013/12/swartz-video/Dipartimento di Giustizia USA – il comunicato del luglio 2011: https://www.justice.gov/archive/usao/ma/news/2011/July/SwartzAaronPR.htmlWired (2012) – i tredici capi d'accusa: https://www.wired.com/2012/09/aaron-swartz-felonySunlight Foundation – le parole di Tim Berners-Lee per Aaron: https://sunlightfoundation.com/2013/01/14/tribute-aaron-swartz/Tim Berners-Lee – We have lost a fighter: https://en.wikisource.org/wiki/We_have_lost_a_fighterFoto: Tim Berners-Lee al WeAreDevelopers 2023 di Berlino, scattata da me. Da Wikimedia Commons: Aaron Swartz e Lawrence Lessig di Gohsuke Takama (CC BY 2.0); Aaron alla protesta contro PIPA di Daniel J. Sieradski (CC BY-SA 2.0); Carl Malamud e Lawrence Lessig di Joi Ito (CC BY 2.0); Aaron nel 2011 di Jason Scott (CC BY 2.0).La mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#aaronswartz #rss #openaccess #storiadellinformatica #copyright

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 340. Un finto project director, due colloqui di lavoro, un compito da scaricare. Così, secondo il primo report di Binance, è cominciato il furto più grande della storia delle criptovalute: più di sei miliardi di dollari in una ventina di minuti, attribuiti dall'FBI alla Corea del Nord. Partiamo dalle basi (cos'è una blockchain, un wallet, un exchange), poi vediamo passo per passo come gli attaccanti hanno preso il sistema che firma i pagamenti e perché nessuno poteva fermarli. Infine il confronto con le banche: nel 2016 lo stesso gruppo provò a rubare quasi un miliardo alla banca centrale del Bangladesh, e il sistema ne bloccò quasi tutto. Zero trust, istituzioni e intermediari: chi protegge davvero i nostri soldi.00:00 Sigla e Blockchain, wallet ed exchange: le basi04:16 Come hanno svuotato Binance08:48 In banca sarebbe andata così?14:35 OutroFonti:Binance – il primo report sull'incidente: https://www.binance.com/en/square/post/384312984895952The Hacker News – il report di Binance e i colloqui finti contati da Chainalysis: https://thehackernews.com/2026/11/binance-reveals-how-fake-job-interviews.htmlCrypto Briefing – il finto colloquio e lo strumento AI interno: https://cryptobriefing.com/binance-attacker-compromised-computer-ai-tool/The Hacker News – le 50 autorizzazioni e l'analisi di Elliptic: https://thehackernews.com/2026/10/binance-suffers-security-breach.htmlWired – il furto in venti minuti: https://www.wired.com/story/the-dollar63-billion-binance-hack-was-pulled-off-in-just-20-minutes/PC Gamer – il sistema che dice alle chiavi cosa firmare: https://www.pcgamer.com/software/security/compromised-laptop-could-be-to-blame-for-record-usd6-3-billion-cryptocurrency-heist-binance-rushes-to-freeze-stolen-assets-as-experts-blame-north-korean-group/PC Gamer – la riapertura e la smentita della Corea del Nord: https://www.pcgamer.com/software/security/users-pull-usd3-6-bn-from-binance-as-it-reopens-following-usd6-3-billion-mega-hack-fbi-says-north-korean-hacking-group-tradertraitor-to-blame-north-korea-says-nuh-uh/The Verge – l'attribuzione dell'FBI: https://www.theverge.com/tech/1024176/north-korea-binance-crypto-heistBleepingComputer – TraderTraitor, Bybit, Drift e Bitget: https://www.bleepingcomputer.com/news/security/fbi-links-63-billion-binance-crypto-heist-to-north-korean-hackers/BleepingComputer – Polymarket, lo stesso giorno: https://www.bleepingcomputer.com/news/security/polymarket-halts-trading-after-crypto-draining-script-breach-25m-traced/TRM Labs – l'analisi on-chain: https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-historyHacken – EIP-7702 e lo sweeper: https://hacken.io/insights/binance-hack/Fireblocks – l'analisi dell'attacco: https://www.fireblocks.com/blog/binance-hack-eip-7702Wikipedia – la rapina alla Bangladesh Bank del 2016: https://en.wikipedia.org/wiki/Bangladesh_Bank_robberyNational Security Archive – i bonifici bloccati: https://nsarchive.gwu.edu/news/cyber-vault/2019-02-20/tainted-troveSWIFT – il Customer Security Programme: https://www.swift.com/news-events/news/swifts-customer-security-programme-wins-top-cybersecurity-awardMIT Technology Review – il web agentico è qui: https://www.technologyreview.com/2026/11/02/1147846/the-agentic-web-is-here/La mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#binance #cybersecurity #crypto #coreadelnord #zerotrust

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 339. SQLite è il database più diffuso al mondo e non ha un server: è una libreria che scrive su un file solo. Ma cosa succede quando un file solo non basta? Partendo dal racconto di Philip O'Toole, che nel 2014 ha messo Raft davanti a SQLite con rqlite, ripercorriamo dodici anni di SQLite distribuito: dqlite, Litestream, LiteFS, cr-sqlite, libSQL e Turso, Cloudflare D1. E le tre risposte che ne sono uscite: consenso, streaming e merge.00:00 Sigla e che cos'è SQLite e perché è ovunque04:51 Raft, rqlite e Litestream: le prime risposte09:32 CRDT, fork e piattaforme: i tre angoli di SQLite13:23 OutroFonti:Philip O'Toole – Twelve years of distributed SQLite: https://philipotoole.com/twelve-years-of-distributed-sqlite/SQLite – About SQLite: https://www.sqlite.org/about.htmlSQLite – quando usarlo: https://www.sqlite.org/whentouse.htmlSQLite – serverless classico e neo-serverless: https://www.sqlite.org/serverless.htmlSQLite – il database più diffuso: https://www.sqlite.org/mostdeployed.htmlSQLite – open source ma non open contribution: https://www.sqlite.org/copyright.htmlWikipedia – la storia di SQLite: https://en.wikipedia.org/wiki/SQLiteLinux Journal – le origini di SQLite (2003): https://www.linuxjournal.com/article/6650Raft – l'algoritmo di consenso: https://raft.github.io/goraft – la libreria Raft usata dal primo rqlite: https://github.com/goraft/raftSupabase – l'acquisizione di Turso: https://supabase.com/blog/supabase-is-acquiring-tursoSQLite – le release 2026 e i bug trovati dalle AI: https://sqlite.org/news.htmlHacker News – la discussione sul post di O'Toole: https://news.ycombinator.com/item?id=50217500La mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#sqlite #database #raft #opensource #rqlite

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali. Amazon è tra gli investitori di Anthropic.Buongiorno da Edo, episodio 338. Anthropic ha depositato il prospetto per quotarsi al Nasdaq con il simbolo ANT. Vediamo cosa c'è dentro: ricavi passati da 41 milioni a 16,3 miliardi in sei mesi, una perdita da 80 miliardi che è quasi tutta contabile, e un motore della crescita che parte dal terminale degli sviluppatori, Claude Code. E poi le curiosità: il rischio che Claude diventi cosciente, il jet privato e il 50,1% dei voti ai sette fondatori.00:00 Sigla e Anthropic va in borsa: cosa c'è nel prospetto03:36 Il motore della crescita si chiama Claude Code07:49 Coscienza, jet privati e 50,1%: le curiosità del prospetto11:29 OutroFonti:Anthropic – l'annuncio del deposito del prospetto: https://www.anthropic.com/news/s1-secThe Verge – i numeri e il piano del prospetto: https://www.theverge.com/ai-artificial-intelligence/1018476/anthropic-ipo-details-s1-filed-secThe Verge – cinque dettagli strani del prospetto: https://www.theverge.com/ai-artificial-intelligence/1018738/anthropic-ipo-s1-filing-weird-detailsThe Guardian – ricavi, clienti e rischi: https://www.theguardian.com/technology/2026/oct/26/anthropic-files-listing-stock-marketThe New Stack – Claude Code al centro della crescita: https://thenewstack.io/claude-codes-enterprise-20-to-1/MIT Technology Review – il racconto di Anthropic: https://www.technologyreview.com/2026/10/26/1147672/will-the-real-anthropic-please-stand-up/Yahoo Finance – da dove viene la perdita: https://finance.yahoo.com/markets/stocks/articles/anthropic-files-1-2-trillion-170554562.htmlLa mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#anthropic #claudecode #ipo #ai #borsa

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 337. Questa settimana mezza internet si è spenta per PHP2Shell, due falle critiche nel cuore di PHP scoperte con l'aiuto dell'AI. La vulnerabilità è seria, ma non è questo il punto: parlo di come l'ha raccontata la stampa, di cosa è successo davvero a livello tecnico, dell'ondata di altre falle del "Black October" (eMudhra, Node2Shell, GitLab, kernel Linux), e del vero problema sotto, cioè una pipeline di responsible disclosure che non regge più il ritmo dell'AI.00:00 Sigla e titoli dei giornali02:07 La settimana in cui mezza internet si è spenta09:15 Se PHP è il problema, allora reggetemi la birra12:09 Il vero problema: la disclosure è rotta18:10 OutroFonti:Wiz Research – il deep dive tecnico: https://www.wiz.io/blog/php2shell-php-rcePHP Foundation – il security release e il "fallimento strutturale" del 2024: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/Amazon Threat Intelligence – l'attacco 4 giorni prima della disclosure: https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/The New Stack – la disputa Chainguard sull'embargo: https://thenewstack.io/php2shell-chainguard-embargo-dispute/The Atlantic – l'intervista a Ondřej Surý, il volontario dei pacchetti PHP: https://www.theatlantic.com/technology/2026/10/man-who-saved-internet-php-vulnerability/689123/The Next Web – cronologia dell'embargo e video di Calif: https://thenextweb.com/news/php-foundation-structural-failure-2024-flaw-leakThe Hacker News – i tentativi di attacco: https://thehackernews.com/2026/10/php2shell-exploit-attempts-hit-millions.htmlThe Hacker News – l'ente governativo colpito (Unit 42): https://thehackernews.com/2026/10/php2shell-exploitation-hits-government.htmlEFF – finanziare l'open source: https://www.eff.org/deeplinks/2026/10/vulnerability-apocalypse-and-why-we-should-fund-open-sourceScott Helme – le chiavi di eMudhra uguali a 4: https://scotthelme.co.uk/eight-bits-of-trust-emudhras-ca-keys-cracked-in-milliseconds/The Hacker News – eMudhra esce dal business TLS: https://thehackernews.com/2026/10/emudhra-to-exit-global-ssltls-business.htmlThe Register – curl passa al pubblico per non annegare: https://www.theregister.com/security/2026/10/20/swamped-curl-maintainers-take-low-level-flaws-public-to-survive-vulnerability-avalanche/5304198404 Media – il "Black October": https://www.404media.co/php2shell-black-october-ai-is-changing-everything-about-hacking-no-one-knows-what-happens-next/CSO Online – Patch the Planet, il programma di OpenAI per i manutentori: https://www.csoonline.com/article/4188321/openai-rolls-out-ai-led-push-to-fix-open-source-software-flaws.htmlACN – l'alert del CSIRT Italia su PHP2Shell: https://www.acn.gov.it/portale/en/w/php2shell-sanate-vulnerabilita-critiche-in-phpLa mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#php #sicurezza #ai #disclosure #php2shell

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 336. AWS Lambda compie dodici anni e cambia pelle: le funzioni classiche si chiamano ora Event Functions e arrivano le Web Functions, dove si scrive un normale server HTTP invece di un handler. Vediamo la storia di Lambda, come funzionano le Web Functions (codice, deploy, concorrenza e fatturazione) e come Julian Wood ha fatto girare Doom su una funzione senza stato.00:00 Sigla e dodici anni di Lambda: dagli handler ai server05:13 Come funzionano le Lambda Web Functions08:48 Doom su Lambda: come tenere lo stato senza stato11:53 Cosa manca ancora alle Web Functions12:35 OutroFonti:AWS News Blog – annuncio delle Web Functions: https://aws.amazon.com/blogs/aws/announcing-aws-lambda-web-functions-for-fast-consistent-web-app-performance-anywhere/AWS Docs – Lambda Web Functions: https://docs.aws.amazon.com/lambda/latest/dg/web-functions.htmlAWS Compute Blog – la demo con dashboard SSE: https://aws.amazon.com/blogs/compute/exploring-aws-lambda-web-functions-for-building-web-applications/Julian Wood – Freedoom on Lambda Web Functions: https://www.wooditwork.com/freedoom-on-lambda-web-functions/AWS News Blog – AWS Lambda turns ten: https://aws.amazon.com/blogs/aws/aws-lambda-turns-ten-the-first-decade-of-serverless-innovationClassmethod – la prova nella regione di Tokyo: https://dev.classmethod.jp/en/articles/aws-lambda-web-functions-ga-express/La mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#aws #lambda #serverless #nodejs #doom

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 335. Cloudflare compra Deno, la startup di Ryan Dahl, il creatore di Node.js. Ripercorriamo la storia: il talk del 2018 con i dieci rimpianti su Node, cos'è Deno, perché non ha mai battuto Node, cosa ha comprato davvero Cloudflare (celld e workerd) e cosa dice questa storia sulla sostenibilità dell'open source.00:00 Sigla e Cloudflare compra Deno: le scuse di Ryan Dahl otto anni dopo02:45 Cos'è Deno e cosa rimpiangeva Dahl di Node.js05:56 Perché Deno non ha battuto Node.js09:49 Cosa ha comprato davvero Cloudflare: celld e workerd13:09 OutroFonti:Deno – Deno is joining Cloudflare: https://deno.com/blog/cloudflareThe New Stack – Cloudflare acquires Node.js creator's startup: https://thenewstack.io/cloudflare-acquires-deno-ryan-dahl/The Register – Dahl lascia Deno per i Cloudflare Workers: https://www.theregister.com/devops/2026/10/16/nodejs-creator-ditches-deno-to-work-on-open-source-cloudflare-workers/5303662Ryan Dahl – 10 Things I Regret About Node.js (JSConf EU 2018): https://www.youtube.com/watch?v=M3BM9TB-8yADavid Bushell – Friendship ended with Deno: https://dbushell.com/2026/10/03/deno-to-node/David Bushell – nota sulla fine di Deno: https://dbushell.com/notes/2026-10-10T10:30Z/Nicholas Zakas – Deno: What happened?: https://newsletter.humanwhocodes.com/posts/human-who-codes-newsletter-deno-what-happenedLa mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#deno #cloudflare #nodejs #javascript #opensource

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.Buongiorno da Edo, episodio 334. Qualcuno ha fatto girare Doom dentro il DNS. Non è una metafora: c'è chi ha spezzato il gioco in quasi 2.000 record di testo, e chi ha trasformato il DNS in un vero computer con 6,4 milioni di risposte precalcolate. In questo deep dive uso Doom come pretesto per spiegare davvero come funziona il DNS: cos'è, perché è un database distribuito e in cache ovunque, e perché quando internet cade "è sempre colpa del DNS". Più la storia di Route 53 reinventato come filesystem, e di quanto è complesso il servizio DNS di AWS.00:00 Sigla e qualcuno ha fatto girare Doom sul DNS02:21 Ok, ma cos'è davvero il DNS10:12 Quando il database diventa un computer (e Route 53 un filesystem)17:09 OutroFonti:The Register – Corey Quinn, "DNS is Doomed, literally": https://www.theregister.com/columnists/2026/10/12/no-shame-in-the-domain-name-game-dns-is-doomed-literally/5302670PCGamer – Doom su un database DNS e la reazione di Paul Vixie: https://www.pcgamer.com/hardware/doom-can-run-on-a-dns-database-now-and-one-of-the-technologys-pioneers-says-i-cant-decide-whether-this-is-deliciously-horrible-or-else-horribly-delicious/GitHub – Adam Rice, Doom Over DNS: https://github.com/resumex/doom-over-dnsPCGamer – Il protocollo più noioso di internet è anche uno dei più abusabili: https://www.pcgamer.com/hardware/networking/the-most-boring-protocol-on-the-internet-is-also-quietly-one-of-the-most-abusable-doom-has-been-broken-down-into-1-964-dns-text-records-and-can-be-run-via-a-powershell-script/The Register – Route 53 come filesystem (Colin Percival): https://www.theregister.com/offbeat/2026/08/28/aws-route-53-dns-service-reimaginedas-a-file-system/5293357Tom's Hardware – record TXT e cache DNS: https://www.tomshardware.com/networking/mad-lad-stores-and-loads-doom-from-within-dns-txt-record-type-abused-to-store-game-dataLa mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#dns #doom #route53 #aws #networking

Edoardo Dusi è Senior Developer Advocate in AWS. Le opinioni espresse sono personali.La notte tra l'11 e il 12 ottobre qualcuno ha fatto scaldare i frigoriferi e i congelatori di centinaia di supermercati francesi, fino a 50 gradi. Come? Con una funzione che i controller Danfoss conoscono benissimo: lo sbrinamento. In questa puntata vediamo cosa c'è dietro un banco frigo, il "code of the day" che aggira la password, le tre falle note da più di un anno, i modelli senza patch, e chi paga il gelato.00:00 Intro04:02 Dentro un frigorifero da supermercato: il controller Danfoss05:51 Le porte aperte: il code of the day e le altre due falle11:08 Chi paga il gelato14:35 OutroFonti:BBC – il racconto dell'attacco ai supermercati francesi: https://www.bbc.com/news/articles/crq5nzxv9q4yoLe Monde – le catene colpite, le dichiarazioni, l'assicurazione: https://www.lemonde.fr/en/france/article/2026/10/12/french-supermarket-chains-say-cyberattack-forced-refrigerator-shutdown_6758510_7.htmlBleepingComputer – l'attacco e le falle note nei controller Danfoss: https://www.bleepingcomputer.com/news/security/cyberattack-shuts-down-refrigerators-at-french-supermarkets/The Register – CERT-FR, dichiarazioni, dispositivi esposti: https://www.theregister.com/security/2026/10/13/cyberattacks-crank-french-supermarket-refrigeration-systems-up-to-50c/5302784The Hacker News – i modelli Danfoss, fine vita e percorso di aggiornamento: https://thehackernews.com/2026/10/attackers-heat-french-supermarket.htmlClaroty Team82 – l'analisi tecnica delle falle: https://www.claroty.com/team82/research/freeze-the-controller-defrost-the-food-uncovering-vulnerabilities-in-danfoss-refrigeration-controllersCERT-FR – l'alert sull'incidente: https://cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-012/CISA – avviso sui Danfoss AK-SM 8xxA: https://www.cisa.gov/news-events/ics-advisories/icsa-25-140-03Signal and Silence – l'ipotesi sui supermercati militari USA: https://signalandsilence.substack.com/p/i-think-someone-hacked-the-commissaryLa mia app: https://play.google.com/store/apps/details?id=com.edodusi.coderoutine&hl=it-itSigla del podcast: Pink Soul by JMHBM (https://freemusicarchive.org/music/beat-mekanik/contact) — licenza Attribution 4.0 International License (https://creativecommons.org/licenses/by/4.0).#danfoss #cybersecurity #iot #francia #supermercati