Che la caccia abbia inizio! Il bug critico su 7-Zip mette milioni di utenti a rischio

Milioni di utenti sono esposti al rischio di infezioni da malware e compromissione del sistema a causa dello sfruttamento attivo da parte degli hacker di una vulnerabilità critica di esecuzione di codice remoto (RCE) nel noto software di archiviazione 7-Zip.

Svelata ad ottobre 2025, questa vulnerabilità ha un punteggio CVSS v3 pari a 7,0, ed evidenzia una gravità di sfruttamento locale, ma su larga scala senza richiedere privilegi elevati.

Nello specifico, il CVE-2025-11001, è un bug di sicurezza che coinvolge la gestione non corretta dei collegamenti simbolici all’interno degli archivi ZIP. Ciò permette agli aggressori di eseguire codice a loro scelta sui sistemi deboli, navigando attraverso le directory.

Il 18 novembre 2025, l’NHS England Digital del Regno Unitoha emesso un avviso urgente , confermando lo sfruttamento attivo del bug CVE-2025-11001 e sollecitando aggiornamenti immediati per mitigare i rischi.

La vulnerabilità è stata scoperta da Ryota Shiga di GMO Flatt Security Inc., in collaborazione con il loro strumento AppSec Auditor basato sull’intelligenza artificiale, e segnalata tempestivamente agli sviluppatori di 7-Zip.

Gli esperti di sicurezza della Zero Day Initiative (ZDI) di Trend Micro hanno reso noti i dettagli su come un attaccante potrebbe utilizzare questa vulnerabilità per eludere le restrizioni degli ambienti sandbox, aumentando notevolmente il rischio soprattutto nell’ambito dell’elaborazione automatizzata dei file nelle aziende.

Questo patch traversal, può consentire agli aggressori di sovrascrivere file di sistema critici o di iniettare payload dannosi, portando all’esecuzione completa del codice nel contesto dell’account utente o di servizio che esegue l’applicazione.

E’ stato anche reso pubblico un exploit proof-of-concept (PoC) , che dimostra come un file ZIP dannoso possa abusare della gestione dei collegamenti simbolici per facilitare scritture di file arbitrarie e, in determinati scenari, indirizzare l’RCE.

Il recente PoC ha ridotto la soglia di accesso per gli aggressori, incrementando così il numero degli attacchi effettivi rilevati. Basti pensare che lo sfruttamento della vulnerabilità richiede un’interazione minima da parte dell’utente: semplicemente, l’apertura o l’estrazione di un archivio insidioso è sufficiente a scatenare l’attacco, meccanismo spesso sfruttato nelle operazioni di phishing e nei download drive-by.

Gli autori delle minacce potrebbero utilizzare questo RCE per distribuire ransomware, rubare dati sensibili o creare backdoor persistenti, amplificando il pericolo negli attacchi alla supply chain in cui gli archivi compromessi si diffondono tramite e-mail o unità condivise.

Per scongiurare tale rischio, è necessario che gli utenti e le organizzazioni provvedano ad aggiornare 7-Zip alla versione 25.00 o superiore, reperibile sul sito ufficiale, il quale adotta una canonizzazione dei percorsi più stringente al fine di impedire tentativi di attraversamento.

La nuova patch risolvono due bug, sia il CVE-2025-11001 che il CVE-2025-11002. Sono coinvolte tutte le edizioni di Windows che hanno installato 7-Zip in versione precedente alla 25.00, mentre non sono stati riportati effetti su Linux o macOS.

L'articolo Che la caccia abbia inizio! Il bug critico su 7-Zip mette milioni di utenti a rischio proviene da Red Hot Cyber.

Google lancia Gemini 3, il modello di intelligenza artificiale più avanzato

Google ha annunciato il lancio di Gemini 3, la nuova generazione del suo modello di punta di intelligenza artificiale, che l’azienda sta integrando nella ricerca, nell’app Gemini, nei servizi cloud e negli strumenti per sviluppatori. Il management di Google definisce Gemini 3 il modello più intelligente della sua gamma e il prossimo passo verso l’intelligenza artificiale generale (AGI).

Quasi due anni fa, l’azienda ha lanciato la cosiddetta era Gemini e da allora la portata dell’adozione dell’intelligenza artificiale è cresciuta in modo significativo. Secondo Google, la modalità Panoramica AI nella ricerca raggiunge ora circa 2 miliardi di utenti al mese, l’app Gemini sta raggiungendo 650 milioni di utenti attivi al mese, oltre il 70% dei clienti di Google Cloud utilizza già i servizi di intelligenza artificiale dell’azienda e circa 13 milioni di sviluppatori hanno lavorato con modelli generativi.

Risultati entusiasmanti dai test della community AI

Ogni generazione della famiglia Gemini si è basata sulla precedente. La prima versione ha introdotto il supporto per lavorare con vari tipi di dati e contesti estesi, la seconda ha gettato le basi per le cosiddette funzionalità basate su agenti e ha migliorato le capacità di ragionamento del modello, e Gemini 2.5 ha mantenuto il primo posto nella popolare classifica LMArena per diversi mesi. Ora, Gemini 3 combina questi progressi in un unico core e si prevede che comprenderà meglio le query complesse degli utenti, considererà il contesto e l’intento e, in generale, agirà come un conversatore digitale più attento.

Google afferma che Gemini 3 Pro raggiunge risultati record in numerosi benchmark di settore per logica, matematica ed elaborazione dei dati, superando significativamente la generazione precedente, la 2.5 Pro.

In test come GPQA Diamond e Humanity’s Last Exam, il modello dimostra capacità di ragionamento paragonabili a quelle di livello esperto e, in set di problemi matematici specializzati, raggiunge nuovi livelli per i modelli di frontiera. L’azienda sottolinea anche i suoi progressi nei test multimodali, che considerano simultaneamente testo, immagini e video.

Gli sviluppatori mettono l’accento non solo sui “numeri in una tabella”, ma anche sul comportamento del modello in una tipica conversazione. Google afferma che Gemini 3 si impegna a fornire risposte brevi e pertinenti, evitando complimenti vuoti e cliché, e puntando invece a fornire risposte oneste e utili che aiutino a comprendere l’argomento o a vedere il problema da una nuova prospettiva.

Un modello progettato da Zero

Una delle caratteristiche principali di Gemini 3 è legata all’apprendimento. Il modello è stato progettato fin da zero come multimodale: può elaborare simultaneamente testo, immagini, video, audio e codice, e la sua finestra di contesto da un milione di token gli consente di gestire set di dati estremamente lunghi.

Google cita esempi di come Gemini 3 “decifra” vecchie ricette scritte a mano, le traduce da diverse lingue e le compila in un ricettario di famiglia, trasforma articoli scientifici e lezioni lunghe ore in appunti e flashcard interattivi e analizza video di allenamenti sportivi, evidenziando errori comuni e suggerendo un piano di allenamento.

Il secondo principale ambito di applicazione è lo sviluppo software. Gemini 3 si posiziona come il miglior modello di Google fino ad oggi per il cosiddetto vibe coding, in cui lo sviluppatore descrive ciò che vuole ottenere e l’intelligenza artificiale si occupa di una parte significativa della programmazione di routine e dell’assemblaggio dell’interfaccia. Secondo l’azienda, Gemini 3 è in cima a classifiche come WebDev Arena ed è significativamente migliore dei suoi predecessori nella gestione di attività che richiedono non solo la scrittura di codice, ma anche il corretto utilizzo di strumenti, del terminale e delle API esterne.

Un ambiente “multimodale” completo

In concomitanza con il lancio di Gemini 3, Google ha presentato la sua nuova piattaforma, Google Antigravity. Questo ambiente di sviluppo basato su agenti eleva l’intelligenza artificiale dalla “chat laterale” al primo piano, consentendole di accedere direttamente all’editor di codice, al terminale e al browser integrato.

L’agent può pianificare il lavoro, suddividere le attività in fasi, eseguire più processi in parallelo, testare e convalidare il proprio codice e lasciare artefatti dettagliati come piani, log e screenshot in modo che gli utenti possano vedere esattamente cosa ha fatto il sistema. Antigravity utilizza non solo Gemini 3 Pro, ma anche il modello specializzato Gemini 2.5 Computer Use per la gestione del browser, nonché il motore proprietario Nano Banana per la generazione e l’editing delle immagini.

Per i compiti più complessi, Google sta sviluppando una modalità Gemini 3 Deep Think dedicata. L’azienda afferma che è ancora più efficace nel gestire problemi non convenzionali che richiedono ragionamento e ricerca di soluzioni in assenza di una risposta corretta ovvia. Deep Think è attualmente sottoposto a ulteriori test di sicurezza ed è disponibile per un numero limitato di tester. In seguito sarà disponibile per gli abbonati a Google AI Ultra.

Una sezione separata dell’annuncio è dedicata alla sicurezza. Google afferma che Gemini 3 è stato sottoposto a test più approfonditi tra tutti i suoi modelli, rendendolo più resiliente ai solleciti malevoli, meno soggetto a induzioni da parte degli utenti e più protetto da scenari come gli attacchi informatici automatizzati. Per valutare i rischi, Google ha coinvolto non solo i propri team, ma anche esperti esterni, tra cui agenzie governative britanniche competenti e società indipendenti che hanno sottoposto a revisione il modello.

Gemini 3 è già in fase di distribuzione

Il modello è disponibile nell’app Gemini, in modalità AI nella ricerca per gli abbonati a pagamento di Google AI Pro e Ultra, negli strumenti di sviluppo dell’API Gemini in AI Studio e nell’utilità di comando Gemini CLI. Per i clienti aziendali, sarà disponibile tramite Vertex AI e il pacchetto Gemini Enterprise. Alcune funzionalità dell’agente, come Gemini Agent per la posta elettronica, sono già disponibili in prova per gli utenti con abbonamenti avanzati, mentre le funzionalità Deep Think verranno aggiunte gradualmente al completamento dei test.

Google ora ha dalla sua non solo nuovi record di benchmark, ma anche una dimensione più ampia: l’azienda implementerà immediatamente il modello nella ricerca e nei prodotti chiave, dove conta miliardi di utenti. La domanda è quanto sarà utile questo aggiornamento per le persone comuni e gli sviluppatori, e quanto velocemente Gemini 3 potrà trasformarsi da una spettacolare dimostrazione di capacità di intelligenza artificiale in uno strumento di lavoro davvero indispensabile.

L'articolo Google lancia Gemini 3, il modello di intelligenza artificiale più avanzato proviene da Red Hot Cyber.

Python verso Rust: un futuro più sicuro per il linguaggio di programmazione

Due sviluppatori CPython hanno proposto di aggiungere il linguaggio di programmazione Rust al codice Python. Emma Smith e un suo collega hanno pubblicato una proposta preliminare di miglioramento di Python (Pre-PEP) che giustifica la necessità di questo passaggio. Attualmente, Rust è previsto per essere utilizzato solo per la scrittura di moduli di estensione opzionali, ma in futuro potrebbe diventare una dipendenza obbligatoria.

Il motivo principale per l’adozione di Rust è migliorare la sicurezza della memoria. Il linguaggio previene intere classi di errori a livello di compilazione: accessi fuori dai limiti degli array, accessi alla memoria liberata e conflitti di dati nel codice multithread.

Questo è particolarmente rilevante per Python, che utilizza thread liberi, dove la sicurezza dei thread è fondamentale. Il progetto RustBelt ha persino dimostrato formalmente la correttezza delle garanzie di sicurezza di Rust per il codice privo di costrutti non sicuri.

CPython riscontra regolarmente bug dovuti a una gestione impropria della memoria. Gli autori della proposta ritengono che Rust ridurrà radicalmente tali problemi. Anche se una parte del codice dovesse rimanere non sicura a causa delle interazioni con l’API C, la logica di base dei moduli sarà scritta in Rust, un linguaggio sicuro.

Rust è già attivamente utilizzato da grandi progetti C e C++. Il kernel Linux , Android , Firefox e molti altri sistemi stanno adottando il linguaggio per migliorarne l’affidabilità.

Google ha già segnalato risultati positivi dall’implementazione di Rust in Android. È interessante notare che dal 25% al 33% delle nuove estensioni Python sono scritte in Rust: l’integrazione del linguaggio in CPython potrebbe ulteriormente stimolare questa tendenza.

Oltre alla sicurezza, Rust offre strutture dati ad alte prestazioni provenienti dalla libreria standard . Vettori, tabelle hash e mutex sono tutti implementati con zero overhead e sono ben documentati.

Il sistema di macro di Rust è superiore alle macro del C: le macro dichiarative sono più pulite e non catturano accidentalmente le variabili, mentre le macro procedurali consentono potenti trasformazioni del codice. La libreria PyO3 fa ampio uso di macro procedurali per semplificare l’utilizzo dell’API Python.

Gli sviluppatori hanno già creato un prototipo di modulo _base64che dimostra i miglioramenti delle prestazioni ottenuti utilizzando Rust.

L’integrazione richiederà un nuovo crate cpython-syscon definizioni API C FFI. I binding vengono generati utilizzando bindgen, lo strumento ufficiale di Rust utilizzato anche nei progetti Linux e Android. Cargo può fornire dipendenze pronte all’uso, quindi non è necessario scaricare i pacchetti durante la compilazione.

Rust supporta tutte le piattaforme specificate in PEP 11 e successive. Tutte le piattaforme Python di livello 1 corrispondono alle piattaforme Rust di livello 1 o 2, con un set completo di strumenti di sviluppo. La compilazione incrociata è facile da configurare: basta impostare la destinazione desiderata e specificare il linker.

Gli autori hanno abbandonato l’idea di utilizzare la libreria PyO3 esistente all’interno di CPython. Ciò avrebbe creato un ulteriore livello di astrazione e rallentato lo sviluppo: ogni nuova API sarebbe stata prima aggiunta a PyO3, quindi aggiornata in CPython. Con bindgen, le nuove API sono disponibili automaticamente.

C’è un problema di dipendenza: il compilatore Rust usa Python per il bootstrap. Ma ci sono soluzioni. È possibile compilare una versione precedente di Python, poi Rust, quindi il nuovo CPython. Gli script di bootstrap di Rust sono persino compatibili con Python 2, quindi il problema è risolvibile. Le alternative sono usare PyPy o fare in modo che Rust si dissoci da Python durante il processo di compilazione.

Sono disponibili risorse di formazione per gli attuali sviluppatori CPython. Il Rust Book offre un’introduzione completa al linguaggio, oltre a Rust per programmatori C++ e materiali di formazione ufficiali.

Sono in corso i piani per creare un team di esperti Rust e aggiungere un tutorial alla devguide. Lavorare con gli argomenti delle funzioni potrebbe richiedere l’adattamento di Argument Clinic o la creazione di una macro procedurale in Rust.

L'articolo Python verso Rust: un futuro più sicuro per il linguaggio di programmazione proviene da Red Hot Cyber.

EN: The dynamics of #ruscist losses in the war against Ukraine since February 24, 2022
index.minfin.com.ua/en/russian…

UA: Динаміка втрат рашистів у війні проти України з 24 лютого 2022 року
index.minfin.com.ua/ua/russian…

RU: Динамика потерь рашистов в войне против Украины с 24 февраля 2022 года
index.minfin.com.ua/russian-in…

Amiga? Arduino? AMeagerBall Gets the Uno Bouncing

When the iconic “Boing Ball” first debuted 40 years ago, it was a wonder to behold. There was nothing like it in the home compuing world upto that time, and it showed that Commodore’s new “Amiga” was a powerhouse sure to last the test of time. Forty years later, the Amiga as we knew it then might not be with us anymore, but [Mark Wilson] is recreating its iconic demo on a microcontroller– but not just any microcontroller. “AMeagerBall” is an Arduino Uno exclusive, and it even tells the time.

Like the original “Boing Ball”, the demo is running at 320×240, though on a touch LCD shield instead of a CRT. Unlike some microcontrollers, the Uno doesn’t have the horsepower to just brute-force emulate a 1980s home computer, so [Mark] has had to recreate the boing ball from scratch. He’s not doing it with any graphics libraries, either. On the Uno that would be too slow, so [Mark] is driving the LCD directly to its appropriate registers, to stay close enough to the metal to make it work. That means if you’re going to try the code on his GitHub repository, you’ll need to be sure to use matching hardware or be prepared to port it.

One of the things about Amiga’s demo that was so impressive is that it hardly made use of the CPU, allowing the Workbench to be pulled up while the ball bounced. That’s not the case here, as the UNO doesn’t have any extra graphics chips. Still, [Mark] was able to squeeze enough horsepower out of everyone’s favourite ATmega to present us with an Amiga-styled clock– either analog, digital, or in the workbench title bar in that iconic blue-and-white. To keep the clock accurate, he’s squeezed an RTC module in, too. Lovely! The different clocks can be accessed via the touchscreen.

Oh, did we forget to mention that the touchscreen is implemented? This certainly stretches the hardware far enough to be considered a demo. If just a bouncing ball doesn’t work the UNO hard enough for you, try booting Linux.

This isn’t the first bouncing ball demo we’ve seen on a microcontroller: here are four of them bouncing in an ATtiny85.

youtube.com/embed/Nls-YfQCngo?…

hackaday.com/2025/11/19/amiga-…

Велика Британія зафіксувала російське розвідувальне судно «Янтар» вдруге за декілька тижнів біля півночі Шотландії.

Для його супроводу залучили фрегат HMS Somerset і літаки P-8. Під час стеження корабель спрямовував світлові лазери на пілотів.

Міністр оборони Великої Британії заявив:
«Моє послання путіну таке... Якщо «Янтар» вирушить на південь цього тижня, ми будемо готові»

Browser Fingerprinting and Why VPNs Won’t Make You Anonymous

Amidst the glossy marketing for VPN services, it can be tempting to believe that the moment you flick on the VPN connection you can browse the internet with full privacy. Unfortunately this is quite far from the truth, as interacting with internet services like websites leaves a significant fingerprint. In a study by [RTINGS.com] this browser fingerprinting was investigated in detail, showing just how easy it is to uniquely identify a visitor across the 83 laptops used in the study.

As summarized in the related video (also embedded below), the start of the study involved the Am I Unique? website which provides you with an overview of your browser fingerprint. With over 4.5 million fingerprints in their database as of writing, even using Edge on Windows 10 marks you as unique, which is telling.

In the study multiple VPN services were used, each of which resulted in exactly the same fingerprint hash. This is based on properties retrieved from the browser, via JavaScript and other capabilities exposed by the browser, including WebGL and HTML5 Canvas.

Next in the experiment the set of properties used was restricted to those that are more deterministic, removing items such as state of battery charge, and creating a set of 28 properties. This still left all 83 work laptops at the [RTINGS.com] office with a unique fingerprint, which is somewhat amazing for a single Canadian office environment since they should all use roughly the same OS and browser configuration.

As for ways to reduce your uniqueness, browsers like Brave try to mix up some of these parameters used for fingerprinting, but with Brave being fairly rare the use of this browser by itself makes for a pretty unique identifier. Ultimately being truly anonymous on the internet is pretty hard, and thus VPNs are mostly helpful for getting around region blocks for streaming services, not for obtaining more privacy.

youtube.com/embed/pJOpHSPkWMo?…

hackaday.com/2025/11/19/browse…

Possibly-Smallest ESP32 Board Uses Smallest-Footprint Parts

Whenever there’s a superlative involved, you know that degree of optimization has to leave something else on the table. In the case of [PegorK]’s f32, the smallest ESP32 dev board we’ve seen, the cost of miniaturization is GPIO.

There’s only one GPIO pin broken out, and it’s pre-wired to an LED. That’s the bad news, and depending on what you want an ESP32 for, it might not phase you at all. What is impressive here, if not the number of I/O pins, is the size of the board: at 9.85 mm x 8.45 mm barely overhangs the USB-C socket that takes up one side of the board.
Pegor provides this helpful image in the readme so you know what you’re getting into with the 01005 resistors.
In order to get the ESP32-C3FH4 onto such a tiny board, all of the other support hardware had to be the smallest possible sizes– including resistors in 01005. If you don’t speak SMD, one could read that number code as “oh god too small” — at 0.4 mm x 0.2 mm it’s as minuscule as you’ll find– and [Pegor] hand soldered them.

OK, he did use a hot plate for the final step, but he did tin the pads manually with a soldering iron, which is still impressive. Most of us probably would have taken PCBWay up on their offer of assembly services, but not [Pegor]. Apparently part of the reason for this project was that he was looking for an excuse to use the really small footprint components.

Aside from leaving out GPIO and needing too-small SMD components, [Pegor] admits that pesky little details like antenna matching circuits and decoupling capacitors had to get cut to make the tiny footprint, so this board might be more of a stunt than anything practical. So what can you do with the smallest ESP32 board? Well, [Pegor] put up a basic web interface up to get you started blinking the built-in LED; after that, it’s up to you. Perhaps you might fancy a teeny-tiny minecraft server? If you can stand to increase the volume a little bit, we’ve seen how to hack a C3 for much better wifi performance.

Thanks to [Pegor] for the tip, and remember– submit your projects, big or small, we read ’em all!

hackaday.com/2025/11/19/possib…

Around 15 years ago the web engineers first proposed mechanism that would allow user browser to transparently communicate to website their cookie and tracking preferences (DNT and then Tk headers).

In response to the subsequent EU cookie regulations, Google, Mozilla & friends had implemented an “Italian-strike” - instead of resorting to DNT/Tk, they simply implemented absolutely terrible “cookie consent” pop-ups in a way that offered the worst possible user experience. And then blamed them on… EU regulation.

Right now EU seems to have drawn lessons from that past sabotage and proposes a regulation that will force websites to respect user cookie preferences sent transparently by the user browser.

theverge.com/news/823788/europ…

That would immediately put end to the “cookie consent” pop-ups and I’m very much wondering what kind of QWAC-like “grassroots campaign” Google, Mozilla & friends will now come up to convince users it’s not in their best interest to decide if they want or not to be tracked by 700 “advertising partners” per website…