Cosa vede davvero il tuo ISP quando usi “solo” il DNS cifrato

David Bombal mostra con Wireshark cosa vede davvero il tuo ISP senza VPN, anche quando usi DNS over HTTPS o TLS, e perché il DNS cifrato non basta.

https://yoota.it/cosa-vede-davvero-il-tuo-isp-quando-usi-solo-il-dns-cifrato/

CLI di Bitwarden compromessa su npm: novanta minuti di malware nella pipeline di rilascio

Il pacchetto npm della CLI di Bitwarden è stato compromesso per circa novanta minuti il 22 aprile: il malware rubava token, chiavi SSH, credenziali cloud e configurazioni di strumenti AI, e iniettava workflow malevoli su GitHub.

https://yoota.it/cli-di-bitwarden-compromessa-su-npm-novanta-minuti-di-malware-nella-pipeline-di-rilascio/

Claude Desktop modifica la configurazione dei browser senza consenso

Un esperto di privacy ha scoperto che Claude Desktop per macOS scrive silenziosamente file di configurazione nelle directory di sette browser Chromium, inclusi quelli non installati, pre-autorizzando le sue estensioni ad accedere al sistema.

https://yoota.it/claude-desktop-modifica-la-configurazione-dei-browser-senza-consenso/

Claude Mythos di Anthropic ha scansionato Firefox e trovato 271 falle, tutte già corrette

Mozilla ha usato Claude Mythos Preview per scansionare il codice di Firefox: 271 vulnerabilità scoperte e corrette in Firefox 150. Tre settimane prima, con il modello precedente, ne erano state trovate 22.

https://yoota.it/claude-mythos-di-anthropic-ha-scansionato-firefox-e-trovato-271-falle-tutte-gia-corrette/

Proton aggiorna le roadmap: Drive più veloce, cartelle in Pass e Calendar riscritto

Tutte le novità in arrivo per Proton Mail, Drive, Pass, VPN, Calendar e Lumo nella prima metà del 2026.

https://yoota.it/proton-aggiorna-le-roadmap-drive-piu-veloce-cartelle-in-pass-e-calendar-riscritto/

Brave per Android introduce Shred: via i dati di un sito senza uscire dagli altri

Con la versione 1.89, Brave per Android aggiunge il pulsante Shred per cancellare in un tocco cookie e dati memorizzati da un singolo sito, senza disconnettersi dagli altri.

https://yoota.it/brave-per-android-introduce-shred-via-i-dati-di-un-sito-senza-uscire-dagli-altri/

Firefox sperimenta un componente di Brave per il blocco dei tracker

Firefox 149 include un componente open source di Brave per migliorare la protezione dai tracker. Per ora è un esperimento disabilitato, ma si può attivare a mano.

https://yoota.it/firefox-sperimenta-il-motore-adblock-di-brave-wow/

ShareX 20 riscrive l’editor immagini e aggiunge il supporto ARM64 nativo

ShareX 20 arriva con un editor immagini riscritto in Avalonia UI, 18 strumenti di annotazione, 232 effetti, supporto nativo ARM64 e PrivateBin come uploader. Rimosso MEGA.

https://yoota.it/sharex-20-riscrive-leditor-immagini-e-aggiunge-il-supporto-arm64-nativo/

Mastodon: corretta una vulnerabilità che permetteva di aggirare i filtri sulle iscrizioni

Una falla ad alta gravità (CVSS 8.2) in Mastodon consentiva di bypassare i filtri per dominio email in fase di registrazione. Patch disponibile nelle versioni 4.3.22, 4.4.16 e 4.5.9.

https://yoota.it/mastodon-corretta-una-vulnerabilita-che-permetteva-di-aggirare-i-filtri-sulle-iscrizioni/

Flow 2.1.0: modalità incognito, gruppi di iscrizioni e temi personalizzati

Flow 2.1.0 introduce la modalità incognito Deep Flow, i gruppi di iscrizioni, backup automatici e nuovi temi per il client YouTube open source su Android.

https://yoota.it/flow-2-1-0-modalita-incognito-gruppi-di-iscrizioni-e-temi-personalizzati/

Quanto ci è voluto per bucare Forgejo? Una serata

Il ricercatore jvoisin sostiene di aver trovato vulnerabilità critiche in Forgejo in una sola serata, catena di RCE inclusa. Anziché seguire la disclosure classica, ha scelto un approccio insolito: la “carrot disclosure”.

https://yoota.it/quanto-ci-e-voluto-per-bucare-forgejo-una-serata/

iOS chiude la falla che teneva in vita i messaggi Signal cancellati

Apple ha corretto con iOS 26.4.2, iPadOS 26.4.2, iOS 18.7.8 e iPadOS 18.7.8 il bug che poteva conservare notifiche di messaggi Signal anche dopo la loro eliminazione. Secondo 404 Media, l’FBI lo ha sfruttato in almeno due casi documentati.

https://yoota.it/ios-chiude-la-falla-che-teneva-in-vita-i-messaggi-signal-cancellati/

cPanel, falla critica nell’autenticazione: gli attacchi erano già in corso da mesi

Una falla critica in cPanel e WHM (CVE-2026-41940) permetteva di aggirare l’autenticazione e ottenere accesso completo ai server. Sfruttata già da febbraio, la patch è arrivata il 28 aprile. Ecco come verificare se il tuo hosting è al sicuro

https://yoota.it/cpanel-falla-critica-nellautenticazione-gli-attacchi-erano-gia-in-corso-da-mesi/

Proton Mail introduce la crittografia post-quantum per proteggere le email del futuro

Proton Mail introduce la crittografia post-quantum come opzione per tutti gli utenti. Scopri come attivarla e perché è importante proteggere le email anche dalle minacce future.

https://yoota.it/proton-mail-introduce-la-crittografia-post-quantum-per-proteggere-le-email-del-futuro/

Ho provato per settimane le YubiKey 5 NFC e 5C NFC, ecco com’è andata

Ho provato le YubiKey 5 NFC e 5C NFC su Linux, Windows e Android: autenticazione FIDO2, passkey, codici TOTP, firma dei commit con OpenPGP, Yubico Authenticator e i limiti pratici dell’NFC.

https://yoota.it/ho-provato-per-settimane-le-yubikey-5-nfc-e-5c-nfc-ecco-come-andata/

xPrivo 4.0 amplia i risultati e integra un proprio indice europeo accanto a quello di Ecosia e Qwant

Il motore di ricerca europeo xPrivo arriva alla versione 4.0 con schede informative, notizie, sport, immagini e ricerca locale. In più, un indice proprietario si affianca all’European Search Perspective di Ecosia e Qwant.

https://yoota.it/xprivo-4-0-amplia-i-risultati-e-integra-un-proprio-indice-europeo-accanto-a-quello-di-ecosia-e-qwant/

Il nuovo reCAPTCHA esclude gli Android senza Play Services

Google ha introdotto reCAPTCHA Mobile Verification: per superare il test serve Play Services aggiornato o un iPhone con iOS 16.4 o successivo. Chi usa Android senza servizi Google si trova bloccato.

https://yoota.it/il-nuovo-recaptcha-esclude-gli-android-senza-play-services/

KitKat mette il telefono in gabbia, letteralmente

KitKat Panama ha trasformato la confezione del cioccolato in una gabbia di Faraday funzionante. Si chiama Break Mode, blocca davvero il segnale, e no, non è in vendita.

https://yoota.it/kitkat-mette-il-telefono-in-gabbia-letteralmente/

JDownloader, il sito ufficiale è stato compromesso il 6 e 7 maggio

Tra il 6 e il 7 maggio gli attaccanti hanno modificato due link di download sul sito ufficiale di JDownloader, sostituendoli con file malevoli. Cosa è successo e chi è a rischio.

https://yoota.it/jdownloader-il-sito-ufficiale-e-stato-compromesso-il-6-e-7-maggio/

Bug VPN su Android 16, Google non corregge ma GrapheneOS sì

Un bug in Android 16 permette a qualsiasi app di aggirare la VPN ed esporre l’IP reale del dispositivo. Google non lo correggerà, GrapheneOS l’ha già fatto.

https://yoota.it/bug-vpn-su-android-16-google-non-corregge-ma-grapheneos-si/