clearhandreview/vulnerpocalypse-containmentStrumenti open source per l'analisi delle vulnerabilità, il monitoraggio delle CVE, la verifica delle patch e il contenimento temporaneo della sicurezza
Catalogo mantenuto, non un patcher universale per zero-day. Questo progetto tiene traccia delle correzioni di sicurezza divulgate pubblicamente collegate alla ricerca di Anthropic/Claude e degli avvisi dei fornitori di ottobre 2026 provenienti da fonti separate. Contiene una patch upstream Linux originale e attribuita per CVE-2026-98432, riferimenti agli aggiornamenti dei fornitori per prodotti proprietari o firmati, un verificatore cross-platform della soglia di versione in sola lettura, e un controllo runtime temporaneo opzionale solo per Linux con rollback esplicito.
Nessuna modifica arbitraria del kernel o dei binari, nessun download automatico di patch, nessun test di sfruttamento e nessuna pretesa che ogni sistema operativo o ogni scoperta di Anthropic sia coperta. Il contenimento runtime MPTCP opzionale su Linux, esplicitamente approvato, è l'unica modifica eseguibile introdotta da questo toolkit. Se non esiste una correzione verificata del fornitore o una release supportata, il risultato corretto è sconosciuto / revisione manuale, mai "patched".
Per le istruzioni più semplici, apri Easy install. Scegli il tuo dispositivo e segui i passaggi numerati. Non è necessario installare Python su un telefono. Sui computer, Python 3.11–3.15 è necessario solo per eseguire gli strumenti di verifica offline opzionali di questo repository.
| Dispositivo | Passo sicuro più rapido | Contenimento opzionale |
|---|---|---|
| Windows | Impostazioni → Windows Update → Verifica aggiornamenti → Riavvia | Revisione dell'esposizione HTTP.sys HTTP/3 per gli amministratori; non è una patch binaria |
| Mac | Impostazioni di Sistema → Generali → Aggiornamento Software | Restrizione di JavaScript in Safari; non è una correzione completa di WebKit |
| iPhone / iPad | Impostazioni → Generali → Aggiornamento Software | Evita la navigazione su siti non attendibili in attesa dell'aggiornamento Apple |
| Android / Pixel | Impostazioni → Sistema → Aggiornamenti di sistema; controlla anche gli aggiornamenti di sistema di Google Play | Evita host USB non attendibili; non è una correzione della schermata di blocco del dispositivo |
| Linux | Usa gli aggiornamenti di sicurezza firmati della tua distribuzione, poi riavvia | Commutazione opzionale, supervisionata e reversibile della funzionalità MPTCP (solo Linux) |
| Chrome | Chrome → Guida → Informazioni su Chrome → Riavvia | Limita l'ottimizzazione V8 o smetti di usare Chrome obsoleto |
| Altro / non supportato | Usa l'aggiornamento di sicurezza pubblicato dal fornitore originale del dispositivo | Non esiste una patch binaria universale cross-OS |
Guida da un laptop/desktop (nessun diritto root/admin necessario):
python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android
Ogni guida fornisce: prima di modificare qualsiasi cosa → passaggi semplici → come verificare il controllo temporaneo → come sostituirlo con la correzione del fornitore. Se un profilo non può essere giustificato, il comando restituisce nessun profilo verificato.
Un controllo temporaneo eseguibile: disabilitazione runtime di MPTCP su Linux. Modifica solo il namespace corrente dopo un comando amministratore separato ed esplicito, crea uno stato di rollback limitato e NON applica patch al kernel né persiste dopo il riavvio. Vedi Emergency containment. Tutte le altre azioni temporanee sono indicazioni manuali, non binari non firmati.
Non considerare un comando di installazione riuscito come prova. Registra separatamente questi elementi:
docs/VALIDATION.md contiene i comandi esatti e un foglio di lavoro per le evidenze. Per alcuni
prodotti (inclusa la catena non mappata di Android e i kernel con backport del fornitore),
il risultato deve rimanere sconosciuto / revisione manuale senza prova del fornitore.
Passaggio assistito al fornitore, per prodotti con una soglia di versione pubblicata e comparabile (l'esempio utilizza un avviso MSRC esistente):
python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed
I flag sono attestazioni dell'operatore, non rilevamento automatizzato. Il risultato più forte è READY_FOR_CHANGE_REVIEW, mai un rollback automatico o un'affermazione di resistenza agli exploit. Le versioni del sistema operativo prive di una soglia di rilascio verificata vengono trattenute per conferma manuale del fornitore.
Nessuna patch di codice viene inventata per una falla non divulgata. La maggior parte delle voci nella dashboard delle divulgazioni di Anthropic non espone dati tecnici sufficienti per scrivere o validare una correzione legittima. Una "hotfix universale" per kernel/dispositivo non può essere sintetizzata in modo sicuro a partire dal nome di una CVE o da una divulgazione con hash. Utilizzare un contenimento reversibile e supportato da fonti, ove disponibile; in caso contrario, isolare o smettere di utilizzare il servizio interessato.
Il catalogo data/containments.json contiene dieci guide condizionali e limitate alla riduzione dell'esposizione. Queste non stabiliscono la remediation delle CVE.
Una nuova patch automatica viene accettata solo dopo che codice sorgente, vulnerabilità riproducibile, versioni supportate, test di regressione, rollback e revisione
sono stati stabiliti. Vedere Regole di contribuzione.
L'opzionale inventario della piattaforma in sola lettura identifica le famiglie di distribuzione (inclusi Debian/Ubuntu, Fedora/RHEL, SUSE, Arch, Alpine, Void, Gentoo, NixOS e Fedora Atomic), l'architettura, un contesto firmware limitato e la presenza di toolchain dei comuni linguaggi di programmazione. Non esegue toolchain o gestori di pacchetti, non installa patch e non certifica il firmware.
python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory