Kali Linux 2026.3: sei nuovi strumenti e kernel 7.1.5

Il team di Kali Linux ha pubblicato la versione 2026.3, la terza dell’anno secondo BleepingComputer. La distribuzione per penetration test e red teaming porta 126 pacchetti aggiornati, il kernel da 6.19 a 7.1.5, sei nuovi strumenti nei repository, KDE Plasma 6.7 e script di build rivisti, che ora possono girare in un container. Per Kali NetHunter, la versione per dispositivi mobili, arrivano il wardriving da smartwatch e la lettura delle schede NFC Mifare Classic senza adattatori esterni. Ne hanno scritto BleepingComputer, Help Net Security e heise Security; del testo di heise abbiamo potuto consultare solo il titolo, che conferma build più semplici e wardriving da smartwatch.

Non si tratta di una vulnerabilità e non ci sono CVE: è un rilascio. Lo seguiamo perché gli strumenti di Kali sono gli stessi che usano i red team, i consulenti e, spesso, chi attacca: sapere cosa entra nella cassetta degli attrezzi aiuta a capire cosa cercare nei propri log.

I sei nuovi strumenti

Secondo entrambe le fonti, nei repository entrano:

• dalfox: scanner di vulnerabilità XSS, pensato per l’automazione;
• katana: framework di crawling e spidering di siti web;
• qsreplace: legge URL e sostituisce i valori dei parametri della query string con un valore scelto, utile per preparare test in serie;
• rustscan: scanner di porte;
• sdrangel: interfaccia grafica (Qt) per dispositivi SDR, la radio definita via software;
• snaffler-ng: cerca credenziali e dati sensibili nelle condivisioni SMB.

Per chi difende, i più interessanti sono snaffler-ng e rustscan. Il primo automatizza una fase tipica dopo l’accesso iniziale: esplorare le cartelle condivise della rete Windows in cerca di password, chiavi e file di configurazione dimenticati. Nella nostra mappatura MITRE ATT&CK corrisponde a Network Share Discovery (T1135) e Unsecured Credentials: Credentials In Files (T1552.001); rustscan a Network Service Discovery (T1046). katana, qsreplace e dalfox servono invece alla ricognizione e al test delle applicazioni web esposte (Active Scanning, T1595).

Kernel, desktop e aggiornamento

Il kernel passa da 6.19 a 7.1.5. KDE Plasma 6.7 introduce desktop virtuali separati per ogni schermo, la possibilità di duplicare le connessioni di rete e, secondo BleepingComputer, miglioramenti nei consumi delle GPU Intel integrate e nel supporto ai protocolli Wayland.

Per aggiornare un’installazione esistente, BleepingComputer riporta la procedura indicata dal progetto: repository kali-rolling in /etc/apt/sources.list, poi sudo apt update && sudo apt -y full-upgrade, e infine la verifica con grep VERSION /etc/os-release.

Script di build rivisti e build in container

La novità più corposa riguarda gli script pubblici con cui il team produce tutte le immagini ufficiali. Ora hanno le stesse funzioni, gli stessi argomenti da riga di comando e, dove possibile, la stessa struttura. Help Net Security avverte che una pipeline scritta per i vecchi script potrebbe dover essere modificata.

Ogni script rivisto include build-in-container.sh, che riconosce Docker o Podman, crea il container di build ed esegue la build al suo interno, senza installare le dipendenze sul sistema. L’esempio citato da Help Net Security è kali-installer: si clona il repository da GitLab, si installano sei pacchetti (simple-cdd, debian-cd, cpio, mtools, dosfstools, xorriso) e si lancia sudo ./build.sh. Le impostazioni predefinite producono una ISO kali-rolling per AMD64; le opzioni cambiano nome host, pacchetti, ramo, variante e architettura (per esempio --branch kali-dev --variant netinst --arch arm64). Secondo BleepingComputer non tutti gli script sono stati ancora aggiornati: l’obiettivo è completarli con Kali 2026.4, poi automatizzare build e flussi di lavoro.

NetHunter: wardriving da smartwatch e NFC

Secondo Help Net Security, NetHunter supporta ora il wardriving, cioè la ricerca di reti wireless in movimento, dallo smartwatch TicWatch Pro 3: la libreria libnexmonkali, aggiornata da Qazy Anwar, rende utilizzabile la modalità monitor del chip Wi-Fi interno con gli strumenti del chroot, come la suite aircrack-ng e kismet. L’accesso NFC dal chroot permette di leggere, clonare e modificare schede Mifare Classic senza un adattatore esterno, ed è supportato KernelSU. È sperimentale WearHunter, che controlla lo smartwatch dal telefono via ADB su Wi-Fi o Bluetooth. Nove nuovi kernel coprono dispositivi che vanno da un Google Pixel con LineageOS 22.2 al Sony Xperia 10 V.

Cosa significa per le aziende europee e italiane

Nessuna di queste novità è un attacco, ma abbassa la soglia per alcune attività. La ricognizione Wi-Fi da un orologio è meno visibile di un portatile con un’antenna esterna; la clonazione di schede Mifare Classic da un telefono riguarda chi usa ancora questa tecnologia, le cui debolezze crittografiche sono note da anni, per i badge di accesso fisico. La ricerca automatica di credenziali nelle condivisioni SMB colpisce un problema molto diffuso nelle reti aziendali.

Per i soggetti NIS2 (in Italia il D.Lgs. 138/2024) la valutazione dell’efficacia delle misure di sicurezza fa parte della gestione del rischio: usare in modo autorizzato gli stessi strumenti dei red team sulla propria rete è un modo concreto per farlo. Vale anche per la sanità, dove condivisioni di rete e badge sono spesso ereditati da anni.

Cosa fare subito

1. Cerca tu, prima degli altri, credenziali e dati sensibili nelle condivisioni SMB, con un’attività autorizzata e documentata; rimuovi i file trovati e cambia le credenziali esposte.
2. Controlla il rilevamento della scoperta delle condivisioni e delle scansioni di porte interne: un singolo host che enumera molte condivisioni o molte porte in poco tempo deve generare un evento.
3. Rivedi i badge: se usi ancora schede Mifare Classic per l’accesso fisico, valuta la migrazione a tecnologie più robuste.
4. Verifica le reti wireless: autenticazione aziendale, reti ospiti separate, nessuna rete non dichiarata.
5. Se costruisci immagini Kali per il tuo red team, controlla le pipeline: argomenti e struttura degli script sono cambiati.

Come aiuta ARXDOME

ARX Radar riconosce scansioni rapide e lente delle porte sui tuoi indirizzi pubblici, mentre ARX Scout ed ARX Expose mostrano quali porte e servizi sono davvero esposti, cioè quello che vedrebbe uno scanner dall’esterno. All’interno, le pagine SOC di ARX Sentry riportano accessi, fallimenti ed eventi mappati su MITRE ATT&CK, e ARX Watch segnala i dispositivi nuovi o non autorizzati che compaiono sulla rete.

Ultimo aggiornamento: 27 ottobre 2026