Benvenuti sul nostro blog.

La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository

Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.

Checkmarx vs Fortify: SAST, regole personalizzate e correzione dei problemi

Checkmarx vs Fortify: confronto tra soluzioni SAST aziendali

Confronta Checkmarx e OpenText Fortify in base alla profondità della SAST, al supporto linguistico, alle prestazioni di scansione, all’integrazione CI/CD, alla reportistica e alle opzioni di implementazione.

Orca Security vs Wiz: rischi nel cloud, misure correttive e costi

Orca Security vs Wiz: confronto tra le piattaforme CNAPP

Scopri Orca Security e Wiz per la scansione cloud senza agenti, i percorsi di attacco, la visibilità dei carichi di lavoro, la definizione delle priorità e gli aspetti da considerare nell’implementazione aziendale.

Grype vs Trivy: scansione e correzione dei container

Grype vs Trivy: confronto tra scanner open source

Grype o Trivy? Confronta le funzionalità di rilevamento CVE per container e pacchetti, il supporto SBOM, la scansione IaC, l’integrazione CI e la manutenzione per i team di sicurezza.

Revenera vs Snyk: SCA, licenze e correzioni delle dipendenze

Revenera contro Snyk: SCA e sicurezza della catena di approvvigionamento

Confronta Revenera FlexNet Code Insight con Snyk in termini di inventario open source, conformità delle licenze, rilevamento delle vulnerabilità, SBOM e flussi di lavoro di correzione.

Checkmarx vs Veracode: SAST, flussi di lavoro e prezzi

Checkmarx vs Veracode: confronto tra SAST e AppSec

Prima di scegliere una piattaforma, confronta Checkmarx e Veracode in termini di SAST, SCA, flussi di lavoro degli sviluppatori, implementazione, triage e requisiti aziendali.

Burp Suite vs OWASP ZAP: quale si adatta meglio al tuo flusso di lavoro di test?

Burp Suite vs OWASP ZAP: confronto tra strumenti DAST

Scopri le differenze tra Burp Suite e OWASP ZAP in termini di test delle applicazioni web, automazione, estensibilità e prezzi. Scopri quando è più indicato un DAST commerciale o open source.

Astrix Security contro GitGuardian: Secrets e NHI Security

Confronta Astrix e GitGuardian in termini di sicurezza delle identità non umane, rilevamento delle informazioni riservate, individuazione delle vulnerabilità, correzione dei problemi e flussi di lavoro degli sviluppatori.

Anche "gem list" può eseguire il codice di qualcun altro

Le gemme Ruby possono eseguire codice al momento dell'installazione e ogni volta che si esegue un comando gem, compreso gem list. Verificate la presenza di quattro gemme che sottraggono dati e disattivate l'esecuzione al momento dell'installazione.

Eliminare una chiave trapelata dal tuo repository non ti protegge

Eliminare la chiave trapelata dal tuo repository non ti protegge

Una chiave di amministratore trapelata su GitHub, cancellata nel giro di poche ore, ha comunque causato una violazione mesi dopo presso LiteLLM. Scopri perché la cronologia di Git nasconde segreti e perché è necessario effettuare la rotazione delle chiavi.

Affrontare le sfide della sicurezza informatica fino alla fine del 2026

Dopo Binance, LiteLLM, PHP2Shell ed eMudhra, ecco sei misure e una lista di controllo per limitare la portata della prossima violazione prima del 2027.

CodeRabbit vs Greptile: quale strumento di revisione del codice basato sull’intelligenza artificiale è più adatto al tuo team?

CodeRabbit vs Greptile: confronto tra i sistemi di revisione del codice basati sull’intelligenza artificiale

Confronta CodeRabbit e Greptile in base alla profondità della revisione dei pull request, al contesto del codice, alla qualità del feedback, alle integrazioni e ai prezzi per scegliere il revisore basato sull'intelligenza artificiale più adatto alle tue esigenze.

Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)

Vulnerabilità RCE del protocollo TCP nel kernel Linux (CVE-2026-98432): correzione

CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.

Sicurezza degli agenti IA in Kubernetes: perché “prompt injection” non è il termine corretto

Sicurezza degli agenti AI in Kubernetes | Aikido Security

Abdel Sghiouar, ingegnere di Google e senior cloud developer advocate, ritiene che il termine “prompt injection” dovrebbe essere sostituito con “prompt poisoning”

Abdel Sghiouar, ingegnere di Google e senior cloud developer advocate, ritiene che il termine “prompt injection” dovrebbe essere sostituito con “prompt poisoning”.

L'attacco hacker a Binance: come il laptop compromesso di uno sviluppatore può portare a una fuga di dati da 6,3 miliardi di dollari

L'attacco hacker a Binance: come il portatile di uno sviluppatore può mettere in gioco 6,3 miliardi di dollari

Secondo Binance, l'attacco hacker ai danni della piattaforma potrebbe essere partito da un laptop di uno sviluppatore che è stato compromesso. Scopri come ciò possa portare al furto di fondi e come proteggersi da questo rischio.

Binance sostiene che un portatile del team DevOps compromesso possa aver dato il via all'attacco hacker da 6,3 miliardi di dollari e che, da allora, siano stati individuati ulteriori punti di violazione. Ecco come un singolo portatile possa portare a un servizio che gestisce flussi di denaro e come proteggere i dispositivi all'inizio di quella catena

Cosa sono le vulnerabilità shell? Spiegazione di PHP2Shell, Node2Shell (HTTP2Shell), React2Shell e Log4Shell

Cosa sono le vulnerabilità del shell? | Aikido Security

Spieghiamo cosa sono le vulnerabilità shell e come gestirle: PHP2Shell, Node2Shell (HTTP2Shell), React2Shell e Log4Shell

Dopodomani: dopo PHP2Shell, la situazione peggiora, poi i difensori hanno la meglio

PHP2Shell e Brocolli2Shell potrebbero essere i primi segnali di numerose vulnerabilità future. Ma possiamo prepararci

È stata una settimana piuttosto difficile per i team di sicurezza e di sviluppo. Le previsioni sono passate da uno “tsunami” di vulnerabilità a una sensazione, settimana dopo settimana, che il cielo stia per crollarci addosso. Siamo d’accordo sul fatto che la situazione stia peggiorando, ma continuiamo a ritenere che i difensori abbiano ancora un vantaggio.

Ghost in PHP2Shell: perché la divulgazione coordinata e l’applicazione delle patch inizieranno ad accelerare

PHP2Shell ha dimostrato quanto velocemente l’intelligenza artificiale trasformi un bug in un exploit. Ecco perché la divulgazione non dovrebbe mai più avvenire in questo modo, e perché invece accadrà comunque.

Aikido avvia una serie di test di penetrazione sulla rete esterna

Aikido lancia un servizio di test di penetrazione delle reti esterne | Aikido Security

Aikido lancia un servizio di test di penetrazione della rete esterna: gli agenti basati sull'intelligenza artificiale attaccano i sistemi esposti a Internet dall'esterno e segnalano solo le vulnerabilità che riescono effettivamente a sfruttare.

Come applicare una patch a PHP2Shell con le immagini gratuite di Aikido

Patch PHP2Shell con immagini gratuite di Aikido (da PHP 5.5 a 8.5)

Risolvi la vulnerabilità PHP2Shell (CVE-2026-109618 e CVE-2026-109619) con le immagini gratuite di Aikido per PHP dalle versioni 5.5 alla 8.5. Continua a utilizzare la tua versione attuale grazie alle correzioni retroportate.

Aggiornamenti sui prodotti

Aggiungere i test di penetrazione basati sull'intelligenza artificiale (AI) di Aikido al vostro attuale sistema di sicurezza

Aggiungere i test di penetrazione basati sull'intelligenza artificiale di Aikido al vostro stack di sicurezza esistente | Aikido Security

Il pentesting basato sull'intelligenza artificiale di Aikido Security si integra perfettamente con la piattaforma che già utilizzate. Potete aggiungere il pentesting basato sull'intelligenza artificiale per individuare quei complessi difetti logici che gli strumenti deterministici non riescono a rilevare.

I test di penetrazione basati sull'intelligenza artificiale di Aikido Security si integrano perfettamente nell'infrastruttura che già utilizzate. Anche se avete deciso di continuare a utilizzare il vostro codice attuale e i vostri strumenti di sicurezza cloud, potete aggiungere i test di penetrazione basati sull'intelligenza artificiale per individuare quei complessi difetti logici che gli strumenti deterministici non riescono a rilevare.

Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.

La vulnerabilità Brotli di Node2Shell (CVE-2026-111497) si evolve in HTTP2Shell, poiché sono interessate le librerie e le applicazioni che utilizzano HTTP.

La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.

La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa le applicazioni Python su cui sono installati Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento per applicare la correzione.

Node2Shell: una vulnerabilità di Node.js relativa a Brotli consente l'esecuzione di codice da remoto (CVE-2026-111497)

Node2Shell: una vulnerabilità di Node.js legata a Brotli consente l'esecuzione di codice da remoto (CVE-2026-111497) e la correzione

Node.js CVE-2026-111497 (Node2Shell) è una vulnerabilità di Brotli che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, le versioni corrette e la soluzione.

Vulnerabilità di eMudhra CA: otto chiavi private, una delle quali è 4 - CVE-2026-111943

Vulnerabilità di eMudhra CA: otto chiavi private deboli - CVE-2026-111943

È possibile indovinare otto chiavi CA di eMudhra con un massimo di 256 tentativi, e una di queste è proprio il numero 4. Chi è interessato dal problema, perché i browser con Curl subiscono rallentamenti e come risolverlo.

Otto chiavi CA intermedie di eMudhra sono state generate con un livello di sicurezza talmente basso da poter essere recuperate con un massimo di 256 tentativi.

Migliori pratiche per la sicurezza della catena di fornitura del software per il 2026

Migliori pratiche per la sicurezza della catena di fornitura del software per il 2026 | Aikido Security

Questa guida illustra le migliori pratiche in materia di sicurezza della catena di approvvigionamento che avrebbero permesso di prevenire gli attacchi verificatisi negli ultimi 18 mesi.

LiteLLM nuovamente compromesso: individuati un infostealer e un RAT nella versione 1.107.0

LiteLLM compromesso: infostealer e RAT nella versione 1.107.0 di PyPI

LiteLLM 1.107.0 contiene un infostealer e un RAT, e PyPI ha messo in quarantena il pacchetto. Verificate se siete stati colpiti, quali dati vengono rubati e quali versioni sostituire.

LiteLLM 1.107.0 è stato compromesso. Tutti e sette i pacchetti "wheel" compilati presenti su PyPI contengono un programma di furto di credenziali e un trojan di accesso remoto persistente.

PHP2Shell: vulnerabilità critiche di PHP, versioni interessate e correzioni | CVE-2026-109618 e CVE-2026-109619

PHP2Shell: Come risolvere la vulnerabilità RCE di PHP con patch e immagini gratuite

Una vulnerabilità critica di PHP consente agli aggressori di eseguire codice in remoto su server privi di patch. Scopri le versioni interessate, le patch, le misure di mitigazione e come verificare il tuo livello di esposizione. Due falle RCE di PHP (CVE-2026-109618, CVE-2026-109619) sono attualmente oggetto di attacchi. Ecco a quali versioni aggiornare e cosa fare se non è possibile applicare la patch oggi stesso.

Sono ora disponibili le patch per due vulnerabilità critiche di tipo RCE in PHP (CVSS 9.2) e sono stati segnalati casi di sfruttamento. Tutte le versioni di PHP non aggiornate sono a rischio. Scopri come aggiornare il sistema e utilizzare le immagini Aikido corrette, disponibili gratuitamente.

Le 10 migliori piattaforme software per la sicurezza della posta elettronica nel 2026

Confronta 10 piattaforme di sicurezza e-mail per la protezione da phishing, BEC e risposte automatizzate, oltre alla protezione dei dipendenti attraverso la formazione, i dispositivi e l'uso dell'intelligenza artificiale.

I 9 migliori strumenti di simulazione del phishing nel 2026

Confronta nove strumenti di simulazione del phishing per esercitazioni realistiche tramite e-mail, voce, SMS e deepfake, formazione adattiva e una protezione più ampia della forza lavoro.

Le 9 migliori alternative a KnowBe4 nel 2026

Le 9 migliori alternative e concorrenti di KnowBe4 nel 2026

Confronta nove alternative a KnowBe4 per la formazione sulla sensibilizzazione, le simulazioni di phishing, la governance dell'IA e la protezione della forza lavoro, oltre a consigli pratici sulla migrazione.

Le 8 migliori piattaforme di formazione sulla sicurezza informatica nel 2026

Confronta otto piattaforme di formazione sulla sicurezza informatica per l’apprendimento basato sui ruoli, le minacce legate all’intelligenza artificiale, le simulazioni di phishing e la protezione di tutta la tua forza lavoro.

Le 8 migliori alternative a Mimecast nel 2026

Le 8 migliori alternative e concorrenti di Mimecast nel 2026

Confronta otto alternative a Mimecast per la sicurezza della posta elettronica, la governance dell'IA, la formazione dei dipendenti e l'archiviazione, con consigli pratici per pianificare il passaggio.

Aikido lancia Noon: sicurezza sul lavoro per ogni dipendente

Aikido lancia Noon, un’azienda specializzata nella sicurezza della forza lavoro. Governance dell’IA, protezione dei dispositivi e della posta elettronica, nonché formazione contro il phishing basato sull’IA e i deepfake.

Abbiamo creato Aikido per proteggere gli sviluppatori. Oggi lanciamo Noon per proteggere tutti gli altri, dal phishing basato sull’intelligenza artificiale e dai deepfake fino agli strumenti di IA che i team di sicurezza non riescono a individuare.

I test di penetrazione annuali non bastano più. Effettuate più test con lo stesso budget

I test di penetrazione annuali non bastano più. Aumentate il numero di test senza aumentare il budget | Aikido Security

Il 76% dei team implementa modifiche significative ogni settimana, ma solo il 21% esegue test su ogni versione rilasciata. Ecco come i test di penetrazione basati sull’intelligenza artificiale colmano questa lacuna senza aumentare il budget destinato alla sicurezza

I test di penetrazione basati sull'intelligenza artificiale consentono ai team di sicurezza di effettuare verifiche con maggiore frequenza senza aumentare il budget. Scopri come i prezzi fissi e le previsioni consentono di mantenere i costi prevedibili.

Il tuo CVE è accessibile. Ma è sfruttabile?

I CVE accessibili possono comunque non rappresentare un rischio per la tua app. Scopri come l'analisi della raggiungibilità rispetto a quella della sfruttabilità ti aiuti a decidere quali vulnerabilità delle dipendenze correggere per prime.

Le migliori alternative a Escape.tech per la sicurezza offensiva nel 2026

Le migliori alternative a Escape.tech nel 2026

Mettiamo a confronto le migliori alternative a Escape.tech per la sicurezza offensiva nel 2026: Aikido Security, XBOW, RunSybil, Terra, Burp Suite Professional, Invicti, StackHawk, Hadrian e Pentera

Le migliori alternative a Horizon3 nel 2026

Le migliori alternative a Horizon3 nel 2026 per i test di penetrazione basati sull'IA | Aikido Security

Mettiamo a confronto le migliori alternative a Horizon3 per i test di penetrazione basati sull'intelligenza artificiale nel 2026: Aikido Security, Pentera, RidgeBot, XBOW, Hadrian, RunSybil e Terra

Drata e Aikido: test di penetrazione pronti per l’audit, integrati nel vostro flusso di lavoro di conformità

Drata e Aikido integrano i test di penetrazione basati sull'intelligenza artificiale nel vostro flusso di lavoro di conformità. Ottenete risultati verificati, report pronti per i revisori e fino a 4.000 $ in crediti gratuiti per i test di penetrazione.

Drata e Aikido integrano i test di penetrazione basati sull'intelligenza artificiale nel vostro flusso di lavoro di conformità, con risultati verificati, report pronti per i revisori e fino a 4.000 dollari in crediti gratuiti per i test di penetrazione destinati ai nuovi clienti Drata.

Aikido Security ha ottenuto l'accreditamento CREST

Aikido Security ha ottenuto l'accreditamento CREST per i test di penetrazione | Aikido Security

Vendite a banche o enti pubblici? Aikido offre ora test di penetrazione accreditati CREST, oltre a test di penetrazione basati sull’intelligenza artificiale da effettuare tra un audit e l’altro.

Che cos’è la correzione delle vulnerabilità?

Che cos’è la correzione delle vulnerabilità? | Aikido Security

Scopri come funziona la correzione delle vulnerabilità per ogni tipo di difetto e cosa fare quando l'aggiornamento di una dipendenza interrompe la compilazione o non è un'opzione praticabile.

I 6 migliori strumenti di sicurezza per sviluppatori destinati ai team aziendali nel 2026

I 6 migliori strumenti di sicurezza per sviluppatori destinati ai team aziendali nel 2026 | Aikido Security

Confrontiamo i migliori strumenti di sicurezza per sviluppatori destinati ai team aziendali in base alla qualità dei segnali, alla governance e alle misure correttive: Aikido Security, Snyk, GitHub Advanced Security, SonarQube, Checkmarx ed Endor Labs

I migliori strumenti di sicurezza conformi allo standard FedRAMP nel 2026

I migliori strumenti di sicurezza conformi allo standard FedRAMP nel 2026 | Aikido

Mettiamo a confronto i migliori strumenti di sicurezza conformi a FedRAMP nel 2026: Aikido for Government, Checkmarx One for Government, Qualys, Rapid7 InsightGovCloud, Snyk for Government, Tenable, Wiz for Government

Il pacchetto NPM di TensorLake è stato compromesso dal worm Shai Hulud

Rilevato codice dannoso in TensorLake 0.5.144

Come Aikido ti aiuta a soddisfare i requisiti SOC 2 Tipo 1 e Tipo 2

Conformità SOC 2 Tipo 1 e Tipo 2 con Aikido

Scopri in che modo Aikido si allinea agli audit SOC 2 Tipo 1 e Tipo 2, offrendo il monitoraggio degli SLA, controlli CI/CD e verifiche cloud che generano prove di audit esportabili.

I migliori strumenti di remediation delle vulnerabilità nel 2026

I migliori strumenti di remediation delle vulnerabilità nel 2026 | Aikido

Confrontiamo i migliori strumenti di remediation delle vulnerabilità nel 2026: Aikido Security, Snyk, GitHub Advanced Security, Tenable, Qualys e Wiz

Principali feed di threat intelligence nel 2026

I migliori feed di threat intelligence nel 2026 | Aikido Security

Mettiamo a confronto i migliori feed di threat intelligence del 2026: Aikido Intel, Socket Threat Feed, Snyk Security Database, OSV.dev e Spectra Intelligence (ReversingLabs)

I migliori strumenti di endpoint security per sviluppatori nel 2026

I migliori strumenti di endpoint security per sviluppatori nel 2026 | Aikido

Un confronto tra i migliori strumenti di endpoint security per sviluppatori nel 2026. Analizziamo Aikido Security, GitGuardian Developer Endpoint Protection, Koi Security, Socket e CrowdStrike Falcon

Aikido finanzia la sicurezza di Node.js

Aikido si unisce all'iniziativa di OpenJS per finanziare la sicurezza di Node.js

Aikido è partner inaugurale del Security Stewardship Program di OpenJS, finanziando bug bounty e supporto ai maintainer per Node.js.

Aikido si unisce al Security Stewardship Program di OpenJS come partner inaugurale, finanziando bug bounty e supporto ai maintainer per proteggere Node.js.

Aikido Security ottiene l'autorizzazione FedRAMP di livello "Moderate"

Aikido ha ottenuto l'autorizzazione FedRAMP Moderate, portando la correzione automatica delle vulnerabilità basata su intelligenza artificiale alle agenzie federali statunitensi.

Le migliori alternative a CodeQL nel 2026

Le migliori alternative a CodeQL nel 2026 | Aikido

Confronto tra le migliori alternative a CodeQL in base a falsi positivi, correzioni, costi e altro: Aikido Security, Semgrep, Snyk Code, SonarQube, Checkmarx e Veracode

Le migliori alternative a Greptile nel 2026

Le migliori alternative a Greptile nel 2026 | Aikido

Confrontiamo le migliori alternative a Greptile nel 2026 per copertura, falsi positivi, profondità di revisione e altro ancora: Aikido Security, CodeRabbit, Qodo, Graphite, SonarQube e CodeAnt AI

Rilevato un nuovo worm Go supplychain.local

I pacchetti npm e PyPI di MemTensor colpiti dal malware "supplychain.local"

"supplychain.local": codice malese rinvenuto nel plugin npm di MemTensor (0.1.21, 0.1.23) e in MemoryOS su PyPI (2.0.34).

Il Cyber Resilience Act è arrivato! Sfatare i miti e prime impressioni

La prima scadenza del Cyber Resilience Act è arrivata l'11 settembre 2026. Come appare la nuova Single Reporting Platform e quattro falsi miti sul CRA sfatati.

Invia un'e-mail a GitLab, esegui il push sul ramo main

GitLab ti fornisce un indirizzo email privato per creare issue. Se compromesso, chiunque ne sia in possesso può effettuare il push del codice, eseguire job CI/CD e aggirare le restrizioni IP su tutti i tuoi progetti pubblici e privati.

La campagna Graphalgo si estende ai provider Terraform e ai moduli Go

Il malware Graphalgo si diffonde a Terraform e Go

Aikido ha rilevato malware Go collegato a Graphalgo nei provider Terraform e nei moduli Go, che sfrutta trigger mirati, Slack e C2 basati su blockchain.

Il malware Graphalgo si è ora diffuso a Go, comparendo in due provider Terraform e due moduli Go.

Aikido e Deel: configurazione una tantum, sicurezza garantita per ogni noleggio

Codice, cloud e dispositivi protetti automaticamente non appena viene assunto qualcuno tramite Deel.

Presentazione di Aikido Altar: il modello che rende possibile la security intelligence sovrana

Aikido Altar: IA open-weight per la sicurezza sovrana

Aikido Altar è un modello di IA compatto e open-weight progettato per la security intelligence sovrana, che alimenta il pentesting on-prem e air-gapped di Aikido Machine.

Altar è il nostro primo modello AI con pesi aperti ed è il primo passo verso una sicurezza e un'intelligenza sovrane. Eseguito interamente all'infrastruttura del cliente, alimenta il pentesting autonomo di Aikido Machine senza che alcun codice esca mai dal perimetro aziendale.

I migliori strumenti di penetration test con IA on-premise nel 2026

I migliori strumenti di penetration test con IA on-premise 2026 | Aikido Security

I migliori strumenti on-premise di penetration test con IA del 2026 per i team operanti in settori regolamentati, confrontati in base al supporto air-gap, alla profondità whitebox e alla copertura applicativa

L'Aikido ottiene la certificazione AWS Security Competency per la sicurezza delle applicazioni

AWS ha conferito ad Aikido il riconoscimento Security Competency per Application Security, a conferma della capacità di Aikido di proteggere le applicazioni dal codice al cloud fino al runtime.

AWS ha verificato il nostro lavoro: siamo ufficialmente un partner AWS Security Competency per la sicurezza applicativa.

Le migliori alternative a Qodo per l'assistenza al codice basata su IA

Confronto tra le migliori alternative a Qodo nel 2026

Le migliori alternative a Qodo per la revisione del codice tramite IA nel 2026, messe a confronto in base a rumore, sicurezza e costi, per aiutarti a scegliere lo strumento più adatto al tuo team.

Le migliori alternative ad Aqua Security per la sicurezza cloud-native nel 2026

Confronto tra le prime 6 alternative ad Aqua Security nel 2026

Confronta le migliori alternative ad Aqua Security nel 2026: Aikido, Wiz, Prisma Cloud, Sysdig, Orca e CrowdStrike, valutando copertura, distribuzione, prezzi e compatibilità.

Dependabot vs Renovate (2026): Quale scegliere?

Dependabot vs Renovate

Un confronto tra Dependabot e Renovate in termini di configurazione, monorepo, piattaforme e sicurezza, oltre al motivo per cui l'aggiornamento automatico non coglie ciò che è realmente sfruttabile

Il picco di CVE tra le principali aziende software è un problema di remediation

Il volume delle CVE è in aumento tra le principali aziende software e un audit federale dimostra che persino il NIST non è riuscito a tenere il passo. Ecco perché la velocità di risoluzione, e non il numero di segnalazioni, è il dato che conta davvero.

Un grafico diventato virale questo mese ha mostrato una forte crescita delle CVE in 21 importanti aziende software, dividendo il settore in due fazioni sul significato di questo dato. Entrambe ignorano il valore che determina realmente il rischio: la velocità con cui vengono risolte le vulnerabilità importanti.

Jason Haddix: Smetti di temere il penetration testing basato su IA

Jason Haddix: Il 90% dei penetration test verrà eseguito dall'IA

Jason Haddix spiega perché il pentesting manuale non riesce a tenere il passo, cosa è destinato a scomparire per primo e perché la metodologia umana è ciò che rende efficace il penetration testing con IA

Un pacchetto Flutter compromesso su pub.dev contiene il malware XCSSET

Abbiamo rilevato il malware XCSSET all'interno di un pacchetto Flutter compromesso su pub.dev. Ecco un'analisi dettagliata della catena di infezione, dei moduli di propagazione e della logica dello stealer che abbiamo trovato all'interno.

Shai-Hulud risorge dopo 111 giorni

Un payload npm di Shai-Hulud è ricomparso 111 giorni dopo

Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni e poi è stato ripubblicato su npm, eludendo i controlli di sicurezza pensati per rilevarlo.

Un payload di Shai-Hulud di maggio è ricomparso su npm con lo stesso hash, immutato, superando indenne i controlli in fase di pubblicazione che avrebbero dovuto rilevarlo.

Fix per StyleSmuggler: patch per la RCE su Magento e Adobe Commerce

Fix per StyleSmuggler: patcha la RCE di Magento e Adobe Commerce

StyleSmuggler è una vulnerabilità RCE non autenticata che colpisce Magento e Adobe Commerce, priva di CVE e senza ancora una patch ufficiale di Adobe. Aikido ha già pronto il fix.

StyleSmuggler sta colpendo Magento e Adobe Commerce in questo momento e Adobe non ha ancora rilasciato una patch. Ecco la nostra patch disponibile e come funziona.

Dirty Frag (CVE-2026-43284): il bug del kernel Linux che trasforma l'accesso in lettura in permessi root

Dirty Frag (CVE-2026-43284): Escalation a Root in Linux | Aikido

Dirty Frag trasforma un accesso Linux a privilegi ridotti in permessi root e può effettuare il breakout dai container. Le CVE interessate, come verificare se sei esposto e come risolverlo.

Le migliori alternative a Trivy per la scansione di container e cloud nel 2026

Le migliori alternative a Trivy nel 2026: a confronto

Sei alternative a Trivy a confronto per il 2026 in merito a scansione di container, IaC, SAST, prioritizzazione e correzioni, con l'effettiva collocazione di ciascuna.

Rispetta gli SLA: come correggere le vulnerabilità prima ancora che la patch venga rilasciata

Il tuo SLA sta per scadere e la dipendenza non ha patch

Come usare Aikido Libraries per correggere dipendenze vulnerabili e rispettare gli SLA di sicurezza.

Scopri come rispettare gli SLA di sicurezza per le vulnerabilità delle dipendenze con Aikido Libraries, fornendo patch backportate e sicure.

MECCHA CHAMELEON non può nascondersi dalla RCE

Abbiamo scoperto una seconda RCE ritardata in MECCHA CHAMELEON: una mappa personalizzata dannosa poteva scrivere file ovunque nel sistema ed eseguire codice dopo un riavvio. Ora risolto nella versione 4.0.0.

I migliori strumenti DSPM nel 2026

I migliori strumenti DSPM del 2026: Confronto e classifica

Confronta i migliori strumenti DSPM del 2026 (Aikido, Wiz, Cyera, Varonis e Orca) in base all'accesso ai dati, alla correzione e alle modalità di rilevamento delle esposizioni

Confronta i migliori strumenti DSPM del 2026, Aikido, Wiz, Cyera, Varonis e Orca, in base all'accesso ai dati, alla correzione e alle modalità di rilevamento delle esposizioni

Il lato oscuro del rilevamento della supply chain

Le regole basate su stringhe intercettano solo il malware già noto. Il rilevamento comportamentale è il metodo per individuare gli attacchi alla supply chain.

Il popolare generatore di codice per TanStack Query colpito da un worm della supply chain

È stato scoperto un worm della supply chain nascosto in @7nohe/openapi-react-query-codegen, un popolare generatore di codice per TanStack Query, in grado di sottrarre credenziali e diffondersi a ogni pacchetto gestito dalla vittima.

Protezione delle immagini Docker

Protezione delle immagini Docker: rafforzamento, patch e manutenzione

La maggior parte delle vulnerabilità di un container proviene dall'immagine di base. Come rafforzare le immagini Docker, perché questo processo è continuo e come applicare le patch all'immagine base già in uso.

Addio e buona fortuna, TeamPCP. Ora viene il difficile.

Gli arresti di TeamPCP non risolvono i rischi per la supply chain emersi

AFP, FBI e polizia dell'Australia Occidentale hanno incriminato due uomini ritenuti responsabili di TeamPCP. Charlie Eriksen spiega perché l'arresto non colma la lacuna evidenziata da TeamPCP.

Due uomini sono stati incriminati in quanto presunti membri di TeamPCP, a seguito di mesi di indagini congiunte tra AFP, FBI e polizia dell'Australia Occidentale. Charlie Eriksen di Aikido spiega perché questo non colma la lacuna aperta da TeamPCP nella catena di fornitura del software.

Le migliori alternative a Minimus nel 2026

Minimus sta chiudendo. Confronta Aikido, Chainguard, Docker Hardened Images, RapidFort ed Echo, e scegli un'alternativa di immagini protette che non ti vincoli a un unico fornitore.

Aikido Security ottiene la certificazione ISO 42001:2023 per la governance dell'intelligenza artificiale

Aikido ottiene la certificazione ISO 42001 | Governance dell'IA

Aikido Security ha ottenuto la certificazione ISO 42001, lo standard globale per la governance dell'IA, che copre il penetration test con IA, l'audit di sicurezza del codice e la Deep PR Review.

La sicurezza della catena di approvvigionamento del software richiede decisioni consapevoli piuttosto che impostazioni predefinite

Sicurezza della Software Supply Chain: decisioni, non impostazioni predefinite

La maggior parte del software si basa su decisioni che nessuno ha preso consapevolmente. Analizziamo perché l'adozione di blocchi, il pinning delle versioni, il backporting e la gestione degli SBOM funzionano solo se qualcuno se ne assume la piena responsabilità.

Una backdoor in xz-utils. Una build compromessa in lodash. Entrambi i problemi riconducono alla stessa cattiva abitudine: considerare un numero di versione come un dato di fatto anziché come una scelta. Ecco cosa serve davvero per prendere decisioni consapevoli anziché affidarsi ciecamente ai valori predefiniti.

Aikido lancia un servizio di pentesting "agente" per le app Android

Pentesting Android, ora con agenti autonomi | Aikido

Gli agenti di Aikido eseguono il pentest della tua app Android e del suo backend in un'unica valutazione whitebox. Ottieni risultati riproducibili, AutoFix e nuovi test per ogni singola problematica.

Ora Aikido esegue penetration test autonomi sulle app Android simulando le mosse di un attaccante, coprendo l'applicazione e il relativo backend in un'unica valutazione, con funzionalità di AutoFix e nuovi test integrate.

È possibile che OpenClaw abbia davvero hackerato quella palestra australiana? Abbiamo deciso di metterlo alla prova.

Abbiamo ricreato l'hack virale della palestra basato su IA in un ambiente controllato. Eseguendo Opus 4.6 su OpenClaw, il modello ha sfruttato la falla di prenotazione in nove test su dieci.

Come Aikido trova più vulnerabilità rispetto a Mythos dimezzando i costi

Come Aikido trova più vulnerabilità di Claude Security con Mythos a metà del costo

Aikido AI Code Audit ha trovato 8 vulnerabilità in più rispetto a Claude Security con Mythos a meno della metà del costo. Come il design dell'harness guida la copertura per dollaro.

L'audit di sicurezza del codice di Aikido ha trovato 8 vulnerabilità in più rispetto a Claude Security con Mythos, a meno della metà del costo. Scopri come il design incentrato sull'efficienza aumenta la copertura per dollaro.

Shai-Hulud è stata la cosa migliore che potesse capitare alla sicurezza della catena di approvvigionamento

npm Trusted Publishing è rimasto quasi inutilizzato dopo il suo rilascio. Poi, Shai-Hulud e altri 14 attacchi alla supply chain ne hanno fatto impennare l'adozione di 3,4 volte. Charlie analizza i dati dietro a questo fenomeno.

npm Trusted Publishing è rimasto quasi inutilizzato per due anni. Poi, Shai-Hulud e altri 14 attacchi alla supply chain ne hanno fatto impennare l'adozione di 3,4 volte. Charlie analizza i dati dietro a questo fenomeno.

I migliori strumenti di image hardening nel 2026

I migliori strumenti di image hardening nel 2026: confronto tra 7 soluzioni

Confronto tra i migliori strumenti di image hardening per il 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus e Wiz

I migliori strumenti di AI pentesting enterprise per la sicurezza delle applicazioni nel 2026

I migliori strumenti di AI pentesting enterprise nel 2026

Confronta i migliori strumenti di AI pentesting enterprise del 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian e Cobalt.

Cos'è la remediation delle CVE nel 2026?

La remediation delle CVE consiste nella correzione di vulnerabilità note nel software in esecuzione. Perché l'aggiornamento spesso fallisce, in cosa consiste realmente la remediation e come il backporting risolve il problema.

Abbiamo bruciato 11,7 miliardi di token per individuare il miglior modello di intelligenza artificiale per la sicurezza informatica

Abbiamo consumato 11,7 miliardi di token per trovare il miglior modello di IA per la sicurezza | GLM5.3 e DeepSeek sono ora all'avanguardia

Abbiamo testato 10 modelli di IA su 32 CVE recenti. DeepSeek V4 Pro ne ha trovati 28 e tre esecuzioni economiche hanno superato un singolo passaggio di Opus 5 o Grok in termini di copertura totale.

I popolari crate Rust arrayref, append-only-vec e internment compromessi in un attacco alla supply chain

Un attacco alla supply chain ha compromesso i popolari crate Rust arrayref, append-only-vec e internment, inserendo una dipendenza dal pacchetto malevolo proc-macro1, che scarica ed esegue un payload remoto in fase di compilazione.

Un attacco alla supply chain ha compromesso due popolari crate Rust, arrayref e append-only-vec, iniettando una dipendenza dal pacchetto malevolo proc-macro1 che scarica ed esegue un payload remoto durante la fase di build.

Checklist di valutazione per il pentesting IA: cosa cercare in un fornitore di pentesting IA

Checklist per i fornitori di pentesting IA: cosa cercare

Una checklist per valutare i fornitori di pentesting IA in base a validazione, accesso al codice, controllo dello scoup e affidabilità, oltre ai campanelli d'allarme che distinguono una vera piattaforma da una semplice demo.

Ancora un altro RCE in Gogs, ma questa volta è stato risolto!

CVE-2026-52813 | Un agente di pentesting di Aikido ha segnalato un problema di path traversal in Gogs. Lo abbiamo trasformato in un RCE completo e segnalato altri due bug, tutti risolti nella versione 0.14.3.

I migliori strumenti SCA enterprise del 2026

I migliori strumenti SCA enterprise del 2026 | Aikido

Confronta i migliori strumenti SCA enterprise per il 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck e Veracode in base a intelligenza, remediation e conformità.

I migliori strumenti DAST enterprise del 2026

I migliori strumenti DAST per le aziende nel 2026 | Aikido

Confronta i migliori strumenti DAST enterprise del 2026 in base a copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e pentesting basato su IA

Confronta i migliori strumenti DAST enterprise del 2026 in base a copertura autenticata, individuazione delle API, convalida degli exploit, governance, conformità e pentesting basato su IA.

I migliori strumenti di sicurezza unificati nel 2026

I migliori strumenti di sicurezza unificati nel 2026 | Aikido

Confronta i migliori strumenti di sicurezza unificati del 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk e Orca in termini di copertura, correlazione, governance e costi.

Da Hugging Face a Fable: quest'estate dimostra che il controllo dell'AI conta più della fiducia

Sicurezza dell'AI: perché il controllo conta più della fiducia

Una violazione autonoma dell'AI presso Hugging Face e la sospensione di Fable da parte di Anthropic dimostrano la stessa cosa: fidarsi di un fornitore non equivale ad avere il controllo

Un agente AI ha violato autonomamente Hugging Face. L'accesso a un fornitore di AI è svanito da un giorno all'altro. Ecco cosa hanno in comune.

Trovare vulnerabilità in ogni fase: cosa eseguire e quando

Quale strumento di test di sicurezza ti serve davvero?

SAST, Deep PR Review, Code Security Audit e AI Pentest rilevano vulnerabilità diverse in fasi diverse. Ecco quando utilizzare ciascuno strumento e perché

SAST, Deep PR Review, Code Security Audit e AI Pentest rilevano le vulnerabilità in fasi diverse. Ecco quando utilizzare ciascuno strumento e perché.

Che cos’è l’ingegneria dei sistemi di fissaggio per l’IA?

Che cos’è l’ingegneria degli harness? | Gli harness dell’IA e il loro impatto sulla sicurezza dell’IA

L'ingegneria dell'harness è il codice che circonda un modello di IA e lo trasforma in un agente. Cosa fa un harness, perché è preferibile alla semplice scelta di un modello e come crearne uno.

Chi c'era dietro l'attacco? Forse nessuno

Chi c'era dietro l'attacco? Forse nessuno | Gli attacchi degli agenti autonomi di Anthropic, OpenAI e AISI

Tre casi resi noti quest’estate hanno documentato attacchi sferrati da agenti di intelligenza artificiale contro organizzazioni reali, senza alcun intervento umano nella catena decisionale. La gestione degli incidenti non dispone ancora di un protocollo specifico per questo tipo di eventi.

The Aikido Machine: test di penetrazione basati sull'intelligenza artificiale in locale che non escono mai dalla tua rete

Aikido Machine: server locale per test di penetrazione basati sull'intelligenza artificiale | Aikido Security

Test di penetrazione basati sull'intelligenza artificiale in modalità continua per i team che non possono utilizzare il cloud. Aikido Machine mantiene modelli, codice e risultati interamente all'interno della vostra rete.

Test di penetrazione continui basati sull’intelligenza artificiale, effettuati all’interno della rete di organizzazioni soggette a una rigorosa regolamentazione. Belfius, la banca-assicurazione belga, è la prima ad averli implementati.

Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud

Keyv e i suoi collaboratori sono stati vittime di un attacco alla catena di approvvigionamento di npm

Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore

Grazie! La tua richiesta è stata ricevuta!

Ops! Qualcosa è andato storto durante l'invio del modulo.

14 luglio 2026

•

Guide e Best Practice

La checklist pratica per difendersi dagli attacchi alla supply chain

Trenta misure di difesa prioritarie contro la recente ondata di attacchi alla catena di approvvigionamento del software. Classificate come critiche, elevate o medie.

Tag/

#Sicurezza della catena di fornitura del software

#open source

13 luglio 2026

•

Notizie

Come mantenere gli standard di qualità del codice con AI code e vibe coding

Vibe Coding implementa rapidamente le funzionalità e elimina il "debito di revisione". Scopri come i controlli di qualità del codice, basati su benchmark e per singola regola, forniscono ai team un risultato coerente in tutte le pull request e in tutti i repository.

Tag/

#Qualità del codice

#Vibe Coding

#IA

9 luglio 2026

•

Vulnerabilità e Minacce

@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa

Una versione dannosa di @injectivelabs/sdk-ts nascondeva un programma per il furto delle chiavi dei wallet all’interno di un codice etichettato come “telemetria d’uso”, per poi diffonderlo in altri 17 pacchetti npm. Ecco come funzionava e come controllare i propri progetti.

Tag/

#Malware

#open source

9 luglio 2026

•

Guide e Best Practice

Guida all'acquisto di AI Pentesting: Come valutare i fornitori di AI pentesting

Scopri come valutare i fornitori di servizi di pentest basati sull’intelligenza artificiale grazie a criteri di acquisto concreti, a una ricerca condotta su oltre 1.000 pentest basati sull’intelligenza artificiale e a una checklist di valutazione.

Tag/

#Test di penetrazione basati sull'intelligenza artificiale

6 luglio 2026

•

Vulnerabilità e Minacce

Previsione continua di MongoDB ObjectId in Rocket.Chat

Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita della funzione ObjectId() di MongoDB ha evidenziato la scarsa casualità che la rende vulnerabile agli attacchi.

Tag/

#Vulnerabilità

#Test di penetrazione basati sull'intelligenza artificiale

#open source

4 luglio 2026

•

Vulnerabilità e Minacce

Bypass dell'autenticazione nella configurazione predefinita di phpBB

I nostri agenti di pentest basati sull'intelligenza artificiale hanno individuato una vulnerabilità critica che consente di aggirare l'autenticazione in phpBB (CVE-2026-48611): una singola richiesta non autenticata permette di accedere a qualsiasi account. Consulta l'exploit e la correzione.

Tag/

#Test di penetrazione basati sull'intelligenza artificiale

#Vulnerabilità

1 luglio 2026

•

Notizie

E un altro ancora. GitHub implementa la revoca delle credenziali break-glass

GitHub Enterprise è ora in grado di revocare tutte le credenziali di un account con un'unica operazione. L'attacco a Trivy e la violazione del servizio "durabletask" di Microsoft stessa dimostrano perché questa funzionalità fosse attesa da tempo.

Tag/

#Sicurezza su GitHub

26 giugno 2026

•

Notizie

npm ora blocca gli account ad alto impatto dopo modifiche rischiose agli account

Uno sguardo al nuovo blocco dell'account di 72 ore di npm: cosa lo fa scattare, cosa blocca e come funziona in combinazione con la pubblicazione "trusted" e "staged".

Tag/

#NPM

#open source

25 giugno 2026

•

Notizie

Tutti stanno rilasciando codice che non riescono a leggere

Grazie all'intelligenza artificiale, ormai tutti sono sviluppatori, e gran parte del codice viene distribuito senza essere stato sottoposto a un'attenta revisione da parte di esperti del settore.

Tag/

#IA

#Vibe Coding

24 giugno 2026

•

Vulnerabilità e Minacce

L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD

Il 24 giugno 2026 il servizio codfish/semantic-release-action è stato compromesso. Gli autori dell'attacco hanno reindirizzato i tag da v2 a v5 verso un payload Miasma finalizzato al furto di credenziali, mirato ai segreti dei sistemi CI/CD. Ecco cosa è successo e come verificare se si è stati colpiti.

Tag/

#open source

#Malware

23 giugno 2026

•

Aggiornamenti aziendali

Aikido x Drydock | Un modo per i maintainer di rilevare il malware prima del rilascio

Aikido ha avviato una collaborazione con Drydock per consentire ai responsabili della manutenzione di npm e PyPI di verificare con precisione il contenuto di una versione prima della sua pubblicazione. Individua il malware prima che venga distribuito, non dopo.

Tag/

#NPM

#PyPI

#Annunci

#open source

18 giugno 2026

•

Aikido

Aikido x OWASP: 200 crediti gratuiti per i membri individuali

I membri individuali di OWASP ricevono 200 crediti Aikido gratuiti per eseguire un Code Audit. Ecco come richiederli in due semplici passaggi.

Tag/

Nessun elemento trovato.

aggiornamenti su prodotto e azienda

20 ottobre 2026

•

Aggiornamenti aziendali

Aikido lancia Noon: sicurezza sul lavoro per ogni dipendente

6 ottobre 2026

•

Aggiornamenti aziendali

Aikido Security ottiene l'autorizzazione FedRAMP di livello "Moderate"

Aikido ha ottenuto l'autorizzazione FedRAMP Moderate, portando la correzione automatica delle vulnerabilità basata su intelligenza artificiale alle agenzie federali statunitensi.

21 settembre 2026

•

Aggiornamenti aziendali

Presentazione di Aikido Altar: il modello che rende possibile la security intelligence sovrana

Aikido Altar è un modello di IA compatto e open-weight progettato per la security intelligence sovrana, che alimenta il pentesting on-prem e air-gapped di Aikido Machine.

Vulnerabilità e Minacce

12 novembre 2026

•

Vulnerabilità e Minacce

La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository

Malware

2 novembre 2026

•

Vulnerabilità e Minacce

Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)

22 ottobre 2026

•

Vulnerabilità e Minacce

Vulnerabilità di eMudhra CA: otto chiavi private, una delle quali è 4 - CVE-2026-111943

Strumenti DevSec e confronti

28 agosto 2026

•

Strumenti DevSec e confronti

I 10 migliori strumenti di Software Composition Analysis (SCA) nel 2026

Gli strumenti SCA rappresentano la nostra migliore linea di difesa per la sicurezza open-source; questo articolo analizza i 10 migliori scanner di dipendenze open-source per il 2026

Strumenti

SCA

25 agosto 2026

•

Strumenti DevSec e confronti

Le migliori alternative a SonarQube nel 2026

Esplora le migliori alternative a SonarQube per analisi statica del codice, rilevamento dei bug e pulizia del codice nel 2026.

Strumenti

19 agosto 2026

•

Strumenti DevSec e confronti

I 10 migliori strumenti per i test dinamici di sicurezza delle applicazioni (DAST) nel 2026

Scopri i 10 migliori strumenti per il Dynamic Application Security Testing (DAST) del 2026. Confronta caratteristiche, vantaggi, svantaggi e integrazioni per scegliere la soluzione DAST più adatta alle tue esigenze.

Strumenti

DAST

Guide e Best Practice