.avif)
Notizie sulla sicurezza della Software Supply Chain
Rimani aggiornato sugli ultimi incidenti di sicurezza della supply chain del software, inclusi pacchetti dannosi, attacchi alle dipendenze e violazioni reali. Analizziamo cosa è successo, perché è importante e cosa gli sviluppatori dovrebbero correggere per prevenire i rischi.
La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository
Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.
Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)
CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.
Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.
La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.
Shai-Hulud risorge dopo 111 giorni
Un payload noto del worm Shai-Hulud è rimasto inattivo per 111 giorni e poi è stato ripubblicato su npm, eludendo i controlli di sicurezza pensati per rilevarlo.
Fix per StyleSmuggler: patch per la RCE su Magento e Adobe Commerce
StyleSmuggler è una vulnerabilità RCE non autenticata che colpisce Magento e Adobe Commerce, priva di CVE e senza ancora una patch ufficiale di Adobe. Aikido ha già pronto il fix.
MECCHA CHAMELEON non può nascondersi dalla RCE
Abbiamo scoperto una seconda RCE ritardata in MECCHA CHAMELEON: una mappa personalizzata dannosa poteva scrivere file ovunque nel sistema ed eseguire codice dopo un riavvio. Ora risolto nella versione 4.0.0.
Il popolare generatore di codice per TanStack Query colpito da un worm della supply chain
È stato scoperto un worm della supply chain nascosto in @7nohe/openapi-react-query-codegen, un popolare generatore di codice per TanStack Query, in grado di sottrarre credenziali e diffondersi a ogni pacchetto gestito dalla vittima.
I popolari crate Rust arrayref, append-only-vec e internment compromessi in un attacco alla supply chain
Un attacco alla supply chain ha compromesso i popolari crate Rust arrayref, append-only-vec e internment, inserendo una dipendenza dal pacchetto malevolo proc-macro1, che scarica ed esegue un payload remoto in fase di compilazione.
Ancora un altro RCE in Gogs, ma questa volta è stato risolto!
CVE-2026-52813 | Un agente di pentesting di Aikido ha segnalato un problema di path traversal in Gogs. Lo abbiamo trasformato in un RCE completo e segnalato altri due bug, tutti risolti nella versione 0.14.3.
Keyv e i suoi amici sono stati coinvolti in un attacco attivo alla catena di approvvigionamento di Shai-Hulud
Il 4 agosto 2026, il malware Mini Shai-Hulud è stato inserito nel pacchetto keyv e in otto pacchetti npm correlati dopo che un hacker ha compromesso l'account GitHub del manutentore
Il sogno febbrile di Anthropic: il pacchetto di Claude che ha rubato chiavi reali
Anthropic ha rivelato l'esistenza di un agente che ha diffuso malware vero e proprio su PyPI. Riteniamo di aver individuato il pacchetto in questione, e ogni errore in esso contenuto rimanda all'intelligenza artificiale.
Individuare otto vulnerabilità ad alta gravità in NodeBB in sei ore
Otto vulnerabilità di NodeBB ad alto livello di gravità, individuate dal nostro test di penetrazione basato sull'intelligenza artificiale in sei ore. Analisi tecnica completa delle catene XSS, dei bypass dell'autenticazione e del dirottamento dei post.
SleeperGem: l'attacco alla supply chain di RubyGems prende di mira account di manutentori dormienti
SleeperGem: due account inattivi di manutentori di RubyGem sono stati compromessi per inserire malware in gemme affidabili, una delle quali con oltre 500.000 download complessivi
RCE senza autenticazione nel core di WordPress (wp2shell), tramite iniezione SQL
Il core di WordPress presenta una vulnerabilità RCE (wp2shell) senza autenticazione, confermata come iniezione SQL. Effettuate subito l'aggiornamento alla versione 7.0.2 o 6.9.5; se non è ancora possibile applicare la patch, adottate le misure di mitigazione. Bloccate la classe di attacco in fase di esecuzione con Aikido Zen.
Metti in sicurezza ora
Metti in sicurezza il tuo codice, il cloud e il runtime in un unico sistema centralizzato.
Trova e risolvi le vulnerabilità rapidamente e automaticamente.
