.avif)
Notizie sulla sicurezza della Software Supply Chain
Rimani aggiornato sugli ultimi incidenti di sicurezza della supply chain del software, inclusi pacchetti dannosi, attacchi alle dipendenze e violazioni reali. Analizziamo cosa è successo, perché è importante e cosa gli sviluppatori dovrebbero correggere per prevenire i rischi.
La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository
Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.
Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)
CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.
Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.
La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.
@injectivelabs\/sdk-ts compromesso esfiltra le chiavi del wallet tramite telemetria falsa
Una versione dannosa di @injectivelabs/sdk-ts nascondeva un programma per il furto delle chiavi dei wallet all’interno di un codice etichettato come “telemetria d’uso”, per poi diffonderlo in altri 17 pacchetti npm. Ecco come funzionava e come controllare i propri progetti.
Previsione continua di MongoDB ObjectId in Rocket.Chat
Il pentester AI di Aikido ha individuato questa vulnerabilità relativa all'accesso ai file in Rocket.Chat. Un'analisi più approfondita dell'ObjectId di MongoDB ha evidenziato la scarsa casualità che lo rende vulnerabile agli attacchi.
Bypass dell'autenticazione nella configurazione predefinita di phpBB
I nostri agenti di pentest basati sull'intelligenza artificiale hanno individuato una vulnerabilità critica che consente di aggirare l'autenticazione in phpBB (CVE-2026-48611): una singola richiesta non autenticata permette di accedere a qualsiasi account. Consulta l'exploit e la correzione.
L'azione GitHub compromessa codfish/semantic-release-action ruba i segreti CI/CD
Il 24 giugno 2026 il servizio codfish/semantic-release-action è stato compromesso. Gli autori dell'attacco hanno reindirizzato i tag da v2 a v5 verso un payload Miasma finalizzato al furto di credenziali, mirato ai segreti dei sistemi CI/CD. Ecco cosa è successo e come verificare se si è stati colpiti.
Oltre 140 popolari pacchetti npm Mastra colpiti da un attacco alla supply chain
141 pacchetti npm di Mastra sono stati compromessi in un attacco alla catena di approvvigionamento che ha introdotto una dipendenza dannosa per scaricare ed eseguire in modo silenzioso un payload al momento dell'installazione.
Diversi plugin IDE di JetBrains sorpresi a rubare chiavi AI
Una campagna coordinata che coinvolge almeno 15 plugin per IDE di JetBrains, pubblicati tramite sette account di fornitori diversi, sottrae la chiave API del fornitore di servizi di intelligenza artificiale che l'utente incolla nelle relative impostazioni.
Il crate Rust compromesso onering esegue l'esfiltrazione di codice
La crate Rust "onering" v1.4.1 presente su crates.io, che è stata compromessa, conteneva un file `build.rs` dannoso che, ogni volta che si esegue la compilazione, invia il diff dell'ultimo commit a un endpoint Sentry ospitato.
Vulnerabilità critica decennale in phpBB che colpisce decine di milioni di utenti su migliaia di forum
Aikido Security ha scoperto una vulnerabilità critica nel sistema di autenticazione di phpBB, che consente di aggirare l'autenticazione senza autorizzazione e che interessa decine di milioni di utenti. È sufficiente una singola richiesta HTTP per assumere il controllo di qualsiasi account: una vulnerabilità presente nel codice fin dal 2014.
Aspetta, binding.gyp può fare cosa? Esplorando il più strano sistema di build di npm
Analisi approfondita di binding.gyp, il file di build npm spesso trascurato che può eseguire codice dannoso al momento dell'installazione tramite espansioni della shell, fughe dalla sandbox e dirottamento del compilatore.
Pacchetti npm di Red Hat compromessi per diffondere un worm di furto credenziali
Diversi pacchetti npm ufficiali di @redhat-cloud-services sono stati compromessi da un worm progettato per rubare credenziali, derivato dal malware open source Mini Shai-Hulud, che prendeva di mira le credenziali cloud e gli strumenti di sviluppo utilizzati nelle pipeline CI/CD.
Interfaccia utente remota Codex dall'aspetto legittimo ruba segretamente i tuoi token AI
Codexui-android, un'interfaccia utente remota di Codex ben rifinita, è un pacchetto npm attualmente in fase di sviluppo attivo e conta migliaia di utenti settimanali. Nell'ultimo mese ha sottratto in modo discreto i token di autenticazione di OpenAI.
Un attacco alla supply chain prende di mira i pacchetti Laravel-Lang con un credential stealer
Gli autori dell'attacco hanno inserito un programma per il furto di credenziali in oltre 200 versioni di popolari pacchetti Laravel-Lang, diffondendo così un malware mirato a chiave cloud, chiavi SSH, browser, portafogli crittografici e altro ancora.
Metti in sicurezza ora
Metti in sicurezza il tuo codice, il cloud e il runtime in un unico sistema centralizzato.
Trova e risolvi le vulnerabilità rapidamente e automaticamente.
