.avif)
Notizie sulla sicurezza della Software Supply Chain
Rimani aggiornato sugli ultimi incidenti di sicurezza della supply chain del software, inclusi pacchetti dannosi, attacchi alle dipendenze e violazioni reali. Analizziamo cosa è successo, perché è importante e cosa gli sviluppatori dovrebbero correggere per prevenire i rischi.
La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository
Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.
Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)
CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.
Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.
La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.
Le chiavi API di Google continuano a funzionare dopo averle eliminate
L'eliminazione di una chiave API di Google non comporta la sua revoca immediata. Dai nostri test è emerso che le autenticazioni sono andate a buon fine fino a 23 minuti dopo l'eliminazione, e Google si è rifiutata di risolvere il problema.
Il Far West delle estensioni di VS Code e come un'estensione compromessa ha violato GitHub
Ieri è stata individuata un’estensione VS Code dannosa su GitHub, un giorno dopo che Nx Console (2,2 milioni di installazioni) era stata compromessa per 18 minuti sul Visual Studio Marketplace, raggiungendo tutti gli utenti con l’aggiornamento automatico attivato.
GitHub violato tramite un'estensione malevola di VS Code: perché i dispositivi degli sviluppatori sono il vero obiettivo
GitHub ha confermato che un'estensione di VS Code infetta ha compromesso il dispositivo di un dipendente, rendendo accessibili 3.800 repository interni. Perché le postazioni di lavoro degli sviluppatori sono ora il principale obiettivo della catena di approvvigionamento.
Il pacchetto durabletask di Microsoft su PyPi compromesso. Mini Shai Hulud attacca di nuovo... di nuovo!
Tre versioni progressivamente compromesse di un pacchetto Python legato a Microsoft costituiscono un infostealer completo che si diffonde tramite AWS e Kubernetes, sottrae tutte le credenziali cloud che riesce a trovare e cancella i dischi sui sistemi israeliani e iraniani
Mini Shai-Hulud colpisce ancora: il worm npm compromette centinaia di pacchetti @antv
Il worm npm "Mini Shai-Hulud" ha colpito i pacchetti @antv di Alibaba, echarts-for-react e timeago.js. Il payload ruba le credenziali di CI/CD, installa backdoor in VS Code e Claude Code e si diffonde ripubblicando i pacchetti compromessi. Ecco cosa è successo e come proteggere il vostro team.
Mini Shai-Hulud è tornato: il worm npm colpisce oltre 160 pacchetti, inclusi Mistral e Tanstack
Mini Shai-Hulud è tornato: ha compromesso 169 pacchetti npm relativi a TanStack, UiPath, Squawk e altri, con l'obiettivo di sottrarre credenziali degli sviluppatori e segreti relativi alla CI/CD, per poi diffondersi attraverso flussi di lavoro di pubblicazione affidabili.
Il popolare pacchetto PyTorch Lightning compromesso da Mini Shai-Hulud
È stato individuato un malware nelle popolari versioni 2.6.2 e 2.6.3 di PyTorch Lightning, che ruba credenziali, portafogli di criptovalute e configurazioni VPN nell'ambito della campagna Mini Shai-Hulud.
Mini Shai-Hulud prende di mira i pacchetti npm di SAP con un secret stealer basato su Bun
I pacchetti npm SAP compromessi utilizzano un payload di preinstallazione basato su Bun per sottrarre credenziali di GitHub, npm, servizi cloud e CI, per poi diffondersi tramite GitHub utilizzando OhNoWhatsGoingOnWithGitHub.
Qualcuno ha pubblicato quattro versioni di un pacchetto "tanstack" falso in 27 minuti per rubare i tuoi file .env
Un pacchetto npm fasullo denominato "tanstack" ha pubblicato oggi quattro versioni dannose nel giro di 27 minuti, sottraendo i file .env tramite un hook post-installazione. Ecco cosa è successo, chi è stato colpito e come aggiornare le proprie credenziali.
È ora di trattare le estensioni del browser come vettori di attacco alla supply chain
La violazione di Vercel ha seguito uno schema ben noto al settore della sicurezza, in cui il codice di terze parti viene implicitamente considerato affidabile, per poi essere compromesso a monte. Abbiamo un framework apposito per questo. Semplicemente non l’abbiamo ancora applicato alle estensioni del browser. (Spoiler: lo facciamo per le dipendenze software)
Shai-Hulud è tornato? La CLI di Bitwarden compromessa contiene un worm npm auto-propagante
Il malware rilevato nella versione @bitwarden/cli v2026.4.0 ruba chiavi SSH, segreti cloud e credenziali di strumenti di programmazione AI, per poi diffondersi attraverso i pacchetti npm delle stesse vittime. Al suo interno: un worm che si autodefinisce "Shai-Hulud: The Third Coming".
Metti in sicurezza ora
Metti in sicurezza il tuo codice, il cloud e il runtime in un unico sistema centralizzato.
Trova e risolvi le vulnerabilità rapidamente e automaticamente.
