.avif)
Notizie sulla sicurezza della Software Supply Chain
Rimani aggiornato sugli ultimi incidenti di sicurezza della supply chain del software, inclusi pacchetti dannosi, attacchi alle dipendenze e violazioni reali. Analizziamo cosa è successo, perché è importante e cosa gli sviluppatori dovrebbero correggere per prevenire i rischi.
La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository
Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.
Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)
CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.
Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.
La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.
Molteplici vulnerabilità di Cross-Site Scripting (XSS) in Mailcow
L'agente di test di penetrazione AI di Aikido ha individuato tre vulnerabilità XSS in Mailcow, una delle quali consentiva ad aggressori non autenticati di assumere il controllo degli account amministrativi. Tutti i problemi sono stati risolti a partire dalla versione 2026-03b.
Axios CVE-2026-40175: un bug critico che… non è sfruttabile
La vulnerabilità Axios CVE-2026-40175 è classificata come critica, ma negli ambienti Node.js reali non è praticamente sfruttabile. Ecco perché.
GlassWorm diventa nativo: un nuovo dropper Zig infetta ogni IDE sulla tua macchina
GlassWorm distribuisce un dropper nativo basato su Zig nascosto all'interno di un'estensione fasulla, compromettendo in modo silenzioso VS Code, Cursor, VSCodium e altri IDE.
Aikido Attack trova molteplici 0-day in Hoppscotch
Gli agenti di test di penetrazione basati sull'intelligenza artificiale di Aikido hanno individuato diverse vulnerabilità ad alto livello di gravità in Hoppscotch, tra cui il dirottamento dell'account, XSS memorizzato e falle nel controllo degli accessi. Tutti i problemi sono stati ora risolti.
axios compromesso su npm: account del maintainer dirottato, RAT distribuito
Le versioni 1.14.1 e 0.30.4 di Axios, contenenti codice dannoso, sono state pubblicate tramite un account del manutentore compromesso. Una dipendenza nascosta installa un RAT multipiattaforma. Verificate se siete stati colpiti e intervenite immediatamente.
Il popolare pacchetto telnyx compromesso su PyPI da TeamPCP
Il popolare pacchetto telnyx su PyPI, utilizzato dalle principali aziende del settore dell'intelligenza artificiale, è stato compromesso dal TeamPCP
CanisterWorm acquisisce capacità: il wiper Kubernetes di TeamPCP prende di mira l'Iran
CanisterWorm acquisisce capacità: il wiper Kubernetes di TeamPCP prende di mira l'Iran
TeamPCP distribuisce CanisterWorm su NPM a seguito della compromissione di Trivy
TeamPCP distribuisce CanisterWorm su NPM a seguito della compromissione di Trivy
GlassWorm nasconde un RAT all'interno di un'estensione Chrome malevola
GlassWorm distribuisce un RAT a più fasi che installa forzatamente un'estensione dannosa di Chrome per registrare i tasti digitati, rubare i cookie ed esfiltrare dati tramite un C2 basato su Solana.
L'estensione fast-draft Open VSX compromessa da BlokTrooper
L'estensione Open VSX "fast-draft" è stata compromessa per distribuire un RAT BlokTrooper e un infostealer tramite payload ospitati su GitHub. Sono state individuate diverse versioni dannose.
Glassworm colpisce popolari pacchetti React Native per numeri di telefono
I ricercatori di Aikido Security hanno recuperato e decriptato l'intera catena di payload da due pacchetti React Native dannosi. Ecco cosa fa il malware e a cosa prestare attenzione.
Glassworm è tornato: una nuova ondata di attacchi Unicode invisibili colpisce centinaia di repository
L'attacco alla catena di approvvigionamento Glassworm è tornato. I ricercatori hanno scoperto un malware nascosto in caratteri Unicode invisibili in oltre 150 repository GitHub, oltre che in pacchetti npm ed estensioni di VS Code.
Metti in sicurezza ora
Metti in sicurezza il tuo codice, il cloud e il runtime in un unico sistema centralizzato.
Trova e risolvi le vulnerabilità rapidamente e automaticamente.
