.avif)
Notizie sulla sicurezza della Software Supply Chain
Rimani aggiornato sugli ultimi incidenti di sicurezza della supply chain del software, inclusi pacchetti dannosi, attacchi alle dipendenze e violazioni reali. Analizziamo cosa è successo, perché è importante e cosa gli sviluppatori dovrebbero correggere per prevenire i rischi.
La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository
Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.
Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)
CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.
Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.
La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.
Come i team di sicurezza contrastano gli hacker potenziati dall'IA
L'intelligenza artificiale ha abbassato drasticamente la soglia di accesso per gli hacker. Ecco cosa comporta questo per chi si occupa della sicurezza e in che modo i test di penetrazione continui basati sull'intelligenza artificiale cambiano le carte in tavola.
XSS/RCE persistente utilizzando WebSockets nel server di sviluppo di Storybook
CVE-2026-27148 evidenzia una vulnerabilità di dirottamento WebSocket in Storybook che può portare a una compromissione della catena di fornitura. Scopri la strategia di attacco, l'impatto e come risolvere il problema.
SSRF Full-Read di Astro tramite iniezione di Host Header
L'agente di pentesting basato sull'intelligenza artificiale di Aikido Security ha individuato una vulnerabilità di tipo Server-Side Request Forgery nell'implementazione SSR di Astro. Scopri come l'iniezione dell'header Host nelle pagine di errore prerenderizzate abbia consentito l'accesso completo alla rete interna.
SvelteSpill: Un bug di Cache Deception in SvelteKit + Vercel
SvelteSpill è una vulnerabilità di tipo "cache deception" che interessa le app SvelteKit predefinite distribuite su Vercel. Le risposte autenticate possono essere memorizzate nella cache ed esposte a tutti gli utenti. Scopri come verificare se sei vulnerabile e come mitigare il rischio.
Una backdoor npm permette agli hacker di manipolare gli esiti delle scommesse
Un attacco mirato alla catena di approvvigionamento di npm installa una backdoor in Express, consente l'accesso remoto a database SQL e file e modifica i saldi relativi al gioco d'azzardo mantenendo la coerenza dei log.
Confusione npx: pacchetti che hanno dimenticato di rivendicare il proprio nome
Abbiamo rivendicato 128 nomi di pacchetti npm non reclamati che la documentazione ufficiale consigliava agli sviluppatori di utilizzare con npx. Sette mesi dopo: 121.000 download. Tutti avrebbero eseguito codice arbitrario.
L'estensione VS Code Clawdbot falsa installa ScreenConnect RAT
Un'estensione dannosa di VS Code che si spaccia per Clawdbot sta installando il RAT ScreenConnect sui computer degli sviluppatori.
G_Wagon: pacchetto npm distribuisce uno stealer Python che mira a oltre 100 wallet di criptovalute
Il pacchetto npm "ansi-universal-ui" diffonde il malware GWagon, progettato per rubare dati da oltre 100 portafogli di criptovalute, credenziali dei browser e chiavi di accesso ai servizi cloud. Abbiamo analizzato tutte e 10 le versioni man mano che l'autore dell'attacco le aggiornava in tempo reale.
Phishing in corso: pacchetti npm che servono pagine personalizzate per la raccolta di credenziali
Una campagna mirata di spear-phishing ha utilizzato pacchetti npm e jsDelivr come infrastruttura gratuita per il phishing, distribuendo strumenti personalizzati per la raccolta delle credenziali a ciascuna vittima
Pacchetti PyPI malevoli spellcheckpy e spellcheckerpy distribuiscono un RAT Python
Gli autori dell'attacco hanno pubblicato su PyPI pacchetti di correttori ortografici contraffatti che nascondevano malware in bella vista. Analizziamo l'attacco e spieghiamo a cosa devono prestare attenzione gli sviluppatori.
Le skill degli agenti stanno diffondendo comandi npx allucinati
Le competenze degli agenti di intelligenza artificiale stanno diffondendo comandi npx fasulli, creando reali rischi per la sicurezza e l'affidabilità degli sviluppatori e delle catene di fornitura.
Una vulnerabilità critica di n8n consente l'esecuzione remota di codice senza autenticazione (CVE-2026-21858)
Una vulnerabilità critica in n8n (CVE-2026-21858) consente l'esecuzione di codice remoto senza autenticazione sulle istanze self-hosted. Scopri chi è interessato e come risolvere il problema.
Metti in sicurezza ora
Metti in sicurezza il tuo codice, il cloud e il runtime in un unico sistema centralizzato.
Trova e risolvi le vulnerabilità rapidamente e automaticamente.
