.avif)
Notizie sulla sicurezza della Software Supply Chain
Rimani aggiornato sugli ultimi incidenti di sicurezza della supply chain del software, inclusi pacchetti dannosi, attacchi alle dipendenze e violazioni reali. Analizziamo cosa è successo, perché è importante e cosa gli sviluppatori dovrebbero correggere per prevenire i rischi.
La campagna "wfx-loot" diffonde un programma per il furto di credenziali CI in decine di migliaia di repository
Un'ondata di account compromessi sta diffondendo un programma per il furto di credenziali di autenticazione (CI). Verifica se sei stato colpito, quali dati vengono rubati e quali credenziali è necessario aggiornare.
Una vulnerabilità critica del kernel Linux relativa al protocollo TCP può consentire l'esecuzione di codice da remoto (CVE-2026-98432)
CVE-2026-98432 è una vulnerabilità critica del kernel Linux relativa al protocollo TCP, con un punteggio di 9,8, che può consentire l'esecuzione di codice da remoto. Scopri chi è interessato, come applicare la patch e cosa fare ora.
Node2Shell si evolve in HTTP2Shell. La vulnerabilità di Brotli (CVE-2026-111497) ha un raggio d'azione che interessa numerose librerie e applicazioni che utilizzano HTTP.
La vulnerabilità di Brotli alla base di Node2Shell (CVE-2026-111497) interessa numerose librerie e applicazioni che utilizzano HTTP e su cui è installato Brotli o brotlicffi. Verificate le vostre versioni ed effettuate l'aggiornamento alla versione corretta.
Malware Unicode invisibile colpisce di nuovo OpenVSX
Un'altra ondata di estensioni Open VSX è stata compromessa oggi.
Il ritorno della minaccia invisibile: codici Unicode PUA nascosti colpiscono i repository di GitHub
Gli attori delle minacce utilizzano caratteri Unicode non stampabili per
Bug in Shai-Hulud: Debugging del deserto
Il worm Shai Hulud presentava alcuni bug ed è stato necessario l'intervento di patch da parte degli attaccanti. Esaminiamo anche la cronologia degli eventi per capire come si sono svolti i fatti.
Gli attaccanti di S1ngularity/nx colpiscono di nuovo
Gli autori dell'attacco nx hanno colpito di nuovo, prendendo di mira un numero elevato di pacchetti con un payload worm senza precedenti.
L'abbiamo scampata bella: il disastro della supply chain che è stato a un passo dal verificarsi
Diciotto pacchetti open source molto diffusi sono stati compromessi, scaricati miliardi di volte e integrati in quasi tutti gli ambienti cloud. La community l'ha scampata bella, ma questo pericolo scampato dimostra quanto sia fragile la nostra supply chain del software.
Pacchetti npm duckdb compromessi
Il popolare pacchetto duckdb è stato compromesso dagli stessi aggressori che hanno colpito debug e chalk
Pacchetti npm debug e chalk compromessi
I popolari pacchetti debug e chalk su npm sono stati compromessi con codice malevolo
Senza un grafo delle dipendenze tra codice, container e cloud, sei cieco di fronte alle vere vulnerabilità
Basta perdersi tra le CVE. Senza un grafo delle dipendenze tra codice, container e cloud, ti sfuggiranno le vere vulnerabilità e inseguirai falsi positivi
Popolari pacchetti nx compromessi su npm
Il popolare pacchetto nx su npm è stato compromesso e i dati rubati sono stati pubblicati pubblicamente su GitHub
Cos'è la sicurezza nel Vibe Coding? Rischi, esempi e come mantenere la sicurezza
Il vibe coding è il nuovo trend di sviluppo basato sull'IA che permette a chiunque di creare un'app in poche ore. Tuttavia, dalla cancellazione del database di Replit alle app di chat esposte, i rischi sono reali. Scopri cosa comporta la sicurezza nel vibe coding, la differenza rispetto al coding basato su agenti e come i CISO possono mantenere la creatività senza introdurre vulnerabilità.
Un'analisi approfondita del threat actor dietro l'attacco a react-native-aria
Analizziamo l'attività del threat actor che ha compromesso i pacchetti react-native-aria su npm e il modo in cui sta evolvendo i suoi attacchi.
Un pacchetto dannoso per il furto di criptovalute prende di mira gli sviluppatori Web3 in un'operazione nordcoreana
Aikido Security svela un attacco alla supply chain collegato alla Corea del Nord che sfrutta il pacchetto npm fake web3-wrapper-ethers per rubare chiavi private agli sviluppatori Web3. Riconducibile a Void Dokkaebi, il threat actor ricalca le precedenti operazioni di furto di criptovalute della RPDC. Scopri come ha funzionato l'attacco e cosa fare se sei stato colpito.
Metti in sicurezza ora
Metti in sicurezza il tuo codice, il cloud e il runtime in un unico sistema centralizzato.
Trova e risolvi le vulnerabilità rapidamente e automaticamente.
