Sicurezza
Violazioni, analisi di CVE, segnalazioni di zero-day e difesa pratica. Raccontiamo come avvengono gli attacchi, cosa è andato storto e i passi concreti che proteggono account, dispositivi e infrastrutture.
GitLab Bucato: CVE-2026-85706, CVSS 10.0 in 24 Ore [2026]
Una singola richiesta HTTP, nessuna password, nessun token. Bastava questo per leggere qualsiasi file su un server GitLab self-hosted vulnerabile, comprese le chiavi SSH e le credenziali del…
SAP NetWeaver: S4GET, CVE-2026-58240, CVSS 9,8 [2026]
SAP ha reso pubblica l’8 settembre 2026, nel suo Patch Day mensile, una falla critica nel Message Server di NetWeaver che permette a un attaccante privo di credenziali…
JWT in Node.js: Blocca l’Alg Confusion in 12 Passi [2026]
Un token JWT rubato non scade da solo e una firma verificata con l’algoritmo sbagliato apre la porta a chiunque sappia leggere la documentazione pubblica della tua API.…
Bcrypt e Argon2id in Node.js: 12 Passi per Sicurezza [2026]
Il 7 maggio 2026 il Register ha pubblicato un dato che dovrebbe far riflettere chiunque gestisca un sistema di login: il 60% degli hash MD5 rubati in un…
Revolut Bucata: Dati KYC di 680 Clienti Rubati [2026]
Il 12 settembre 2026 Revolut ha confermato quello che i ricercatori di sicurezza definiscono uno degli attacchi di ingegneria sociale più sofisticati mai riusciti contro un istituto finanziario…
WAF Cloudflare vs AWS vs ModSecurity: FP al 17,6% [2026]
Chi gestisce un’applicazione web esposta su internet deve rispondere a una domanda pratica: quale web application firewall mettere davanti al traffico in ingresso. Le opzioni si sono ristrette…
ConnectWise ScreenConnect: CVE-2026-84869, CVSS 9,9 [2026]
Il 2026 non sta risparmiando gli strumenti di accesso remoto usati ogni giorno dai fornitori IT europei. L’11 settembre CISA ha aggiunto al catalogo Known Exploited Vulnerabilities una…
N-central: Terzo Zero-Day in 6 Settimane, CVSS 10.0 [2026]
Il 6 settembre 2026, alle prime ore del mattino (UTC), N-able ha rilasciato la quarta hotfix di emergenza in cinque settimane per N-central, la sua piattaforma di remote…
Settra Colpisce DiaSorin: Italia al 2° Posto Ransomware [2026]
Il 3 settembre 2026 un gruppo ransomware finora sconosciuto, che si fa chiamare Settra, ha inserito il dominio di DiaSorin, azienda biotech di Saluggia con base in Piemonte,…
mTLS in Node.js: Certificati Client in 12 Passi [2026]
Due CVE pubblicate nel 2026 raccontano la stessa storia da due angolazioni diverse. Ad aprile, CVE-2026-34500 (CVSS 6,5) ha mostrato che Apache Tomcat poteva accettare un certificato client…
