https://hackproject.pages.dev/it/Threat Intelligence Quotidianaithttps://hackproject.pages.dev/it/a/langflow-validate-rce.htmlhttps://hackproject.pages.dev/it/a/langflow-validate-rce.htmlWed, 22 Jul 2026 08:00:00 +0100Langflow è uno strumento visuale per costruire flussi e agenti basati su modelli linguistici. La funzione che dovrebbe «validare» il codice inserito dall'utente, validate_code(), lo passa invece a exec() senza sandbox: CVE-2026-0770 consente a un attaccante non autenticato di eseguire comandi arbitrari sul server. CVSS 9.8. Inserita nel catalogo CISA KEV il 21 luglio 2026, con proof-of-concept pubblici già disponibili. La patch va applicata subito e le istanze non vanno esposte in rete.https://hackproject.pages.dev/it/a/wordpress-wp2shell.htmlhttps://hackproject.pages.dev/it/a/wordpress-wp2shell.htmlWed, 22 Jul 2026 08:00:00 +0100WordPress muove una quota enorme del web pubblico, in Italia come altrove. Due falle nel suo nucleo — una SQL injection in WP_Query (CVE-2026-60137) e una confusione delle rotte batch nella REST API (CVE-2026-63030) — concatenate in un exploit battezzato «WP2Shell» permettono a un attaccante non autenticato di eseguire codice da remoto su un'installazione di default. Divulgate il 17 luglio, sfruttate in pochi giorni, inserite nel catalogo CISA KEV il 21 luglio. WordPress ha rilasciato le patch e le ha forzate via aggiornamento automatico.https://hackproject.pages.dev/it/a/joomla-upload-rce-wave.htmlhttps://hackproject.pages.dev/it/a/joomla-upload-rce-wave.htmlMon, 20 Jul 2026 08:00:00 +0100In poche settimane quattro estensioni Joomla molto diffuse — SP Page Builder, iCagenda, PageBuilder CK e Balbooa Forms — sono finite nel catalogo CISA delle vulnerabilità sfruttate, tutte con lo stesso difetto: un endpoint raggiungibile senza login che accetta il caricamento di un file senza controllarne il tipo. Il risultato è una web shell PHP eseguita sul server. In almeno un caso il payload osservato pianta un Super Administrator nascosto con email @secure.local e semina backdoor "PHP File manager" in più cartelle. Nessun attore nominato: quello che colpisce è la ripetizione dello stesso errore in prodotti diversi.https://hackproject.pages.dev/it/a/oracle-ebs-payments.htmlhttps://hackproject.pages.dev/it/a/oracle-ebs-payments.htmlMon, 20 Jul 2026 08:00:00 +0100Oracle Payments è il motore di pagamento dentro Oracle E-Business Suite: è il punto in cui le applicazioni finanziarie dell'azienda parlano con banche e circuiti. CVE-2026-46817 (CVSS 9.8) permette a un attaccante non autenticato, con solo accesso HTTP, di compromettere e prendere il controllo del modulo. Il colpo passa dall'endpoint ibytransmit del componente File Transmission, che invoca direttamente una funzione Java interna: patchata a fine maggio, la falla è stata sfruttata in-the-wild dal 27 giugno — prima di qualunque PoC pubblico — e aggiunta al catalogo CISA KEV il 15 luglio.https://hackproject.pages.dev/it/a/simplehelp-oidc-bypass.htmlhttps://hackproject.pages.dev/it/a/simplehelp-oidc-bypass.htmlMon, 20 Jul 2026 08:00:00 +0100SimpleHelp è software di supporto remoto: chi lo controlla, controlla i computer che gestisce. CVE-2026-48558 (CVSS 10.0) è un bypass di autenticazione nel flusso OIDC: quando il single sign-on è configurato, i token di identità venivano accettati senza verificarne la firma crittografica. Un attaccante remoto e non autenticato poteva quindi presentare un token forgiato con claim arbitrari e ottenere una sessione di tecnico completa — in alcune configurazioni aggirando anche l'MFA. La falla è stata sfruttata in-the-wild per distribuire il loader TaskWeaver e lo stealer Djinn, e aggiunta al catalogo CISA KEV il 29 giugno.https://hackproject.pages.dev/it/a/fortisandbox-oscmd.htmlhttps://hackproject.pages.dev/it/a/fortisandbox-oscmd.htmlSun, 19 Jul 2026 08:00:00 +0100FortiSandbox è la scatola dove i file sospetti vengono fatti esplodere in sicurezza. Due vulnerabilità di OS command injection senza autenticazione — una nella WEB UI, una in un endpoint API — permettono a chiunque di eseguire comandi sull'appliance stessa. Patchate in silenzio ad aprile e giugno con la dicitura «Known Exploited: No», sono state aggiunte entrambe al catalogo CISA KEV il 16 luglio: segnale che qualcuno ha iniziato a usarle, con la patch già vecchia di mesi.https://hackproject.pages.dev/it/a/sonicwall-sma1000-mfa.htmlhttps://hackproject.pages.dev/it/a/sonicwall-sma1000-mfa.htmlSat, 18 Jul 2026 08:00:00 +0100Due zero-day sulle appliance di accesso remoto SonicWall SMA1000, sfruttati in catena prima ancora della disclosure. Il primo è un SSRF senza autenticazione con punteggio massimo; il secondo porta a root. Ma il dettaglio che conta è cosa hanno portato via: non solo password, i semi TOTP dell'MFA e i database delle sessioni attive — le uniche cose che un reset non ruota.https://hackproject.pages.dev/it/a/apt28-router-dns.htmlhttps://hackproject.pages.dev/it/a/apt28-router-dns.htmlWed, 15 Jul 2026 08:00:00 +0100APT28 ha trasformato migliaia di router domestici in una rete di intercettazione contro ministeri degli esteri e forze dell'ordine, dirottando il DNS per rubare token OAuth già autenticati. Nessun malware sofisticato: solo l'infrastruttura più trascurata del pianeta, e un tribunale americano che ha autorizzato l'FBI a entrare in cinquemila dispositivi privati per ripulirli.https://hackproject.pages.dev/it/a/axios-npm.htmlhttps://hackproject.pages.dev/it/a/axios-npm.htmlWed, 15 Jul 2026 08:00:00 +0100Il 31 marzo 2026 due release malevole di axios aggiungono una dipendenza-trappola senza toccare una riga del codice sorgente. npm aveva introdotto il Trusted Publishing OIDC proprio per impedirlo: l'attore l'ha aggirato con un token classico già emesso.https://hackproject.pages.dev/it/a/medusa-ummc.htmlhttps://hackproject.pages.dev/it/a/medusa-ummc.htmlWed, 15 Jul 2026 08:00:00 +0100Il 19 febbraio 2026 il più grande sistema sanitario del Mississippi va offline: 35 sedi cliniche chiuse, unico trauma center di Livello I dello stato paralizzato. Ma la storia più istruttiva non è come sono entrati — che nessuno ha reso pubblico — bensì come l'oncologia ha ricostruito una clinica funzionante senza IT.https://hackproject.pages.dev/it/a/qilin-checkpoint.htmlhttps://hackproject.pages.dev/it/a/qilin-checkpoint.htmlWed, 15 Jul 2026 08:00:00 +0100Un difetto logico nella validazione dei certificati durante lo scambio chiavi IKEv1 permetteva di aprire una sessione VPN Check Point senza conoscere alcuna password. Qilin lo sfruttava da un mese quando il vendor se ne è accorto. Ma la vera notizia non è il bug: è che colpisce solo chi non ha mai spento un protocollo deprecato.https://hackproject.pages.dev/it/a/splunk-cve-2026-20253.htmlhttps://hackproject.pages.dev/it/a/splunk-cve-2026-20253.htmlWed, 15 Jul 2026 08:00:00 +0100CVSS 9.8, pre-autenticazione, RCE. La vulnerabilità non è in Splunk, ma in un componente PostgreSQL interno che accetta qualunque credenziale gli venga passata. Un buco pre-auth nello strumento che le aziende comprano per accorgersi delle intrusioni.https://hackproject.pages.dev/it/a/storm2603-warlock.htmlhttps://hackproject.pages.dev/it/a/storm2603-warlock.htmlWed, 15 Jul 2026 08:00:00 +0100Storm-2603 sfrutta un bypass di autenticazione in SmarterMail per installare Velociraptor come C2 e mettere in scena il ransomware Warlock. Ma il dettaglio che conta è emerso dopo: in una rete compromessa Microsoft ha trovato due gruppi non collegati che lavoravano in parallelo, ciascuno coprendo le tracce dell'altro.https://hackproject.pages.dev/it/a/volt-typhoon-ot.htmlhttps://hackproject.pages.dev/it/a/volt-typhoon-ot.htmlWed, 15 Jul 2026 08:00:00 +0100Per cinque anni Volt Typhoon si è nascosto dentro le infrastrutture critiche americane senza toccare nulla. Nel 2026 Dragos lo vede manipolare le workstation di ingegneria per capire quali condizioni fermano un impianto industriale. E non si procura più gli accessi da solo: glieli passa un broker interno al suo stesso apparato.