https://hackproject.pages.dev/it/Threat Intelligence Quotidianaithttps://hackproject.pages.dev/it/a/langflow-validate-rce.htmlhttps://hackproject.pages.dev/it/a/langflow-validate-rce.htmlWed, 22 Jul 2026 08:00:00 +0100Langflow è uno strumento visuale per costruire flussi e agenti basati su modelli linguistici. La funzione che dovrebbe «validare» il codice inserito dall'utente, validate_code(), lo passa invece a exec() senza sandbox: CVE-2026-0770 consente a un attaccante non autenticato di eseguire comandi arbitrari sul server. CVSS 9.8. Inserita nel catalogo CISA KEV il 21 luglio 2026, con proof-of-concept pubblici già disponibili. La patch va applicata subito e le istanze non vanno esposte in rete.https://hackproject.pages.dev/it/a/wordpress-wp2shell.htmlhttps://hackproject.pages.dev/it/a/wordpress-wp2shell.htmlWed, 22 Jul 2026 08:00:00 +0100WordPress muove una quota enorme del web pubblico, in Italia come altrove. Due falle nel suo nucleo — una SQL injection in WP_Query (CVE-2026-60137) e una confusione delle rotte batch nella REST API (CVE-2026-63030) — concatenate in un exploit battezzato «WP2Shell» permettono a un attaccante non autenticato di eseguire codice da remoto su un'installazione di default. Divulgate il 17 luglio, sfruttate in pochi giorni, inserite nel catalogo CISA KEV il 21 luglio. WordPress ha rilasciato le patch e le ha forzate via aggiornamento automatico.https://hackproject.pages.dev/it/a/qilin-danone.htmlhttps://hackproject.pages.dev/it/a/qilin-danone.htmlWed, 22 Jul 2026 08:00:00 +0100Il gruppo ransomware Qilin ha inserito Danone nel proprio sito di rivendicazioni, sostenendo di aver sottratto circa 221 GB di dati e pubblicando oltre 90.000 file. La rivendicazione, datata 17 luglio 2026, non è al momento confermata dall'azienda: come sempre con i leak site, l'affermazione va trattata come tale finché non è verificata. Il caso è però un'occasione per guardare al modello a doppia estorsione di Qilin, uno dei gruppi più attivi del 2026, con quello che le fonti dicono davvero e con le incertezze in chiaro.https://hackproject.pages.dev/it/a/deepfake-voce-truffe.htmlhttps://hackproject.pages.dev/it/a/deepfake-voce-truffe.htmlWed, 22 Jul 2026 08:00:00 +0100L'ingegneria sociale resta la porta d'ingresso più usata, e l'AI l'ha resa più economica e credibile: la clonazione vocale permette di imitare la voce di un dirigente con pochi secondi di audio, i testi di phishing generati sono privi degli errori che un tempo li tradivano. ENISA colloca il phishing e l'ingegneria sociale in cima alle minacce. Un approfondimento su cosa cambia davvero, e su perché la difesa è culturale e procedurale prima che tecnica.https://hackproject.pages.dev/it/a/dora-resilienza-operativa.htmlhttps://hackproject.pages.dev/it/a/dora-resilienza-operativa.htmlWed, 22 Jul 2026 08:00:00 +0100Non un attacco, ma la cornice di resilienza dentro cui il settore finanziario europeo deve reggere agli incidenti informatici. Il Regolamento (UE) 2022/2554 — DORA, Digital Operational Resilience Act — è pienamente applicabile dal 17 gennaio 2025. Armonizza la gestione del rischio ICT per banche, assicurazioni, fornitori di crypto-asset e molti altri, impone la notifica degli incidenti, i test di resilienza e la gestione del rischio di terze parti — e con l'oversight sui fornitori critici tocca anche chi il finanziario lo serve.https://hackproject.pages.dev/it/a/garante-windtre-sanzione.htmlhttps://hackproject.pages.dev/it/a/garante-windtre-sanzione.htmlWed, 22 Jul 2026 08:00:00 +0100Il Garante per la protezione dei dati personali ha sanzionato Wind Tre per 1.715.600 euro per gravi carenze nella sicurezza dei sistemi. Secondo l'Autorità, due accessi non autorizzati hanno portato all'esfiltrazione dei dati personali di oltre 365.000 clienti; per 41.359 di loro sono stati toccati anche dati sui metodi di pagamento. Il punto interessante: l'ingresso non è stato un exploit, ma un attaccante che si è finto assistenza tecnica e ha convinto gli operatori di due punti vendita a dargli accesso.https://hackproject.pages.dev/it/a/mfa-resistente-phishing.htmlhttps://hackproject.pages.dev/it/a/mfa-resistente-phishing.htmlWed, 22 Jul 2026 08:00:00 +0100L'autenticazione a più fattori è la difesa più citata contro il furto di credenziali, ma «MFA» non è una categoria omogenea. SMS e notifiche push restano vulnerabili al phishing e all'MFA fatigue; solo due implementazioni sono considerate resistenti al phishing dalle fonti ufficiali: FIDO2/WebAuthn (incluse le passkey) e la PKI basata su smart card. Un approfondimento su cosa dicono NIST SP 800-63B e la guida CISA, e su come sceglierne l'adozione.https://hackproject.pages.dev/it/a/joomla-upload-rce-wave.htmlhttps://hackproject.pages.dev/it/a/joomla-upload-rce-wave.htmlMon, 20 Jul 2026 08:00:00 +0100In poche settimane quattro estensioni Joomla molto diffuse — SP Page Builder, iCagenda, PageBuilder CK e Balbooa Forms — sono finite nel catalogo CISA delle vulnerabilità sfruttate, tutte con lo stesso difetto: un endpoint raggiungibile senza login che accetta il caricamento di un file senza controllarne il tipo. Il risultato è una web shell PHP eseguita sul server. In almeno un caso il payload osservato pianta un Super Administrator nascosto con email @secure.local e semina backdoor "PHP File manager" in più cartelle. Nessun attore nominato: quello che colpisce è la ripetizione dello stesso errore in prodotti diversi.https://hackproject.pages.dev/it/a/oracle-ebs-payments.htmlhttps://hackproject.pages.dev/it/a/oracle-ebs-payments.htmlMon, 20 Jul 2026 08:00:00 +0100Oracle Payments è il motore di pagamento dentro Oracle E-Business Suite: è il punto in cui le applicazioni finanziarie dell'azienda parlano con banche e circuiti. CVE-2026-46817 (CVSS 9.8) permette a un attaccante non autenticato, con solo accesso HTTP, di compromettere e prendere il controllo del modulo. Il colpo passa dall'endpoint ibytransmit del componente File Transmission, che invoca direttamente una funzione Java interna: patchata a fine maggio, la falla è stata sfruttata in-the-wild dal 27 giugno — prima di qualunque PoC pubblico — e aggiunta al catalogo CISA KEV il 15 luglio.https://hackproject.pages.dev/it/a/simplehelp-oidc-bypass.htmlhttps://hackproject.pages.dev/it/a/simplehelp-oidc-bypass.htmlMon, 20 Jul 2026 08:00:00 +0100SimpleHelp è software di supporto remoto: chi lo controlla, controlla i computer che gestisce. CVE-2026-48558 (CVSS 10.0) è un bypass di autenticazione nel flusso OIDC: quando il single sign-on è configurato, i token di identità venivano accettati senza verificarne la firma crittografica. Un attaccante remoto e non autenticato poteva quindi presentare un token forgiato con claim arbitrari e ottenere una sessione di tecnico completa — in alcune configurazioni aggirando anche l'MFA. La falla è stata sfruttata in-the-wild per distribuire il loader TaskWeaver e lo stealer Djinn, e aggiunta al catalogo CISA KEV il 29 giugno.https://hackproject.pages.dev/it/a/ransomware-raas-difesa.htmlhttps://hackproject.pages.dev/it/a/ransomware-raas-difesa.htmlMon, 20 Jul 2026 08:00:00 +0100Il ransomware oggi è un'industria di servizi, non un lupo solitario: operatori che affittano il malware, affiliati che colpiscono, broker che vendono l'accesso iniziale. Questo approfondimento non racconta un attacco del giorno: mette in fila cosa dicono le fonti ufficiali — CISA con #StopRansomware, Europol con il progetto No More Ransom, ENISA con il suo Threat Landscape — su come si spezza quella catena. La sintesi è meno spettacolare di un riscatto e più utile: si colpisce l'economia del modello, non il singolo gruppo.https://hackproject.pages.dev/it/a/cra-prodotti-digitali.htmlhttps://hackproject.pages.dev/it/a/cra-prodotti-digitali.htmlMon, 20 Jul 2026 08:00:00 +0100Non un attacco, ma una scadenza che si avvicina. Il Cyber Resilience Act — Regolamento (UE) 2024/2847 — è in vigore dal 10 dicembre 2024, ma i suoi obblighi entrano a scaglioni. Il primo blocco concreto arriva l'11 settembre 2026: da quel giorno i fabbricanti di prodotti con elementi digitali devono segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi, con un pre-allarme entro 24 ore e una notifica entro 72. Il grosso degli obblighi — requisiti essenziali di sicurezza, valutazione di conformità, marcatura CE — scatta invece l'11 dicembre 2027. Chi produce o vende software e hardware nell'UE ha una finestra che si sta chiudendo.https://hackproject.pages.dev/it/a/data-breach-72-ore.htmlhttps://hackproject.pages.dev/it/a/data-breach-72-ore.htmlMon, 20 Jul 2026 08:00:00 +0100"Hai 72 ore per notificare" è la frase che tutti ripetono e pochi spiegano. Questo approfondimento mette in fila cosa dice davvero il GDPR: quando scatta il conteggio, la differenza tra notificare al Garante (art. 33) e comunicare agli interessati (art. 34), perché non ogni violazione va notificata, e l'obbligo che vale comunque — documentare. Non un attacco del giorno, ma la cornice legale che ogni incidente sui dati personali finisce per incontrare.https://hackproject.pages.dev/it/a/fattore-umano-social-engineering.htmlhttps://hackproject.pages.dev/it/a/fattore-umano-social-engineering.htmlMon, 20 Jul 2026 08:00:00 +0100L'ingegneria sociale è tra le minacce prime nell'Unione secondo l'ENISA, eppure la reazione più comune resta la peggiore: dare la colpa a chi ha cliccato. Questo approfondimento spiega perché il "fattore umano" non è l'anello debole da sgridare, ma un sistema da progettare — con procedure verificabili, segnalazione senza punizione e strumenti che rendono l'inganno inefficace. Non un attacco del giorno, ma la cultura che decide se le difese tecniche reggono.https://hackproject.pages.dev/it/a/nis2-italia-recepimento.htmlhttps://hackproject.pages.dev/it/a/nis2-italia-recepimento.htmlMon, 20 Jul 2026 08:00:00 +0100Non un attacco, ma il perimetro dentro cui gli attacchi si gestiscono. La direttiva NIS2 è stata recepita in Italia con il D.Lgs 138/2024, in vigore dal 16 ottobre 2024. Definisce chi sono i soggetti "essenziali" e "importanti", cosa devono fare in termini di gestione del rischio e notifica degli incidenti, e come la responsabilità risalga fino ai vertici aziendali. Il punto meno ovvio è la cascata sulla catena di fornitura: molte aziende non regolate direttamente si ritrovano gli obblighi addosso perché forniscono un soggetto che lo è.https://hackproject.pages.dev/it/a/fortisandbox-oscmd.htmlhttps://hackproject.pages.dev/it/a/fortisandbox-oscmd.htmlSun, 19 Jul 2026 08:00:00 +0100FortiSandbox è la scatola dove i file sospetti vengono fatti esplodere in sicurezza. Due vulnerabilità di OS command injection senza autenticazione — una nella WEB UI, una in un endpoint API — permettono a chiunque di eseguire comandi sull'appliance stessa. Patchate in silenzio ad aprile e giugno con la dicitura «Known Exploited: No», sono state aggiunte entrambe al catalogo CISA KEV il 16 luglio: segnale che qualcuno ha iniziato a usarle, con la patch già vecchia di mesi.https://hackproject.pages.dev/it/a/sonicwall-sma1000-mfa.htmlhttps://hackproject.pages.dev/it/a/sonicwall-sma1000-mfa.htmlSat, 18 Jul 2026 08:00:00 +0100Due zero-day sulle appliance di accesso remoto SonicWall SMA1000, sfruttati in catena prima ancora della disclosure. Il primo è un SSRF senza autenticazione con punteggio massimo; il secondo porta a root. Ma il dettaglio che conta è cosa hanno portato via: non solo password, i semi TOTP dell'MFA e i database delle sessioni attive — le uniche cose che un reset non ruota.https://hackproject.pages.dev/it/a/knxlock-bcu-key.htmlhttps://hackproject.pages.dev/it/a/knxlock-bcu-key.htmlFri, 17 Jul 2026 08:00:00 +0100Il 15 luglio 2026 CISA ha inserito nel catalogo KEV una CVE del 2023 che descrive un attacco del 2021. Non c'è codice malevolo: gli attaccanti svuotano i dispositivi KNX di un edificio e poi impostano la BCU key, la password che il protocollo prevede come funzione di protezione. I vendor hanno risposto che non esiste alcun reset. Nessun riscatto è mai arrivato.https://hackproject.pages.dev/it/a/fortibleed-inc-lynx.htmlhttps://hackproject.pages.dev/it/a/fortibleed-inc-lynx.htmlThu, 16 Jul 2026 08:00:00 +0100Circa metà dei firewall Fortinet esposti su internet ha le credenziali amministrative in mano a un access broker. Non c'è una CVE da patchare: ci sono file di configurazione esportati, hash SHA-256 crackati offline e login perfettamente legittimi. A luglio SOCRadar ha collegato l'operazione ai ransomware INC e Lynx.https://hackproject.pages.dev/it/a/apt28-router-dns.htmlhttps://hackproject.pages.dev/it/a/apt28-router-dns.htmlWed, 15 Jul 2026 08:00:00 +0100APT28 ha trasformato migliaia di router domestici in una rete di intercettazione contro ministeri degli esteri e forze dell'ordine, dirottando il DNS per rubare token OAuth già autenticati. Nessun malware sofisticato: solo l'infrastruttura più trascurata del pianeta, e un tribunale americano che ha autorizzato l'FBI a entrare in cinquemila dispositivi privati per ripulirli.https://hackproject.pages.dev/it/a/axios-npm.htmlhttps://hackproject.pages.dev/it/a/axios-npm.htmlWed, 15 Jul 2026 08:00:00 +0100Il 31 marzo 2026 due release malevole di axios aggiungono una dipendenza-trappola senza toccare una riga del codice sorgente. npm aveva introdotto il Trusted Publishing OIDC proprio per impedirlo: l'attore l'ha aggirato con un token classico già emesso.https://hackproject.pages.dev/it/a/medusa-ummc.htmlhttps://hackproject.pages.dev/it/a/medusa-ummc.htmlWed, 15 Jul 2026 08:00:00 +0100Il 19 febbraio 2026 il più grande sistema sanitario del Mississippi va offline: 35 sedi cliniche chiuse, unico trauma center di Livello I dello stato paralizzato. Ma la storia più istruttiva non è come sono entrati — che nessuno ha reso pubblico — bensì come l'oncologia ha ricostruito una clinica funzionante senza IT.https://hackproject.pages.dev/it/a/qilin-checkpoint.htmlhttps://hackproject.pages.dev/it/a/qilin-checkpoint.htmlWed, 15 Jul 2026 08:00:00 +0100Un difetto logico nella validazione dei certificati durante lo scambio chiavi IKEv1 permetteva di aprire una sessione VPN Check Point senza conoscere alcuna password. Qilin lo sfruttava da un mese quando il vendor se ne è accorto. Ma la vera notizia non è il bug: è che colpisce solo chi non ha mai spento un protocollo deprecato.https://hackproject.pages.dev/it/a/splunk-cve-2026-20253.htmlhttps://hackproject.pages.dev/it/a/splunk-cve-2026-20253.htmlWed, 15 Jul 2026 08:00:00 +0100CVSS 9.8, pre-autenticazione, RCE. La vulnerabilità non è in Splunk, ma in un componente PostgreSQL interno che accetta qualunque credenziale gli venga passata. Un buco pre-auth nello strumento che le aziende comprano per accorgersi delle intrusioni.https://hackproject.pages.dev/it/a/storm2603-warlock.htmlhttps://hackproject.pages.dev/it/a/storm2603-warlock.htmlWed, 15 Jul 2026 08:00:00 +0100Storm-2603 sfrutta un bypass di autenticazione in SmarterMail per installare Velociraptor come C2 e mettere in scena il ransomware Warlock. Ma il dettaglio che conta è emerso dopo: in una rete compromessa Microsoft ha trovato due gruppi non collegati che lavoravano in parallelo, ciascuno coprendo le tracce dell'altro.https://hackproject.pages.dev/it/a/volt-typhoon-ot.htmlhttps://hackproject.pages.dev/it/a/volt-typhoon-ot.htmlWed, 15 Jul 2026 08:00:00 +0100Per cinque anni Volt Typhoon si è nascosto dentro le infrastrutture critiche americane senza toccare nulla. Nel 2026 Dragos lo vede manipolare le workstation di ingegneria per capire quali condizioni fermano un impianto industriale. E non si procura più gli accessi da solo: glieli passa un broker interno al suo stesso apparato.https://hackproject.pages.dev/it/a/interlock-clickfix.htmlhttps://hackproject.pages.dev/it/a/interlock-clickfix.htmlWed, 15 Jul 2026 08:00:00 +0100Interlock ha ribaltato il copione del ransomware: niente phishing, niente VPN bucata. La vittima visita un sito legittimo compromesso, vede un finto CAPTCHA, e incolla da sola il comando che la infetta. Anatomia di una catena d'attacco in cui l'utente è l'exploit.https://hackproject.pages.dev/it/a/kimsuky-quishing.htmlhttps://hackproject.pages.dev/it/a/kimsuky-quishing.htmlWed, 15 Jul 2026 08:00:00 +0100Kimsuky ha smesso di combattere i filtri email aziendali. Ha semplicemente cambiato canale: un QR code costringe la vittima a passare al telefono personale, fuori dal perimetro IT. E ruba il token di sessione, non la password — così l'MFA cade senza generare un solo alert.https://hackproject.pages.dev/it/a/miasma-redhat-npm.htmlhttps://hackproject.pages.dev/it/a/miasma-redhat-npm.htmlWed, 15 Jul 2026 08:00:00 +0100Il 1° giugno 2026 oltre 90 versioni malevole dei pacchetti @redhat-cloud-services finiscono su npm con attestazioni di provenienza SLSA perfettamente valide. Perché SLSA certifica dove un pacchetto è stato costruito, non se l'input era legittimo.https://hackproject.pages.dev/it/a/sharepoint-cve-2026-45659.htmlhttps://hackproject.pages.dev/it/a/sharepoint-cve-2026-45659.htmlWed, 15 Jul 2026 08:00:00 +0100Microsoft l'aveva classificata «Exploitation Less Likely». Cinque settimane dopo CISA la inseriva nel KEV con tre giorni di tempo per rimediare. Una lezione su quanto valgano le previsioni di sfruttabilità dei vendor.