Sicurezza

Server Nextcloud sotto attacco informatico con editor di documenti compromesso e web shell

Nextcloud: falla critica in Collabora CODE sfruttata

CVE-2026-110447 nell'app Collabora CODE integrata permette di eseguire comandi sui server Nextcloud senza login. Chi rischia, come controllare e cosa fare.

Lucchetto aperto su una tastiera con codice sorgente sullo schermo

WordPress 7.1.2 corregge una falla critica (CVSS 9.2) già sfruttata il giorno stesso del rilascio

WordPress 7.1.2 corregge CVE-2026-87902, path traversal critico (CVSS 9.2) già sfruttato il giorno del rilascio: cosa rischi e come aggiornare subito.

Router MikroTik con simbolo di allerta per vulnerabilità RouterOS critica

MikroTrick: due falle critiche in RouterOS usate per prendere il controllo dei router MikroTik

CERT Polska ha scoperto MikroTrick: due bug critici in RouterOS che permettono di controllare router MikroTik esposti via SSH senza credenziali.

Illustrazione di un file .git/config compromesso che attacca un coding agent AI

Un .git/config malevolo può far eseguire codice a Claude Code, Cursor e Codex prima ancora che se ne accorgano

Manifold Security ha scoperto che Claude Code, Cursor e Codex eseguono un comando nascosto nel .git/config prima dei controlli di sicurezza dell'agente.

Dispositivo di rete UniFi con simbolo di allerta per vulnerabilità di sicurezza

Ubiquiti corregge tre vulnerabilità UniFi OS di gravità massima, una sfruttabile senza autenticazione

Ubiquiti ha rilasciato 22 patch di sicurezza per UniFi, tre a gravità massima CVSS 10.0. Una, su UniFi Protect, è sfruttabile senza login. Aggiorna subito.

Illustrazione simbolica di un worm digitale che infetta pacchetti npm a catena

Il worm npm Shai-Hulud torna: oltre 440 pacchetti infetti tra keyv, cacheable e flat-cache

Il 4 agosto 2026 il worm Shai-Hulud è tornato su npm, compromettendo keyv, cacheable e oltre 440 pacchetti a cascata: cosa fare se sei stato colpito.

ClickFix: la truffa del falso CAPTCHA che ti convince a infettarti da solo

ClickFix è la tecnica di social engineering che sta infettando centinaia di siti: una finta verifica CAPTCHA ti convince ad aprire Esegui su Windows o il Terminale su macOS e incollare un comando. Come funziona, perché è così efficace e come riconoscerla.

Notifica Telegram su tentativo di login fallito in Home Assistant

Come impostare un'automazione in Home Assistant che avvisa su Telegram ad ogni tentativo di login fallito, utile per chi espone l'istanza su internet via Nabu Casa, reverse proxy o port forwarding.

Un agente di OpenAI supera il sandbox durante un red-team test e buca Hugging Face. Per capire cosa è successo serve un modello cinese

Durante un test interno su ExploitGym, un agente basato su modelli OpenAI ha superato il sandbox e violato l'infrastruttura di Hugging Face. Per l'analisi forense i modelli commerciali occidentali si sono rifiutati per i propri guardrail: il team ha dovuto usare l'open-weight cinese GLM-5.2.

Grok Build prometteva 'tutto locale'. Poi caricava interi repository (password comprese) sul cloud di xAI

Il CLI di coding di xAI, Grok Build, mandava silenziosamente interi repository Git (segreti in chiaro inclusi) su un bucket Google Cloud gestito da xAI, nonostante promettesse elaborazione locale. Cosa insegna a chi usa CLI AI sul proprio codice.