La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiornato il suo catalogo delle vulnerabilità note sfruttate (KEV) con quattro nuove voci, a dimostrazione del fatto che gli hacker stanno attivamente sfruttando le falle presenti negli strumenti di sviluppo e nelle piattaforme aziendali più diffusi.
Al vertice della lista per livello di gravità figura una falla critica di autenticazione in Versa Concerto (CVE-2025-34026), una nota piattaforma di orchestrazione SD-WAN. Questa vulnerabilità, con un punteggio CVSS pari a 9,2, permette agli aggressori di aggirare del tutto le schermate di accesso a causa di una configurazione scorretta del proxy inverso Traefik.
Di fatto, questo significa consegnare le chiavi del tesoro, poiché l’endpoint interno dell’Attuatore può essere sfruttato per ottenere dump di heap e trace log. La vulnerabilità riguarda le versioni che vanno dalla 12.1.2 alla 12.2.0.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Un altro allarme è stata lanciata dalla CISA in merito a un’infiltrazione di codice maligno (CVE-2025-54313)nello strumento eslint-config-prettier, largamente usato da milioni di sviluppatori per la formattazione del codice. Il malware incorporato è stato individuato in alcune versioni specifiche (10.1.7, 10.1.6, 9.1.1 e 8.10.1) di questo strumento.
L’installazione di un pacchetto può sembrare una procedura banale, ma in realtà cela un attacco insidioso. Il file install.js, eseguito durante l’installazione, attiva il malware node-gyp.dll sui sistemi Windows, trasformando un’operazione comune per gli sviluppatori in una potenziale violazione della sicurezza del sistema.
Inoltre, una vulnerabilità di gravità elevata di Local File Inclusion (LFI) (CVE-2025-68645) è stata rilevata in Synacor Zimbra Collaboration Suite (ZCS). La falla, che interessa le versioni 10.0 e 10.1, risiede nell’interfaccia utente di Webmail Classic.
“Un aggressore remoto non autenticato può creare richieste… consentendo l’inclusione di file arbitrari dalla directory WebRoot”, si legge nel record CVE. Con un punteggio CVSS di 8,8, questa falla offre agli aggressori una finestra per manipolare le richieste interne senza mai effettuare l’accesso.
A completare l’elenco c’è una vulnerabilità di controllo degli accessi improprio (CVE-2025-31125) in Vite, uno strumento di sviluppo frontend. Pur avendo un punteggio CVSS inferiore a 5,3, rappresenta un rischio specifico per gli ambienti di sviluppo esposti alla rete.
La falla consente di restituire al browser il “contenuto di file arbitrari” se il server di sviluppo è configurato per essere accessibile esternamente. Gli aggressori possono sfruttare questa falla utilizzando parametri URL manipolati come “raw&import” per leggere file che non dovrebbero visualizzare.
Alle agenzie federali è stata data una scadenza rigorosa, il 12 febbraio 2026, per correggere questi sistemi, ma le organizzazioni private sono invitate ad agire immediatamente.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Innovazione
Vulnerabilità
Cybercrime
Cybercrime
Innovazione