Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Un audit di JFrog ha scoperto 54 vulnerabilità inesistenti pubblicate in un repository CVE e poi finite nei database di sicurezza come NVD e CISA. I falsi bug, probabilmente generati dall’AI, includevano codice inventato, funzioni mai esistite e exploit non riproducibili, evidenziando nuovi rischi per la cybersecurity.
I database delle vulnerabilità hanno incluso segnalazioni di bug critici di SQLite con punteggi fino a 9,8 punti, ma un controllo del codice sorgente non ha confermato un singolo errore segnalato.
I ricercatori di JFrog hanno trovato nei rapporti funzioni inesistenti, numeri di riga impossibili ed esempi di sfruttamento che non causavano arresti anomali o perdite di memoria. La società ha quindi pubblicato i risultati dell’audit il 30 luglio.
Le sei voci SQLite facevano parte di una raccolta di 55 bollettini pubblicati in un nuovo repository GitHub poco conosciuto. Le informazioni sono state incluse nel National Vulnerability Database NVD degli Stati Uniti e il programma di arricchimento dei dati CISA ha aggiunto le proprie valutazioni. Le voci hanno ottenuto un punteggio compreso tra 7,5 e 9,8 sulla scala CVSS e sembravano dei gravi errori di gestione della memoria.
L’analisi automatica ha rivelato segni di probabile generazione di testo da parte del modello linguistico. JFrog non si è affidato esclusivamente al rilevatore e ha compilato le versioni specificate di SQLite in un ambiente isolato. Gli specialisti hanno esaminato il codice sorgente, hanno eseguito le query SQL allegate sotto il controllo di AddressSanitizer e hanno confrontato le descrizioni con i dati di NVD e GitHub Security Advisories.
Il record CVE-2026-51302 descrive l’accesso a un’area di memoria già liberata. Red Hat inizialmente ha assegnato al post un punteggio massimo di 10, ma in seguito ha abbassato il punteggio a 7,6. Gli autori hanno affermato che la funzione
exprComputeOperands()
ha causato un bug in SQLite 3.41.0, sebbene la funzione specificata sia apparsa solo a metà del 2025 e non fosse presente nella versione denominata.
Nella descrizione del CVE-2026-51300, gli autori hanno fatto riferimento a righe di codice sorgente che non erano correlate al presunto bug. La query SQL ha funzionato normalmente e non ha causato perdite di memoria. Il CVE-2026-51296 invece, puntava alle righe 3555 e 3575 di
json.c
sebbene il file in SQLite 3.41.0 contenesse solo 2706 righe. Altri esempi hanno avuto esito negativo a causa di un errore di sintassi o hanno richiamato funzioni con il numero errato di argomenti.
Il controllo esteso ha coperto tutti i 55 bollettini del repository. JFrog ha trovato 54 voci completamente fittizie. Il post rimanente conteneva un vero bug del software, ma era accompagnato da informazioni CVE non confermate. Oltre a SQLite, i materiali hanno riguardato la libreria di elaborazione delle immagini RAW LibRaw e la libreria di decodifica audio ESP32-audioI2S per Arduino.
MITRE ha successivamente respinto l’intera serie di domande. La pagina ufficiale del progetto SQLite ha inoltre contrassegnato sei voci come problemi non riproducibili che non sono presenti in SQLite e sembrano allucinazioni dell’intelligenza artificiale. Le informazioni sul rifiuto di massa delle domande sono state pubblicate nella mailing list OSS-Security.
L’incidente ha rivelato un punto debole nel sistema di registrazione delle vulnerabilità. I centri di identificazione CVE non sempre dispongono dell’ambiente software, del codice sorgente e delle risorse necessari per riprodurre autonomamente ciascun rapporto.
NVD recupera automaticamente le voci dall’elenco CVE, dopodiché gli analisti integrano le informazioni con valutazioni delle minacce, elenchi di prodotti interessati e altri metadati. Il sistema attuale non richiede la riproduzione indipendente di ciascun errore. Una newsletter compilata in modo plausibile può entrare in GitHub Security Advisories, database di terze parti e scanner aziendali senza un esempio funzionante.
Un ulteriore problema è la coda di record NVD non elaborati. Il NIST ha riconosciuto la crescita della coda a febbraio 2024 dopo un forte rallentamento nell’analisi. Secondo un rapporto dell’Ufficio dell’Ispettore Generale del Dipartimento del Commercio degli Stati Uniti, il numero di vulnerabilità senza patch è cresciuto da circa 13.000 all’inizio di giugno 2024 a oltre 27.000 entro la fine del 2025.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/