Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il MITRE ha reso pubblica la classifica delle 25 più pericolose debolezze software previste per il 2025, secondo i dati raccolti attraverso le vulnerabilità del national Vulnerability Database. Tali vulnerabilità sono state individuate analizzando 39.080 record di Common Vulnerabilities and Exposures (CVE) riportati nell’anno in corso, al fine di segnalare le cause principali.
L’aumento delle minacce informatiche ha elevato l’importanza della classifica annuale, la quale elaborata in base a dati CVE reali, permette una più efficace identificazione e riduzione dei rischi all’interno delle organizzazioni.
Gli aggressori possono assumere il controllo del sistema, sottrarre dati sensibili o compromettere le applicazioni a causa di questi difetti pervasivi, che sono spesso facilmente individuabili e sfruttabili.
| Vulnerabilità | CWE | CVEs in KEV | Rank Last Year | Trend |
|---|---|---|---|---|
| Improper Neutralization of Input During Web Page Generation (Cross-site Scripting) | CWE-79 | 7 | 1 | — |
| Improper Neutralization of Special Elements used in an SQL Command (SQL Injection) | CWE-89 | 4 | 3 | Upward |
| Cross-Site Request Forgery (CSRF) | CWE-352 | 0 | 4 | Upward |
| Missing Authorization | CWE-862 | 0 | 9 | Upward |
| Out-of-bounds Write | CWE-787 | 12 | 2 | Downward |
| Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) | CWE-22 | 10 | 5 | Downward |
| Use After Free | CWE-416 | 14 | 8 | Upward |
| Out-of-bounds Read | CWE-125 | 3 | 6 | Downward |
| Improper Neutralization of Special Elements used in an OS Command (OS Command Injection) | CWE-78 | 20 | 7 | Downward |
| Improper Control of Generation of Code (Code Injection) | CWE-94 | 7 | 11 | Upward |
| Buffer Copy without Checking Size of Input (Classic Buffer Overflow) | CWE-120 | 0 | N/A | — |
| Unrestricted Upload of File with Dangerous Type | CWE-434 | 4 | 10 | Downward |
| NULL Pointer Dereference | CWE-476 | 0 | 21 | Upward |
| Stack-based Buffer Overflow | CWE-121 | 4 | N/A | — |
| Deserialization of Untrusted Data | CWE-502 | 11 | 16 | Upward |
| Heap-based Buffer Overflow | CWE-122 | 6 | N/A | — |
| Incorrect Authorization | CWE-863 | 4 | 18 | Upward |
| Improper Input Validation | CWE-20 | 2 | 12 | Downward |
| Improper Access Control | CWE-284 | 1 | N/A | — |
| Exposure of Sensitive Information to an Unauthorized Actor | CWE-200 | 1 | 17 | Downward |
| Missing Authentication for Critical Function | CWE-306 | 11 | 25 | Upward |
| Server-Side Request Forgery (SSRF) | CWE-918 | 0 | 19 | Downward |
| Improper Neutralization of Special Elements used in a Command (Command Injection) | CWE-77 | 2 | 13 | Downward |
| Authorization Bypass Through User-Controlled Key | CWE-639 | 0 | 30 | Upward |
| Allocation of Resources Without Limits or Throttling | CWE-770 | 0 | 26 | Upward |
La classifica CWE Top 25 può aiutare a:
Le vulnerabilità legate alla sicurezza della memoria, come i buffer overflow, sono ricorrenti, il che sta portando all’adozione di linguaggi più sicuri come Rust. Nello stesso tempo, le applicazioni web devono far fronte a minacce e problemi di autenticazione. Inoltre, le vulnerabilità come Use After Free, rientranti nella categoria KEV, richiedono l’implementazione di un modello di controllo basato sullo zero-trust.
È fondamentale che le organizzazioni esaminino i propri codici in base a questo elenco, incorporino le verifiche CWE nelle loro pipeline di integrazione continua, insistano con i fornitori per garantire la trasparenza e sfruttino i contratti per imporre ai fornitori l’applicazione di standard rigorosi per la scrittura di codice sicuro..
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.