Questa settimana la cybersecurity ha mostrato quanto un singolo input possa innescare effetti a catena come esecuzione di codice, furto di chiavi, consumo anomalo di memoria e disattivazione di strumenti di difesa. Il filo conduttore è sempre lo stesso: sistemi esposti, controlli deboli, componenti non aggiornati e tecniche di social engineering che trasformano servizi legittimi e codice pubblico in vettori di infezione.
Tra le notizie più rilevanti spicca una vulnerabilità critica in WordPress Core che consente remote code execution senza autenticazione. Il punto chiave è la possibilità di concatenare due difetti, uno legato alla confusione delle route nella REST API e uno di SQL injection nel core, per trasformare una semplice richiesta anonima in esecuzione di codice sul server. Considerando la diffusione di WordPress, il rischio operativo è elevatissimo soprattutto dove gli aggiornamenti automatici non sono abilitati o dove l’hosting non applica patch in modo centralizzato. In scenari simili è fondamentale aggiornare subito e verificare eventuali backdoor già inserite prima della correzione.
Sul fronte infrastrutture, sono stati osservati attacchi reali contro appliance VPN SonicWall SMA sfruttate come zero day prima della divulgazione pubblica. Due CVE possono essere concatenate per arrivare a esecuzione di comandi e compromissione del dispositivo, con impatto diretto sull’accesso remoto aziendale. Anche Microsoft SharePoint Server è finito sotto i riflettori: una vulnerabilità critica di deserializzazione è stata sfruttata in the wild e inserita in cataloghi di vulnerabilità note come attivamente sfruttate, aumentando l’urgenza di applicare le patch.
Non mancano campagne malware evolute. Un framework chiamato OkoBot prende di mira utenti Windows con moduli capaci di catturare contenuti di wallet crypto, seed phrase, clipboard e screenshot, spesso distribuiti tramite repository pubblici e tecniche di ingegneria sociale. Parallelamente, un botnet in Go denominato NadMesh scandaglia servizi AI esposti come ComfyUI e Ollama per rubare credenziali cloud e token Kubernetes, aggiungendo persistenza con chiavi SSH, file nascosti e cron job.
In un contesto dove il tempo tra patch e exploit si riduce, la priorità resta ridurre l’esposizione, aggiornare in modo aggressivo e monitorare segnali di compromissione su web server, VPN e piattaforme collaborative.