Ricercatori di cybersecurity hanno individuato codice malevolo in alcune versioni del pacchetto npm node-ipc, una libreria molto usata in ambiente Node.js. Le versioni coinvolte sono 9.1.6, 9.2.3 e 12.0.1 e contengono comportamento offuscato riconducibile a stealer e backdoor, con l’obiettivo di rubare segreti di sviluppo e credenziali cloud.

Microsoft ha segnalato una nuova vulnerabilità di sicurezza che riguarda le installazioni on premises di Microsoft Exchange Server e che risulta già sfruttata attivamente in attacchi reali. La falla è tracciata come CVE 2026 42897 con punteggio CVSS 8.1 e viene classificata come problema di spoofing legato a una cross site scripting.

La CISA ha inserito nel catalogo Known Exploited Vulnerabilities la vulnerabilità CVE-2026-20182 che colpisce Cisco Catalyst SD-WAN Controller e che risulta già sfruttata attivamente. Si tratta di un difetto di authentication bypass con punteggio CVSS 10.0, quindi di massima gravità, perché permette a un attaccante remoto non autenticato di aggirare i controlli di accesso e ottenere privilegi amministrativi sul sistema compromesso.

Il gruppo di cyber spionaggio Turla ha evoluto il backdoor Kazuar in una botnet P2P modulare progettata per ottenere accesso persistente e difficile da rilevare sui sistemi compromessi. Questa trasformazione segna un cambio di passo importante nel panorama malware, perché non si tratta più di un impianto monolitico ma di un ecosistema a componenti con ruoli separati, capace di adattarsi e resistere meglio alle interruzioni operative e ai tentativi di analisi.

Nel panorama della sicurezza Linux è emersa una nuova vulnerabilità di local privilege escalation chiamata Fragnesia, tracciata come CVE 2026 46300 con punteggio CVSS 7.8. Il problema riguarda il kernel Linux e in particolare il sottosistema XFRM ESP in TCP, una componente legata a funzionalità IPsec e gestione del traffico cifrato.

Il gruppo di minaccia Ghostwriter, allineato alla Bielorussia e attivo almeno dal 2016, è stato collegato a una nuova ondata di attacchi informatici contro organizzazioni governative in Ucraina. La campagna, osservata da marzo 2026, conferma un profilo di cyber spionaggio costante e in continua evoluzione, con tecniche pensate per ridurre la visibilità e colpire solo bersagli ritenuti di alto valore.

Nel bollettino ThreatsDay di questa settimana emergono segnali chiari su come la sicurezza informatica stia affrontando una combinazione tossica di vulnerabilita sfruttate attivamente, campagne di phishing sempre piu credibili e nuove superfici di attacco legate ai modelli di intelligenza artificiale. Il quadro e reso ancora piu complesso dal fatto che molte intrusioni continuano a funzionare grazie a errori banali come controlli di autorizzazione deboli, fiducia eccessiva in strumenti legittimi e sistemi non aggiornati.

Tra fine dicembre 2025 e fine febbraio 2026 una compagnia di petrolio e gas in Azerbaigian è stata colpita da una campagna di cyber spionaggio in più ondate, basata su ripetute compromissioni di Microsoft Exchange Server. L’aspetto più rilevante è la persistenza dell’attaccante, che ha continuato a sfruttare lo stesso punto di ingresso anche dopo diversi tentativi di bonifica, dimostrando quanto la sicurezza di Exchange dipenda da patch tempestive, controllo delle credenziali e rimozione completa delle backdoor.

Google ha introdotto su Android una nuova funzione opzionale chiamata Intrusion Logging, pensata per migliorare la sicurezza mobile e rendere più semplice l’analisi forense in caso di attacchi spyware avanzati. La funzionalità è disponibile all’interno di Advanced Protection Mode e nasce per aiutare soprattutto utenti ad alto rischio (giornalisti, attivisti e figure esposte a sorveglianza mirata) che sospettano una compromissione del dispositivo.

La campagna Mini Shai Hulud sta riportando al centro dell’attenzione il rischio di supply chain attack nel mondo open source, colpendo ecosistemi molto usati come npm e PyPI. In questa ondata sono stati compromessi pacchetti legati a TanStack, Mistral AI, Guardrails AI, OpenSearch e altri progetti, con l’obiettivo di distribuire un malware capace di rubare credenziali e propagarsi in modo autonomo attraverso pipeline CI/CD.