Un recente attacco informatico ha colpito la supply chain di OVHcloud CLI, lo strumento a riga di comando usato per gestire servizi cloud. Gli aggressori hanno compromesso un account GitHub di un collaboratore e hanno sostituito gli archivi di download collegati a cinque release esistenti, distribuendo binari modificati progettati per rubare segreti presenti sul disco dei sistemi infetti.

I gruppi ransomware Qilin e INC stanno continuando a sfruttare una vulnerabilità di Palo Alto Networks per ottenere accesso iniziale alle reti aziendali e aggirare la multi factor authentication. Il problema riguarda PAN-OS e Prisma Access e coincide con la falla CVE-2026-0257, un difetto di bypass dell’autenticazione che consente la creazione di connessioni VPN non autorizzate.

Una nuova campagna di attacchi informatici legata al modello ClickFix ha sfruttato una vulnerabilità nel Siemens Software Center per eseguire codice malevolo e distribuire un remote access trojan. Il problema riguarda una tecnica nota come DLL sideloading, in cui un programma legittimo carica una libreria dinamica da un percorso di ricerca non controllato.

Il gruppo di minaccia legato alla Russia noto come APT28 è stato associato a una nuova ondata di attacchi di cyber spionaggio contro due stati membri della NATO. Le attività osservate hanno preso di mira organizzazioni ad alto valore informativo, tra cui un ente di polizia, un cantiere navale e un produttore di motori per aerei militari, con l’obiettivo di ottenere accesso persistente e raccogliere credenziali utili per ulteriori movimenti laterali.

Nel panorama della cybersecurity di questa settimana emergono segnali chiari su quanto sia facile trasformare piccole lacune in incidenti gravi. Il filo conduttore è la perdita di fiducia nelle connessioni considerate sicure tra servizi cloud, dispositivi hardware e strumenti di lavoro quotidiani.

I ricercatori di cybersecurity hanno individuato una nuova piattaforma di distribuzione malware chiamata ROMULUS, basata su tecniche ClickFix e progettata per convincere gli utenti a eseguire comandi dannosi in autonomia. Il modello è semplice ma estremamente efficace: la vittima atterra su una pagina web fasulla che simula un problema tecnico o una verifica di sicurezza e viene guidata passo passo a copiare e incollare istruzioni nel sistema, spesso tramite PowerShell.

Una campagna di cybercrime sta sfruttando il canale npm per distribuire malware a sviluppatori e startup crypto, mascherandosi da acceleratore Web3. Il gruppo si presenta come Apex Accelerator e promette crediti gratuiti per servizi di intelligenza artificiale come Claude e Gemini, oltre a strumenti di coding e audit di sicurezza.

ConnectWise ha sospeso temporaneamente il servizio Cloud Backup e ha disabilitato sette identità applicative dopo aver rilevato un incidente di sicurezza che ha portato alla compromissione di tenant Microsoft 365. Il problema nasce dall’accesso non autorizzato alle credenziali associate a identità di applicazioni ConnectWise usate per operazioni di gestione e backup nel cloud.

Una vulnerabilità critica ha colpito diversi server Nextcloud sfruttando una app opzionale molto diffusa in piccoli ambienti di collaborazione documentale. Il problema riguarda Collabora Online Built in CODE Server, pacchetto richdocumentscode, che scarica e avvia una copia di Collabora Online Development Edition direttamente sul server Nextcloud per modificare documenti senza un server Collabora separato.

Microsoft ha pubblicato un aggiornamento di sicurezza record con patch per 1413 vulnerabilita, un volume che conferma quanto la gestione delle patch sia diventata un tema centrale per la cybersecurity aziendale. Le falle corrette riguardano soprattutto Windows, ma includono anche componenti molto diffusi come Office, strumenti per sviluppatori, SharePoint Server e SQL Server.