Threat Advisories

Trellix ha annunciato che è stato effettuato un accesso non autorizzato al codice sorgente interno di alcune parti del suo portafoglio prodotti. Il materiale interessato riguarda solo il codice di sviluppo dei prodotti e non include ambienti o dati dei clienti. Non vi sono indicazioni di modifiche dolose agli artefatti software rilasciati.

CVE 2026 31431, comunemente nota come "Copy Fail", è una vulnerabilità locale di elevata gravità per l'escalation dei privilegi che interessa il kernel Linux. Il problema riguarda i kernel distribuiti da tutte le principali distribuzioni Linux dal 2017 e consente a un utente locale non privilegiato di ottenere l'esecuzione a livello di root sul sistema host.

Alla fine di marzo 2026, un attore minaccioso che opera sotto lo pseudonimo di "The_Auditors" ha affermato di aver violato BlackLine Systems, un fornitore di software di automazione finanziaria e contabilità con sede negli Stati Uniti. L'aggressore sostiene l'esfiltrazione di circa 354 GB di documenti finanziari e operativi sensibili, per un totale di oltre 1,5 milioni di record appartenenti non solo a BlackLine, ma anche ai suoi clienti aziendali. Al momento in cui scriviamo, BlackLine non ha confermato pubblicamente la violazione e le affermazioni non sono state verificate. Tuttavia, diverse società di intelligence sulla cybersicurezza hanno valutato le accuse come credibili sulla base di diversi indicatori.

È stato osservato un nuovo attacco attivo alla supply-chain di npm che abusa di credenziali di manutentori compromesse per auto-propagare codice dannoso tra i pacchetti dell'ecosistema Node.js. Il malware ruba il materiale di autenticazione (token npm, credenziali cloud, segreti CI/CD, chiavi SSH e dati del portafoglio) e utilizza i token di pubblicazione scoperti per iniettarsi in altri pacchetti di proprietà dello stesso manutentore, creando una diffusione laterale simile a un worm.

La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha confermato lo sfruttamento attivo di una vulnerabilità ad alta gravità per l'esecuzione di codice remoto (RCE) in Apache ActiveMQ Classic, segnalata come CVE-2026-34197. La falla è stata aggiunta al catalogo delle vulnerabilità sfruttate (Known Exploited Vulnerabilities, KEV) del CISA, segnalando un'attività dannosa verificata in natura ed elevando la priorità di rimedio per tutte le organizzazioni che utilizzano le versioni interessate di ActiveMQ.

Microsoft Exchange Server rimane unobiettivodi alto valoreper gli attori delle minacce a causa della sua profonda integrazione con i sistemi di identità aziendali, l'infrastruttura di posta elettronica e gli account di servizio privilegiati. Le vulnerabilità RCE (Remote Code Execution) di Exchange sono state storicamente sfruttate percampagne di spionaggiosu largascala, distribuzione di ransomware e operazioni di accesso persistente.

Un attacco alla catena di distribuzione critica ha colpito la libreria JavaScript Axios, ampiamente utilizzata, in seguito alla compromissione dell'account npm del suo principale manutentore. Gli attori della minaccia hanno utilizzato l'account dirottato per pubblicare due versioni dannose, axios@1.14.1 e axios@0.30.4, che introducevano una dipendenza illecita (plain-crypto-js@4.2.1). Questa dipendenza non faceva parte della base di codice legittima di Axios ed esisteva solo per eseguire uno script di post-installazione che distribuiva un Trojan di accesso remoto (RAT) multipiattaforma.

LiteLLM è una libreria e un server proxy Python open-source molto popolare che fornisce un'interfaccia unificata per chiamare oltre 100 API Large Language Model (LLM), come OpenAI, Anthropic, Bedrock e VertexAI, utilizzando il formato di input/output standard di OpenAI. Semplifica l'integrazione di più LLM, offrendo funzionalità come fallback automatici, tentativi e monitoraggio dei costi. Poiché funziona come un gateway API, agisce come un aggregatore di credenziali per design, detenendo in modo sicuro le chiavi API per i vari fornitori di LLM.

CVE202620963 è stata pubblicata originariamente nel gennaio 2026, ma ha recentemente guadagnato nuova attenzione a causa di uno sfruttamento attivo confermato.

All'inizio di questa settimana abbiamo scritto un post sul blog dedicato alle questioni informatiche nel contesto della guerra tra Stati Uniti e Israele contro l'Iran, denominata Operation Epic Fury. In quell'occasione abbiamo osservato che ci sarebbe stata un'elevata risposta da parte degli attori delle minacce sponsorizzati dallo Stato, contro le organizzazioni occidentali con una presenza in Medio Oriente, come ritorsione per questi attacchi.