Vulnerabilità
CVE, exploit, patch e falle di sicurezza.
TeamCity sotto attacco: la CVE-2026-63077 entra nel catalogo CISA, tre giorni per correre ai ripari
CISA ha aggiunto la falla critica di JetBrains TeamCity al catalogo delle vulnerabilità sfruttate attivamente con scaden…
N-able N-central, patch incompleta e clienti compromessi: due CVE nel catalogo KEV in 48 ore
CISA conferma lo sfruttamento attivo delle CVE-2026-18556 e CVE-2026-18577 nella piattaforma RMM N-able N-central: bypas…
CosmosEscape: una falla in Azure Cosmos DB esponeva la chiave di ogni database della piattaforma
Wiz Research ha dimostrato come evadere la sandbox delle query Gremlin di Azure Cosmos DB fino a estrarre una chiave mas…
Quasi 47.000 CVE in sette mesi e 1.442 bug corretti in tre versioni di Chrome: l'IA ha rotto il patch management
Il 2026 si avvia a superare ogni record di vulnerabilità pubblicate, spinto dall'uso dei modelli linguistici nella ricer…
Cisco FMC, credenziali statiche sfruttate come zero-day: la CVE-2026-20316 entra nel catalogo KEV
Credenziali statiche integrate nel Secure Firewall Management Center di Cisco permettono l'accesso remoto senza autentic…
TeamCity, RCE senza autenticazione su tutte le versioni on-premises: i precedenti dicono di aggiornare oggi
JetBrains corregge la CVE-2026-63077 (CVSS 9.8): un attaccante non autenticato può eseguire comandi sul server tramite i…
VeloCloud Orchestrator, zero-day CVSS 10 sfruttato in rete: chi controlla l'orchestratore controlla tutta la rete SD-WAN
Arista corregge la CVE-2026-16812, command injection senza autenticazione già sfruttata in attacchi reali contro VeloClo…
OpenWrt, falla critica nel server DHCPv6: CVSS 9.8 e codice eseguito come root con un solo pacchetto
CVE-2026-53921 permette a un attaccante non autenticato di sovrascrivere lo stack di odhcpd, che gira come root. Patch n…
Zero-day in JFrog Artifactory scoperti da modelli OpenAI: patch rilasciate, ma il caso dice altro
JFrog conferma che alcuni modelli di OpenAI hanno trovato e sfruttato falle sconosciute in Artifactory self-hosted duran…
Check Point SmartConsole, zero-day sfruttata in rete: la CVE-2026-16232 regala accesso amministrativo completo
Una authentication bypass critica nella console di gestione di Check Point permette a un attaccante remoto non autentica…
Fastjson, RCE sfruttata in rete e nessuna patch in arrivo: la CVE-2026-16723 minaccia le applicazioni Spring Boot
Una falla critica (CVSS 9,0) nella libreria Java Fastjson 1.x permette esecuzione di codice remoto senza autenticazione…
Certighost (CVE-2026-54121): l'exploit pubblico che trasforma un utente di dominio nel padrone di Active Directory
Il 24 luglio è stato pubblicato l'exploit funzionante di Certighost (CVE-2026-54121), una falla di AD CS che consente a…
Redis, sette aggiornamenti di sicurezza in un colpo: e gli zero-day li ha trovati un'IA
Il 23 luglio 2026 Redis ha rilasciato sette release di sicurezza dopo la diffusione di PoC che ottengono RCE su versioni…
Joomla di nuovo sotto attacco: iCagenda e Balbooa Forms, due falle CVSS 10 sfruttate come zero-day
Dopo i page builder, la CISA aggiunge al catalogo KEV altre due estensioni Joomla — iCagenda (CVE-2026-48939) e Balbooa…
Zoom, falla critica (CVSS 9.8) sul client Windows: account takeover da remoto senza credenziali
La CVE-2026-53412 nel client Zoom per Windows permette a un attaccante non autenticato di prendere il controllo dell'acc…
Firefox, Chrome, Adobe e VMware: raffica di patch critiche a luglio, con codice exploit già pubblico
In poche ore Mozilla, Google e Adobe hanno corretto decine di falle critiche: due in Firefox 152 hanno già proof-of-conc…
SonicWall SMA 1000 sotto attacco: due zero-day (una CVSS 10) sfruttate insieme per rubare credenziali e sessioni MFA
SonicWall conferma lo sfruttamento attivo di CVE-2026-15409 (SSRF, CVSS 10) e CVE-2026-15410 sui gateway di accesso remo…
Patch Tuesday luglio 2026: record di 570 falle corrette, due zero-day sfruttati colpiscono AD FS e SharePoint
Microsoft corregge un numero record di vulnerabilità in un solo mese, con 59 critiche e tre zero-day. I due già sfruttat…
SAP corregge una falla CVSS 9.9 nel kernel di NetWeaver AS ABAP: sfruttabile via rete con privilegi minimi
Il Security Patch Day SAP di luglio porta 16 note. La più grave, CVE-2026-44747, è una memory corruption nel kernel di N…
Secure Boot aggirato da 11 vecchi bootloader firmati Microsoft: la ricerca ESET sugli shim dimenticati
ESET ha individuato 11 shim UEFI firmati Microsoft che permettono di aggirare il Secure Boot su quasi tutti i sistemi, W…
Flowise, RCE senza autenticazione (CVE-2026-41264): quando la sandbox dell'agente IA è solo una blocklist
Una falla critica nel nodo CSV Agent di Flowise permette l'esecuzione di codice remoto senza autenticazione tramite prom…
Zimbra corregge una grave falla XSS nel Classic Web Client: basta aprire un'email per eseguire codice
Zimbra ha rilasciato la versione 10.1.19 per correggere una vulnerabilità XSS di tipo stored nel Classic Web Client: un'…
NetScaler, la nuova falla CVE-2026-8451 fa rivivere CitrixBleed: memoria esposta e sfruttamento in poche ore
Una lettura di memoria fuori dai limiti nel parser SAML di NetScaler ADC e Gateway espone token di sessione senza autent…
Due falle CVSS 10.0 nei page builder di Joomla sfruttate in rete: la CISA impone la corsa alle patch
SP Page Builder (CVE-2026-48908) e Page Builder CK (CVE-2026-56290) permettono a un attaccante non autenticato di carica…
GhostLock (CVE-2026-43499): una falla di 15 anni nel kernel Linux dà root in 5 secondi e fa evadere dai container
Una use-after-free nei real-time mutex del kernel Linux, presente dal 2011, consente a un utente locale di ottenere i pr…
Gitea, la CVE-2026-20896 (CVSS 9.8) permette di impersonare l'admin con un solo header HTTP: sfruttamento confermato
Le immagini Docker di Gitea fino alla 1.26.2 si fidano di qualsiasi IP come reverse proxy: con un header X-WEBAUTH-USER…
Adobe ColdFusion, la CVE-2026-48282 (CVSS 10) è sfruttata in rete: RCE senza autenticazione via RDS
Una path traversal nel servizio RDS di ColdFusion permette a un attaccante non autenticato di scrivere file arbitrari e…
Bad Epoll (CVE-2026-46242): dal kernel Linux a root senza privilegi, Android incluso
Pubblicati analisi e proof-of-concept per una use-after-free nel sottosistema epoll del kernel Linux: da processo senza…
Cursor, le falle DuneSlide eseguono codice con un solo prompt e senza clic
Due vulnerabilità critiche (CVSS 9.8) nell'editor con AI Cursor permettono a una prompt injection nascosta di evadere la…
SharePoint sotto attacco: la CVE-2026-45659 entra nel catalogo KEV della CISA
Una falla di deserializzazione (CVSS 8.8) consente l'esecuzione di codice remoto sui server SharePoint on-premise. La CI…
Oracle E-Business Suite, la CVE-2026-46817 è sotto attacco reale: 456 tentativi in 24 ore
Una falla critica (CVSS 9.8) nel modulo Oracle Payments di E-Business Suite è sfruttata attivamente da fine giugno, prim…
Progress Kemp LoadMaster, la CVE-2026-8037 permette comandi da root senza autenticazione
Una falla critica (CVSS 9.8) nel bilanciatore di carico Kemp LoadMaster consente a un attaccante remoto e non autenticat…
libssh2, PoC pubblico per la CVE-2026-55200: un server SSH ostile può colpire il client
Una falla critica (CVSS 9.2) nella libreria libssh2 permette a un server SSH malevolo di corrompere la memoria del clien…
FortiSandbox sotto attacco: tre falle critiche sfruttate per aggirare l'autenticazione ed eseguire comandi
Fortinet conferma lo sfruttamento attivo di tre vulnerabilità in FortiSandbox, due delle quali con punteggio CVSS 9.1: s…
Da git clone a compromissione del cloud: la falla di Amazon Q che eseguiva codice da un file nel repository
CVE-2026-12957 permetteva a un repository malevolo di eseguire comandi all'apertura del progetto in Amazon Q per VS Code…
Pedit COW: la falla nel kernel Linux che avvelena i binari in cache e regala i privilegi di root
CVE-2026-46331 corrompe la page cache attraverso l'azione di packet-editing del sottosistema traffic control: un utente…
PTC Windchill e FlexPLM: la CVE-2026-12569 sfruttata per installare webshell, CISA fissa la scadenza al 28 giugno
Una falla critica (CVSS 9,3) nelle piattaforme PLM di PTC consente l'esecuzione di codice da remoto senza autenticazione…
CISA: falle critiche in Ubiquiti UniFi OS e Lantronix EDS5000 già sfruttate, patch obbligatorie in tre giorni
L'agenzia statunitense ha inserito nel catalogo delle vulnerabilità sfruttate attivamente tre falle di UniFi OS e una di…
Cisco Unified CM sotto attacco: la falla SSRF CVE-2026-20230 ora sfruttata in rete
Una vulnerabilità SSRF nel servizio WebDialer di Cisco Unified Communications Manager è ora sfruttata attivamente. Un at…
Ivanti EPMM sotto attacco: due zero-day permettono l'esecuzione di codice senza autenticazione
Le vulnerabilità CVE-2026-1281 e CVE-2026-1340 in Ivanti Endpoint Manager Mobile sono sfruttate attivamente: consentono…
Splunk Enterprise: la falla CVE-2026-20253 è sotto attacco, CISA impone la patch
Una vulnerabilità critica in Splunk Enterprise consente a un attaccante non autenticato di creare o azzerare file sul si…
Cisco Catalyst SD-WAN Manager: nuovo zero-day CVE-2026-20262 sfruttato per arrivare a root
Una falla di scrittura arbitraria di file nella console di gestione SD-WAN di Cisco consente a un utente autenticato di…
Falla massima in Joomla JCE: punteggio CVSS 10, sfruttamento attivo e patch urgente
CVE-2026-48907, una falla di controllo degli accessi nell'estensione Joomla Content Editor di Widget Factory, consente l…
LiteLLM: una falla nel gateway AI diventa RCE non autenticata, già nel mirino di Qilin
CVE-2026-42271 permette l'esecuzione di comandi arbitrari su LiteLLM; combinata con un bypass in Starlette consente atta…
SimpleHelp: bypass dell'autenticazione lascia esposti quasi 14.000 server RMM
Una falla nella verifica dei token OIDC permette di creare account «Tecnico» senza credenziali su SimpleHelp: quasi 14.0…
Chrome zero-day CVE-2026-11645: falla nel motore V8 già sfruttata in rete, aggiornate subito
Google ha corretto d'emergenza una vulnerabilità critica nel motore JavaScript V8 di Chrome, la quinta zero-day sfruttat…
YellowKey, GreenPlasma, MiniPlasma: i tre zero-day Windows di Nightmare Eclipse ora patchati
Microsoft ha corretto nel Patch Tuesday di giugno tre zero-day senza CVE noti divulgati dal ricercatore Nightmare Eclips…
Oracle PeopleSoft, zero-day CVE-2026-35273 sfruttata da ShinyHunters: rubati dati da oltre 100 organizzazioni
Oracle ha rilasciato mitigazioni di emergenza per una falla critica (CVSS 9.8) in PeopleSoft PeopleTools, già sfruttata…
Langflow di nuovo sotto attacco: la path traversal CVE-2026-5027 sfruttata per eseguire codice sui server esposti
La falla nell'upload dei file della piattaforma AI permette di scrivere file in posizioni arbitrarie e arrivare all'esec…
RoguePlanet: nuovo zero-day in Microsoft Defender pubblicato poche ore dopo il Patch Tuesday
Il ricercatore Nightmare Eclipse ha rilasciato su GitHub un exploit che sfrutta una race condition in Defender per otten…
OpenSSL corregge 18 vulnerabilità, la più grave scoperta con l'aiuto dell'intelligenza artificiale
Le nuove release di OpenSSL chiudono 18 falle, tra cui la CVE-2026-45447, un use-after-free nella verifica PKCS#7 che pu…
SAP Patch Day di giugno: quattro falle critiche, la peggiore consente di manomettere l'autenticazione SAML
SAP ha pubblicato 15 note di sicurezza con quattro vulnerabilità HotNews fino a CVSS 9.9. Colpiti NetWeaver AS ABAP e Ja…
Check Point VPN: zero-day critico CVE-2026-50751 sfruttato dal gruppo ransomware Qilin
Una falla critica (CVSS 9.3) nel protocollo IKEv1 di Check Point Remote Access VPN permette l'accesso senza credenziali…
Patch Tuesday di giugno 2026: Microsoft corregge 200 falle e tre zero-day già divulgati
L'aggiornamento mensile di Microsoft risolve 200 vulnerabilità, di cui 33 critiche, e tre zero-day resi pubblici prima d…
Veeam corregge una falla critica: qualsiasi utente di dominio può prendere il controllo del server di backup
La vulnerabilità CVE-2026-44963 (CVSS 9.4) consente a un utente di dominio autenticato di eseguire codice remoto sui ser…
Drupal sotto attacco: una falla SQL injection sfruttata su seimila siti in poco più di due giorni
Una vulnerabilità critica nel cuore di Drupal viene già sfruttata su larga scala: oltre 15.000 tentativi di attacco cont…
WordPress, falla critica in Everest Forms Pro sfruttata in attacchi: CVE-2026-3300 consente l'esecuzione di codice
Una vulnerabilità critica (CVSS 9.8) nel plugin Everest Forms Pro è sfruttata attivamente per eseguire codice PHP arbitr…
Fragnesia (CVE-2026-46300): vulnerabilità critica nel kernel Linux con PoC pubblico, allerta ACN
La vulnerabilità Fragnesia nel kernel Linux permette a un utente non privilegiato di ottenere i privilegi di root. È dis…
CVE-2026-3055: vulnerabilità critica in NetScaler ADC e Gateway sfruttata attivamente, CVSS 9.8
Citrix NetScaler ADC e Gateway sono colpiti da una vulnerabilità di memory overread con CVSS 9.8 che consente l'esecuzio…
Cisco SD-WAN, zero-day senza patch sfruttato negli attacchi: comandi come root su Catalyst SD-WAN Manager
Cisco avverte di una vulnerabilità zero-day ad alta gravità in Catalyst SD-WAN Manager (CVE-2026-20245), già sfruttata i…
Microsoft Defender, due zero-day sotto attacco attivo: CISA impone l'aggiornamento
Microsoft ha corretto due vulnerabilità di Defender già sfruttate in attacchi reali, CVE-2026-41091 e CVE-2026-45498, in…
Visual Studio Code, zero-day da un clic: rubati i token GitHub, violati 3.700 repository interni
Una falla zero-day in VS Code permette di sottrarre i token OAuth di GitHub con un solo clic. Microsoft ha rilasciato la…
Falla critica in Windows Netlogon (CVE-2026-41089): a rischio i domain controller
Una vulnerabilità con punteggio 9.8 nel servizio Netlogon di Windows permette l'esecuzione di codice da remoto senza aut…
Falla critica nel plugin Kirki: 500.000 siti WordPress a rischio takeover
La CVE-2026-8206 (CVSS 9.8) permette di impossessarsi di qualsiasi account, amministratori inclusi, con una sola richies…
Android, patch di giugno 2026: corrette 124 falle, una già sfruttata dagli attaccanti
Google rilascia il bollettino di sicurezza di giugno con 124 correzioni. Una vulnerabilità ad alta gravità nel component…