BOLLETTINO GIORNALIERO
Vulnerabilità di esecuzione di codice remoto (RCE) in Node2Shell, avviso di sicurezza PHP non aggiornato e falla Python Pillow.
Il briefing odierno tratta i rischi di esecuzione di codice remoto in Node.js e Python Pillow, un avviso di configurazione PHP non aggiornato e una backdoor nelle reti mesh utilizzata in Ucraina.
5 notizie3 min di lettura
Oggi, i runtime delle applicazioni web e le dipendenze più diffuse sono al centro dell'attenzione, con la scoperta di nuovi vettori di esecuzione del codice in Node.js, PHP e nella libreria di immagini Pillow di Python. Le organizzazioni che gestiscono piattaforme web devono verificare questi componenti server fondamentali e applicare tempestivamente gli aggiornamenti.
Allo stesso tempo, le operazioni informatiche mirate mostrano tattiche di persistenza sempre più sofisticate. Gli attori delle minacce Sandworm e UAC-0099 hanno utilizzato una nuova backdoor di rete mesh insieme a software per la cancellazione dei dati, sottolineando la necessità di monitorare i canali di comando e controllo non tradizionali all'interno delle infrastrutture critiche.
Una falla critica nella popolare libreria di immagini Pillow di Python consente l'esecuzione di codice tramite un'immagine appositamente creata.
Una vulnerabilità critica nella libreria Pillow di Python (CVE-2026-112900) consentiva l'esecuzione di codice in remoto durante l'elaborazione di immagini EPS. Pillow passava i nomi dei file a Ghostscript senza convalidarli, consentendo l'iniezione di comandi tramite nomi di file appositamente creati. La falla è stata corretta nella versione 13.0.0 di Pillow.
- Perché è importante
- Pillow è ampiamente utilizzato nelle applicazioni web, nei flussi di lavoro di elaborazione delle immagini e nelle pipeline di apprendimento automatico, esponendo i sistemi che elaborano immagini non attendibili all'esecuzione di comandi.
Hacker legati alla Russia hanno utilizzato una nuova backdoor nella rete mesh per sferrare un attacco distruttivo in Ucraina.
Il gruppo di hacker Sandworm, sponsorizzato dallo stato russo, ha collaborato con UAC-0099 in un attacco distruttivo contro un'azienda di logistica ucraina. UAC-0099 ha implementato la backdoor MATCHWOK e una nuova backdoor per reti mesh, MythicRatatoskr, comunicando tramite Yggdrasil prima di cedere l'accesso a Sandworm per eseguire la cancellazione dei dati.
- Perché è importante
- Gli aggressori stanno utilizzando nuove infrastrutture C2 su reti mesh come Yggdrasil per eludere il rilevamento prima di lanciare attacchi distruttivi di cancellazione dati.
I ricercatori dimostrano una vulnerabilità di esecuzione remota di codice (RCE) in Node2Shell su una build di Node.js utilizzando dati Brotli appositamente creati.
I ricercatori hanno dimostrato un exploit funzionante per l'esecuzione remota di codice con Node2Shell sulle build ufficiali di Node.js 24.22.0 per Linux arm64. L'exploit sfrutta una vulnerabilità del decodificatore Brotli (CVE-2026-111497) passando dati compressi dannosi per eseguire codice arbitrario. Le versioni corrette, inclusa Node.js 24.22.1, rifiutano il payload.
- Perché è importante
- Le applicazioni che decodificano dati compressi Brotli non attendibili utilizzando build Node.js vulnerabili sono esposte al rischio di esecuzione di codice remoto.
PHP avverte di un'altra vulnerabilità RCE non corretta due giorni dopo le patch di emergenza di PHP2Shell
PHP ha segnalato la vulnerabilità CVE-2026-115560, una vulnerabilità di esecuzione di codice remoto non ancora corretta che interessa le configurazioni con session.serialize_handler impostato su php_binary o php_serialize. Questa segnalazione segue le patch di emergenza per CVE-2026-109618 e CVE-2026-109619. PHP non rilascerà una patch di emergenza e consiglia di disabilitare l'avanzamento del caricamento della sessione.
- Perché è importante
- Le applicazioni web con specifiche opzioni di configurazione della sessione PHP rimangono vulnerabili all'esecuzione di codice remoto fino al successivo aggiornamento di routine.
HPE corregge otto vulnerabilità di massima gravità relative a RCE e bypass dell'autenticazione in AOS.
La pagina di verifica di BleepingComputer ha generato una richiesta di sicurezza da Cloudflare, impedendo il recupero dei dettagli relativi alla patch rilasciata da HPE per le vulnerabilità di AOS.
Punti chiave
- Aggiorna Node.js alla versione 24.22.1 per impedire l'esecuzione di codice remoto tramite la vulnerabilità del decodificatore Brotli CVE-2026-111497.
- Attori legati alla Russia hanno utilizzato la backdoor MythicRatatoskr, che comunicava attraverso la rete mesh Yggdrasil, prima di un attacco di cancellazione dati.