BOLLETTINO GIORNALIERO
La falla nel decodificatore Brotli alla base dell'esecuzione di codice remoto (RCE) in Node.js interessa anche Bun, Python e altri linguaggi ampiamente utilizzati...
Il briefing odierno tratta di bug diffusi nel decodificatore Brotli, di una falla nella catena di fornitura di LiteLLM e di nuovi exploit attivi segnalati dalla CISA.
5 notizie4 min di lettura
I rischi legati alla catena di fornitura del software e le vulnerabilità infrastrutturali non corrette dominano gli sviluppi odierni in materia di sicurezza. Le organizzazioni che si affidano a componenti open source e dispositivi aziendali si trovano ad affrontare urgenti interventi di manutenzione.
Innanzitutto, una vulnerabilità di corruzione della memoria nel decoder Brotli di Google ha un impatto su ecosistemi software ampiamente utilizzati, tra cui Node.js, Bun, Python ed Envoy. Allo stesso tempo, la CISA ha aggiunto al suo catalogo di vulnerabilità note (Known Exploited Vulnerabilities) vulnerabilità attivamente sfruttate in Collabora Online e Arista VeloCloud Orchestrator.
I team di sicurezza dovrebbero immediatamente verificare i segreti esposti nei repository degli sviluppatori, applicare le patch dei fornitori ai sistemi perimetrali elencati nel catalogo CISA e aggiornare le dipendenze di Brotli in tutti gli ambienti.
La chiave master di LiteLLM trapelata ha permesso agli aggressori di rubare i token di GitHub e di dirottare la pipeline di rilascio.
A fine maggio 2026, una chiave master della piattaforma Agent, trapelata in un repository pubblico di GitHub (LiteLLM-Labs/lite-harness), ha permesso agli aggressori di rubare i token di GitHub. Successivamente, l'autore della minaccia ha utilizzato l'accesso ottenuto illegalmente per dirottare la pipeline di rilascio di LiteLLM e pubblicare una versione dannosa del pacchetto Python.
- Cosa fare
- Ruota le chiavi API e i token GitHub esposti, controlla le pipeline di rilascio CI/CD e verifica l'integrità dei pacchetti LiteLLM.
La CISA segnala due vulnerabilità critiche attivamente sfruttate in Collabora Online e Arista VeloCloud.
CISA ha aggiunto le vulnerabilità CVE-2026-110447 (nel server CODE integrato di Collabora Online) e CVE-2026-114625 (in Arista VeloCloud Orchestrator) al suo catalogo di vulnerabilità note sfruttate, a seguito di attacchi reali. I bug consentono rispettivamente l'iniezione di comandi del sistema operativo e l'iniezione SQL.
- Cosa fare
- Aggiorna Collabora Online Built-in CODE Server alla versione 26.4.303 o successiva e applica le patch per Arista VeloCloud Orchestrator.
La falla nel decodificatore Brotli, responsabile dell'esecuzione di codice remoto (RCE) in Node.js, interessa anche Bun, Python e altri software ampiamente utilizzati.
Una falla di corruzione della memoria nel decodificatore Brotli di Google è presente in molti programmi che decomprimono dati compressi in Brotli, tra cui Bun, i pacchetti Python Brotli e brotlicffi e i proxy Envoy configurati per decomprimere Brotli.
- Perché è importante
- Poiché ogni applicazione interessata include una propria copia del decoder Brotli di Google, le organizzazioni che si affidano a questi runtime e proxy devono monitorare e applicare gli aggiornamenti dei singoli fornitori per impedire l'esecuzione del codice.
- Cosa fare
- Aggiornare i runtime e i pacchetti interessati, incluse le dipendenze di Bun, Envoy e Python Brotli, alle versioni corrette.
Google afferma che i dati di Gmail e Foto condivisi con la ricerca basata sull'intelligenza artificiale potrebbero essere utilizzati per annunci pubblicitari mirati.
Google ha aggiornato la sua informativa sulla privacy, in vigore dal 16 ottobre 2026, chiarendo che i dati condivisi da Google Foto, Gmail e Drive con le funzionalità di intelligenza artificiale in Ricerca o nelle app Gemini possono essere elaborati per fornire annunci pubblicitari mirati.
- Perché è importante
- Gli utenti e le organizzazioni che integrano dati personali o di Workspace nelle funzionalità di Ricerca Google e Gemini AI potrebbero esporre contenuti provenienti da Gmail, Foto e Drive alla personalizzazione degli annunci pubblicitari.
- Cosa fare
- Rivedi le impostazioni sulla privacy del tuo account Google per limitare la condivisione dei dati tra le app di Workspace e Ricerca/Gemini.
I ricercatori hanno rilasciato oltre 2 milioni di aggiornamenti per disabilitare da remoto l'aggiornamento di Popcorn Time che avrebbe potuto alimentare una botnet
L'azienda di sicurezza olandese Eye Security ha condotto l'Operazione IXIM, rilasciando oltre due milioni di aggiornamenti remoti per disabilitare un programma di aggiornamento in background vulnerabile (Updater.exe) nell'applicazione abbandonata Time4Popcorn. Il dominio non registrato interrogato dal programma di aggiornamento presentava il rischio di essere dirottato per una botnet su larga scala.
- Cosa fare
- Individua e rimuovi i software obsoleti non autorizzati come Time4Popcorn e blocca le connessioni a domini di aggiornamento non verificati.
Punti chiave
- Aggiornare le implementazioni del decoder Brotli in Node.js, Bun, Python ed Envoy per correggere la vulnerabilità di corruzione della memoria CVE-2026-111497.
- Patch per Collabora Online Built-in CODE Server (CVE-2026-110447) e Arista VeloCloud Orchestrator (CVE-2026-114625) a seguito degli avvisi della CISA.