Netcrook
08 Giugno 2026
Quando un percorso VPN deprecato diventa la porta d'ingresso
Una falla critica di Check Point legata a IKEv1 mostra come un errore di convalida del certificato nell'accesso remoto possa trasformarsi in un rischio di bypass della password.
Due falle ad alta gravità mettono sotto i riflettori il livello metriche di Spring
Un avviso di sicurezza ha segnalato due vulnerabilità gravi in Micrometer per Spring, ricordando ai difensori che il codice di osservabilità è pur sempre codice di produzione.
Dentro la catena UniFi OS che potrebbe trasformare una barriera di accesso in controllo root
Una presunta catena pre-autenticazione in UniFi OS mostra come vulnerabilità già corrette possano ancora combinarsi in una compromissione ad alto rischio del piano di controllo.
Dentro il pannello di amministrazione: le falle XSS di VMware trasformano schermate fidate in terreno rischioso
Molteplici problemi di cross-site scripting memorizzato in VMware Cloud Foundation Operations mostrano come un singolo modulo web, widget o campo di policy possa mettere a rischio il confine di fiducia di un piano di controllo per cloud privato.
Quando un plugin per moduli diventa un esecutore di codice: il rischio RCE di Everest Forms
Una vulnerabilità collegata a Everest Forms è stata associata all'esecuzione di codice remoto sui siti WordPress, e il record tecnico punta a una classica zona a rischio: input dell'utente che raggiunge PHP eseguibile.
Una patch VPN, un collegamento al ransomware e una lezione più ampia sui perimetri fidati
La correzione d’emergenza di Check Point per una falla critica nella VPN mostra quanto rapidamente un bug di accesso remoto possa trasformarsi in un punto di ingresso di alto valore, anche prima che i difensori ne conoscano la piena portata.
Patch o panico: sei falle in una smart camera trasformano il firmware nel vero perimetro di sicurezza
Un aggiornamento per TP-Link Tapo C520WS v2 chiude sei vulnerabilità, e il caso mostra perché una camera IoT va trattata come un computer in rete, non solo come una lente sul muro.
Il tranello dell'efficienza di HTTP/2 si trasforma in un avviso di DoS
Una CVE recentemente segnalata con codice proof-of-concept pubblico mostra come le funzionalità a livello di protocollo possano passare da acceleratori di prestazioni a rischi per la disponibilità.
Il firmware dei router sotto pressione con l'emergere di falle GL.iNet ad alta gravità
Un avviso nazionale del CSIRT segnala diverse vulnerabilità GL.iNet, tra cui tre classificate come ad alta gravità, con la possibilità di esecuzione remota di codice arbitrario se lo sfruttamento ha successo.
Redis, replica e un pericoloso caso limite che può sfociare in compromissione
Una vulnerabilità Redis appena tracciata mostra come un bug di memoria con autenticazione possa diventare molto più grave quando il comportamento della replica e le impostazioni di runtime si allineano nel modo sbagliato.
Vecchio plumbing grafico, nuova pressione sulle patch: le vulnerabilità di X.Org e Xwayland mettono in allerta i desktop Unix-like
Nove vulnerabilità nel server X.Org X e in Xwayland mostrano come un livello di compatibilità possa ancora comportare rischi concreti per la disponibilità e i confini dei privilegi.
La tempesta di correzioni 429 di Chrome espone il lato più pericoloso del browser
Un enorme aggiornamento del canale stabile per Chrome 149 mostra come il codice grafico, i confini della sandbox e i tempi delle patch possano trasformare un normale refresh del browser in un evento di sicurezza ad alta priorità.
Il livello operativo di VMware subisce un attacco XSS memorizzato
L'urgente advisory di Broadcom sulla patch mette in evidenza i difetti della console di gestione che possono trasformare normali campi di testo in percorsi di esecuzione lato browser.
Quando un segreto del CMS trapela, l'intera catena di fiducia inizia a vacillare
Un avviso di maggio 2026 su Sitefinity CMS e Sitefinity Insight mostra come un singolo account compromesso possa trasformarsi in un problema di accesso più ampio nelle piattaforme aziendali connesse.
Quando la segnalazione vocale perde la sua armatura: il gap di integrità VoLTE di Verizon
Una CVE segnalata collegata a Verizon VoLTE/IMS indica un problema telecom più profondo: cosa succede quando la segnalazione SIP raggiunge il percorso di rete senza la protezione che dovrebbe avere.
Quando un file server cede, il business lo sente per primo
Una vulnerabilità raggiungibile in rete in SolarWinds Serv-U mostra come una singola richiesta malformata possa trasformare una piattaforma di trasferimento file in un problema di disponibilità.
Quando una replica diventa ostile: una catena di bug in Redis trasforma l'accesso post-autenticazione in una possibile esecuzione di codice sul server
Una vulnerabilità dipendente dalla configurazione in Redis mostra come la logica di replica e lo scripting lato server possano ampliare il raggio d'azione ben prima che un attaccante raggiunga il perimetro di rete.
Quando il cane da guardia morde a sua volta: il driver firewall di Comodo finisce nel mirino
Una falla ad alta gravità in Comodo Internet Security accende i riflettori su un punto debole familiare nella cybersecurity: il driver privilegiato che dovrebbe ispezionare il traffico, non diventare la superficie d’attacco.
Quando un piano di gestione si apre, l'host è il premio
Una catena di vulnerabilità critica in UniFi OS Server mostra come un controllo degli accessi compromesso, la gestione dei percorsi e l'iniezione di comandi possano trasformare una superficie di amministrazione fidata in un rischio a livello root.
Le richieste POST costruite ad arte portano SolarWinds Serv-U nella lista dei crash
Una falla non autenticata in SolarWinds Serv-U può essere attivata con richieste POST appositamente costruite e, negli exploit segnalati, portare il servizio al crash.