Notizie - ICT Security Magazine

Plugin WordPress di Awesome Motive avvelenati via CDN: la fiducia nello script di terze parti diventa la porta d’ingresso
A cura di:Redazione Pubblicato il16 Giugno 202616 Giugno 2026

Un attaccante ha manomesso gli script JavaScript di tre plugin WordPress di Awesome Motive (PushEngage, OptinMonster, TrustPulse) serviti via CDN, impiantando una backdoor invisibile alla dashboard e attivata solo per gli amministratori autenticati. Oltre 1,2 milioni di siti potenzialmente esposti: a cedere non è una vulnerabilità del sito, ma la fiducia in uno script di terze parti.

Leggi di più Plugin WordPress di Awesome Motive avvelenati via CDN: la fiducia nello script di terze parti diventa la porta d’ingresso
SearchLeak: un solo clic trasformava Microsoft 365 Copilot in uno strumento di esfiltrazione
A cura di:Redazione Pubblicato il16 Giugno 202616 Giugno 2026

Varonis ha dimostrato come un singolo clic su un link in dominio Microsoft autentico potesse trasformare Microsoft 365 Copilot Enterprise Search in un canale di furto dati. La falla, SearchLeak (CVE-2026-42824), è stata corretta da Microsoft sul backend, ma ridefinisce il modello di minaccia degli assistenti AI in ambito enterprise: la prompt injection riattiva bug web classici come SSRF e race nei sanitizzatori.

Leggi di più SearchLeak: un solo clic trasformava Microsoft 365 Copilot in uno strumento di esfiltrazione
Commissione UE, proposto un “Tech sovereignty package” per l’autonomia digitale europea
A cura di:Redazione Pubblicato il15 Giugno 2026

Nell’odierno dibattito sulla sicurezza informatica, la sovranità digitale riveste un ruolo fondamentale. Come hanno dimostrato i recenti squilibri geopolitici, la dipendenza da tecnologie di provenienza estera può infatti trasformarsi in un elemento di vulnerabilità critica per gli Stati: ciò ogniqualvolta eventi imprevedibili (sia naturali, sia umani) colpiscano le complesse catene di approvvigionamento del mercato tecnologico,…

Leggi di più Commissione UE, proposto un “Tech sovereignty package” per l’autonomia digitale europea
Deepfake: non il falso che crediamo, ma il vero che possiamo negare
A cura di:Redazione Pubblicato il15 Giugno 202611 Giugno 2026

Il deepfake non ci farà credere al falso, ma ci permetterà di non credere più al vero. E la prova migra dalla cosa alla firma di chi la rivendica.

Leggi di più Deepfake: non il falso che crediamo, ma il vero che possiamo negare
Velvet Ant, dieci anni dentro il sistema di login: l’APT cinese che riscrive la fiducia nelle reti isolate
A cura di:Redazione Pubblicato il15 Giugno 202615 Giugno 2026

Velvet Ant ha modificato PAM e OpenSSH per spiare una rete isolata per quasi dieci anni: l’APT cinese e la difesa che si sposta dal patch alla verifica di integrità.

Leggi di più Velvet Ant, dieci anni dentro il sistema di login: l’APT cinese che riscrive la fiducia nelle reti isolate
AI red teaming: testare un’AI non è fare un penetration test
A cura di:Redazione Pubblicato il15 Giugno 20269 Giugno 2026

L’AI red teaming non è un penetration test: collauda il comportamento probabilistico dei modelli e degli agenti. Metodo, framework OWASP e MITRE ATLAS, metriche.

Leggi di più AI red teaming: testare un’AI non è fare un penetration test
Pink, l’extortion brand che entra in azienda con una telefonata di vishing
A cura di:Redazione Pubblicato il14 Giugno 202614 Giugno 2026

Il gruppo di estorsione Pink (cluster CL-CRI-1147) ottiene l’accesso iniziale via vishing, aggira l’MFA con il furto della sessione ed esfiltra dati da SharePoint, OneDrive e Teams, senza alcuna cifratura. Una minaccia che sposta il rischio dal piano tecnico a quello umano.

Leggi di più Pink, l’extortion brand che entra in azienda con una telefonata di vishing
Secrets management: il segreto migliore è quello che non esiste
A cura di:Redazione Pubblicato il14 Giugno 20269 Giugno 2026

Il secrets management non si risolve con una cassaforte migliore: contano il secret sprawl, la rotazione, i segreti dinamici e l’autenticazione keyless. La guida.

Leggi di più Secrets management: il segreto migliore è quello che non esiste
Vulnerability management risk-based: CISA con la BOD 26-04 ordina di dare priorità al rischio reale
A cura di:Redazione Pubblicato il14 Giugno 202613 Giugno 2026

Vulnerability management risk-based: il 10 giugno la CISA ha emanato la direttiva BOD 26-04, che impone alle agenzie federali priorità di patching basate sull’exploit reale e non più sul solo CVSS. Il giorno dopo, nuovi advisory ICS su Yarbo, Naxclow e Brickcom mostrano sul campo lo stesso profilo di rischio.

Leggi di più Vulnerability management risk-based: CISA con la BOD 26-04 ordina di dare priorità al rischio reale
Detection engineering: il rilevamento come codice, non come artigianato del SOC
A cura di:Redazione Pubblicato il14 Giugno 20269 Giugno 2026

La detection engineering nasce per colmare uno squilibrio che il report M-Trends 2026 di Mandiant misura con precisione: nelle intrusioni analizzate l’accesso iniziale passa da chi lo ottiene a chi lo sfrutta in una mediana di ventidue secondi, e lo sfruttamento di vulnerabilità resta il primo modo per entrare, per il sesto anno consecutivo, con…

Leggi di più Detection engineering: il rilevamento come codice, non come artigianato del SOC

La Prima Rivista Italiana Dedicata alla Sicurezza Informatica

ICT Security Magazine

Argomenti

ISCRIVITI ALLA NEWSLETTER DI ICT SECURITY MAGAZINE