Pagina 3 di 4
Pensare come un attaccante è l'unico modo per difendersi davvero. Un penetration test non è scaricare uno scanner e leggere il report: è capire come i pezzi di un sistema si combinano in un percorso di compromissione che nessun tool automatico vede da solo. Questa categoria racconta la sicurezza offensiva applicata, con finalità difensiva.
Il primo tema è il metodo dell'attaccante: la ricognizione, lo sfruttamento della logica applicativa che il WAF non intercetta, il lateral movement, l'analisi di codice legacy per trovare le falle prima che lo faccia qualcun altro. Il valore non è nel singolo exploit, ma nel ragionamento che collega form di upload, credenziali deboli e servizi esposti in una catena.
Il secondo tema sono le CVE reali riprodotte in laboratorio: dall'RCE pre-auth nell'SSH di Erlang a regreSSHion, dalle vulnerabilità della supply chain come xz-utils ai bug dei tool dell'ecosistema AI. Capire un attacco eseguendolo in un ambiente controllato è ciò che permette poi di chiudere davvero la porta, con la sandbox e la documentazione che una ricerca responsabile richiede.
Il terzo tema è il fronte offensivo nuovo: la pipeline CI/CD come vettore di attacco sottovalutato, il container escape, e il mondo agentic, dalla prompt injection come compromissione di sistema all'over-broad token scoping di MCP.
Se vuoi un assessment offensivo della tua infrastruttura, vedi la consulenza cybersecurity e NIS2 o scrivimi.
Non puoi difendere quello che non capisci. E per capire un attacco, a volte, devi saperlo eseguire in un ambiente controllato.
In un engagement red team su un'azienda retail con tre VPS e un cluster Docker, siamo passati da un form upload con SSRF a root su tutti i server in 4 ore. Il percorso di attacco era banale ma invisibile dai tool di monitoring standard. Vi descrivo la catena di compromissione e le contromisure. Continua a leggere
La versione 2025 dell'OWASP Top 10 introduce cambiamenti significativi rispetto al 2021, in particolare sull'insecure design e sulla sicurezza del codice generato da AI. Ho analizzato 12 applicazioni PHP di clienti PMI contro il nuovo framework: i risultati mostrano pattern di vulnerabilità diversi rispetto a cinque anni fa. Continua a leggere
In un recente assessment su un gestionale Laravel per una PMI manifatturiera, ho trovato mass assignment non protetto, IDOR su quattro endpoint API, e un file .env esposto via misconfiguration Nginx. Nessuna di queste vulnerabilità richiedeva strumenti sofisticati per essere trovata - bastava sapere dove guardare. Continua a leggere
Un gestionale PHP 7.0 con 14 SQL injection, 23 punti XSS e un file phpinfo.php accessibile pubblicamente con tutte le credenziali visibili. L'audit che ho condotto in 3 giorni con grep, Psalm taint analysis e OWASP ZAP, e il piano di remediation che ha chiuso le 37 vulnerabilità critiche in due settimane. Continua a leggere
Le macchine degli sviluppatori sono il punto di ingresso preferito per cercare persistenza in una PMI. Git offre tre vettori ignorati: hooks locali in `.git/hooks/`, alias con prefisso `!` in `~/.gitconfig`, e CVE-2024-32002 che ha trasformato `git clone --recurse-submodules` in code execution. Cosa cercare in audit, e perché un endpoint developer compromesso vale più di un server. Continua a leggere
CVE-2025-32433 ha colpito il server SSH di Erlang/OTP con un pre-auth RCE da CVSS 10.0. Non è memory corruption: è una logic flaw nello state machine, che accetta CHANNEL_OPEN prima dell'autenticazione. Anatomia del bug, mappa dei componenti Erlang nascosti in produzione PMI (RabbitMQ, CouchDB, ejabberd) e cinque mitigation che applico dal maggio 2025. Continua a leggere
Dalla backdoor di xz-utils scoperta da Andres Freund per un ritardo di 500ms sul login SSH al compromise di tj-actions/changed-files del marzo 2025, il 2024-2025 ha ridefinito cosa significhi "sicurezza della supply chain" per le PMI. Racconto il mio audit post-xz sui clienti PHP e Node, cinque contromisure operative e perché SBOM e SLSA nel 2026 sono il nuovo baseline. Continua a leggere
regreSSHion (CVE-2024-6387) ha riaperto un buco nella sshd di OpenSSH 18 anni dopo che era stato chiuso. Anatomia del race condition nel signal handler SIGALRM, perché il refactor del 2020 ha rimosso la fix originale, quanto era realisticamente sfruttabile su 64-bit, e l'hardening SSH che applico oggi alle PMI dopo aver patchato circa 200 server in produzione la notte del 1 luglio 2024. Continua a leggere
Un anno dopo la quasi-shutdown del programma CVE/MITRE del 16 aprile 2025, il finanziamento è stato rinnovato ma la fragilità strutturale resta. Cosa è successo davvero, perché EUVD lanciato a maggio 2025 non è un sostituto pronto, e come una PMI italiana sotto NIS2 dovrebbe costruire una strategia di vulnerability management che non dipenda da un singolo punto di rottura. Continua a leggere
Bug bounty: alcune classi di vulnerabilità - DoS da password lunghe, bypass anti-bruteforce, rate limit aggirabili - non si risolvono con un fix tecnico ma con un threat model. Anatomia di un caso ricorrente da Django 2013 a Nextcloud 2022, le tre classi di mitigazioni che restano "non risolvibili", e come triagiare i report di bug bounty senza inseguire un gioco infinito. Continua a leggere
Tool gratuiti per l'analisi di sicurezza:
Audit JWT, Audit del composer.lock, Analisi security headers, Decodifica certificato SSL.
