Git hooks, alias e CVE-2024-32002: come la macchina di sviluppo diventa il vettore di persistenza più sottovalutato in una PMI
Le macchine degli sviluppatori sono il punto di ingresso preferito per cercare persistenza in una PMI. Git offre tre vettori ignorati: hooks locali in `.git/hooks/`, alias con prefisso `!` in `~/.gitconfig`, e CVE-2024-32002 che ha trasformato `git clone --recurse-submodules` in code execution. Cosa cercare in audit, e perché un endpoint developer compromesso vale più di un server. Continua a leggere
Ultima modifica:
Dalla backdoor di xz-utils scoperta da Andres Freund per un ritardo di 500ms sul login SSH al compromise di tj-actions/changed-files del marzo 2025, il 2024-2025 ha ridefinito cosa significhi "sicurezza della supply chain" per le PMI. Racconto il mio audit post-xz sui clienti PHP e Node, cinque contromisure operative e perché SBOM e SLSA nel 2026 sono il nuovo baseline. 
regreSSHion (CVE-2024-6387) ha riaperto un buco nella sshd di OpenSSH 18 anni dopo che era stato chiuso. Anatomia del race condition nel signal handler SIGALRM, perché il refactor del 2020 ha rimosso la fix originale, quanto era realisticamente sfruttabile su 64-bit, e l'hardening SSH che applico oggi alle PMI dopo aver patchato circa 200 server in produzione la notte del 1 luglio 2024. 
Bug bounty: alcune classi di vulnerabilità - DoS da password lunghe, bypass anti-bruteforce, rate limit aggirabili - non si risolvono con un fix tecnico ma con un threat model. Anatomia di un caso ricorrente da Django 2013 a Nextcloud 2022, le tre classi di mitigazioni che restano "non risolvibili", e come triagiare i report di bug bounty senza inseguire un gioco infinito. 
RFC 9457 (luglio 2023, IETF Standards Track) ha sostituito RFC 7807 come standard per i dettagli di errore nelle API HTTP, definendo il media type application/problem+json con cinque campi opzionali (type, title, status, detail, instance). Laravel 12 non lo implementa nativamente - il default è {"message": "Server Error"} - ma le renderable exceptions e withExceptions() in bootstrap/app.php permettono di conformarsi allo standard con codice minimale. 
Il middleware HTTP implementa il Chain of Responsibility pattern (GoF, 1994) e PSR-15 (PHP-FIG, 2018) lo ha standardizzato. Laravel 11 (PR #6188) ha eliminato Http/Kernel.php spostando la registrazione in bootstrap/app.php con API fluent. OWASP Security Headers Cheat Sheet documenta gli header che un middleware deve impostare per mitigare A05:2021 (Security Misconfiguration). Il terminable middleware esegue dopo l'invio della risposta - ideale per logging e analytics senza impatto sulla latenza. 
La PR #54331 di Laravel 12 (gennaio 2025) ha escluso gli SVG dalla regola image di default - un breaking change giustificato dal fatto che oltre 500 repository pubblici usavano image senza escludere SVG. Un file SVG è XML e può contenere tag script, event handler inline e foreignObject con HTML arbitrario. La validazione MIME non rileva questi payload. 
Una ricerca GitGuardian/Synacktiv del 2025 ha trovato 260.000 APP_KEY Laravel esposte su GitHub, con oltre 600 applicazioni vulnerabili a RCE. Laravel 11 ha introdotto la rotazione graceful delle chiavi e il rehashing automatico delle password - due funzionalità che riducono drasticamente il rischio. 
Negli applicativi gestionali per PMI, la validazione dei dati in ingresso è una prima linea di difesa spesso sottovalutata. Un semplice set di rule base può non bastare a prevenire data corruption o falle di sicurezza. Questo articolo esplora Custom Validation Rule e Form Request in Laravel 12 per costruire sistemi di validazione ingegnerizzati.