Applicazione Laravel compromessa via APP_KEY su GitHub: forensics, contenimento e ripristino in cinque giorni
Un CRM Laravel 9 per una PMI logistica veneta è stato compromesso perché un file .env con l'APP_KEY era stato committato su un repository GitHub pubblico due anni prima. L'attaccante ha sfruttato CVE-2018-15133 per ottenere esecuzione remota di codice tramite cookie deserializzato, ha piantato una backdoor in un comando Artisan e ha esfiltrato 4.200 record clienti. Cinque giorni di lavoro: contenimento senza distruzione delle prove, forensics applicativa, remediation e hardening permanente. Continua a leggere
Ultima modifica:
Quando un'applicazione Laravel cresce oltre le capacità di un hosting condiviso, la migrazione verso un VPS diventa inevitabile. Il problema è che molte PMI la affrontano come un trasloco meccanico, quando in realtà è una transizione architetturale che richiede pianificazione, hardening e verifica. In questo articolo racconto il metodo che applico nelle migrazioni reali, con le trappole più comuni e le decisioni che fanno la differenza tra un passaggio pulito e settimane di problemi. 
CVE-2025-32433 ha colpito il server SSH di Erlang/OTP con un pre-auth RCE da CVSS 10.0. Non è memory corruption: è una logic flaw nello state machine, che accetta CHANNEL_OPEN prima dell'autenticazione. Anatomia del bug, mappa dei componenti Erlang nascosti in produzione PMI (RabbitMQ, CouchDB, ejabberd) e cinque mitigation che applico dal maggio 2025. 
I cinque principi di sicurezza che qualunque manuale elenca al capitolo uno - defense in depth, least privilege, separation of duties, secure by design, KISS - sono facili da conoscere e difficili da applicare in una PMI italiana da 5 a 40 persone. Racconto come li spiego ai clienti, gli errori più comuni che vedo in audit, e il principio anti-sicurezza che uccide chi ci crede. 
Il Verizon DBIR 2025 conferma che il 60% delle violazioni coinvolge il fattore umano (errore, manipolazione, abuso di credenziali). KnowBe4 documenta che il 33.1% dei dipendenti clicca su email di phishing simulato prima del training, ma dopo 12 mesi di formazione continua il click rate scende al 4.1% - una riduzione dell'86%. NIS2 (Articolo 21, comma 2, lettera g) rende la formazione cybersecurity un obbligo normativo per tutte le entità essenziali e importanti. 
Il report ITIC 2024 stima che le PMI perdono da $8K a $25K per ogni ora di downtime. Il monitoraggio proattivo con Prometheus e Grafana, basato su metodo RED (Rate, Errors, Duration) per i servizi e USE (Utilization, Saturation, Errors) per l'infrastruttura, sposta l'alerting da "il server è giù" a "il budget di errore si sta esaurendo" - prevenendo gli incidenti prima che impattino gli utenti. 
Senza un efficace hardening dei server, la tua azienda è vulnerabile a gravi attacchi informatici. Scopri perché implementare subito questa strategia è cruciale per garantire sicurezza, compliance normativa e continuità operativa. 
Un incidente IT mal gestito può bloccare la tua azienda e causare perdite irreparabili. Scopri perché adottare subito una strategia di Incident Management efficace è cruciale per garantire sicurezza, continuità operativa e competitività. 
La maggior parte delle PMI italiane tratta la sicurezza come un controllo finale prima del rilascio. Il DevSecOps capovolge questo approccio, integrando analisi statica (SAST), analisi dinamica (DAST) e scansione delle dipendenze (SCA) direttamente nella pipeline CI/CD. Questo articolo mostra come implementarlo concretamente con strumenti open source. 
L'adozione di tecnologie open source non è più una scelta tecnica ma strategica. Questo articolo analizza i benefici concreti per le PMI - dal controllo sul codice alla riduzione del TCO - affrontando anche i rischi delle licenze, la fine di CentOS e le alternative moderne, con dati aggiornati sull'adozione enterprise.