Briefing sicurezza4 min read2026-04-30

Briefing sicurezza, 30 aprile 2026: backdoor supply chain npm di SAP, auth bypass in cPanel e bug root Linux Copy Fail

Il tema di stamattina è semplice: quando l’infrastruttura fidata viene avvelenata, agli attaccanti non servono tecniche esotiche.

In breve: Tre storie meritano attenzione immediata questa mattina: pacchetti npm ufficiali di SAP sono stati manomessi per rubare segreti di sviluppatori e CI, cPanel e WHM hanno rilasciato una patch d’emergenza per un bypass critico di autenticazione, e i maintainer Linux stanno correndo per correggere la nuova privilege escalation Copy Fail.

1. Il compromesso npm di SAP punta dritto ai segreti di sviluppo e CI

Quattro pacchetti npm ufficiali di SAP legati al Cloud Application Programming Model e a Cloud MTA sono stati modificati con una catena preinstall malevola. Secondo BleepingComputer, Aikido e Socket, il payload scarica Bun, esegue uno stealer offuscato e cerca token GitHub, token npm, chiavi SSH, credenziali cloud, segreti Kubernetes e variabili d’ambiente CI/CD. Peggio ancora, sembrerebbe leggere direttamente la memoria dei runner e tentare l’autopropagazione con i token rubati.

Rimuovere subito le versioni compromesse e ruotare tutti i segreti di sviluppo, CI, cloud e GitHub presenti sugli host di build colpiti.
Riesaminare i flussi di pubblicazione e il perimetro dei token CI; i token di publish a lunga durata restano una pessima idea.
Trattare ogni installazione riuscita come un incidente di sicurezza, non come un normale aggiornamento di dipendenze.

2. La patch d’emergenza di cPanel per l’auth bypass non è manutenzione opzionale

cPanel e WHM hanno pubblicato un aggiornamento d’emergenza per CVE-2026-41940, un bypass di autenticazione con severità 9.8 che colpisce quasi tutte le versioni supportate tranne le più recenti. Namecheap ha bloccato temporaneamente le porte di amministrazione esposte prima ancora che i fix fossero disponibili, segnale chiaro della gravità. Se un attaccante entra in cPanel ottiene siti, posta, database e file di configurazione; se entra in WHM può possedere l’intero server di hosting e tutti i tenant ospitati.

Eseguire subito /scripts/upcp --force e verificare che il sistema sia davvero su una versione corretta.
Se 2083 o 2087 sono ancora esposte a internet, restringere l’accesso finché la copertura della patch non è provata.
Dare per scontato che i pannelli ospitati saranno sondati rapidamente: i bug nei control panel si monetizzano bene e in fretta.

3. Copy Fail offre agli attaccanti Linux un percorso post-compromise verso root brutalmente semplice

The Register riporta che la nuova falla Copy Fail, CVE-2026-31431, permette a un utente locale non privilegiato di scrivere quattro byte controllati nella page cache di qualunque file leggibile e trasformarli in root. Il PoC è minuscolo, evita i classici tripwire sugli eventi filesystem e l’impatto va ben oltre i laptop: container con kernel condiviso, runner CI e sistemi Linux multi-tenant sono proprio gli ambienti in cui una LPE locale diventa un rischio esterno reale dopo un primo foothold.

Patchare rapidamente i sistemi Linux, soprattutto worker CI, server condivisi, nodi Kubernetes e host che eseguono codice non fidato in locale.
Alzare la priorità delle LPE locali quando sono così affidabili; “solo locale” è triage pigra se esistono già web RCE o sessioni SSH rubate.
Cercare percorsi setuid sospetti e foothold recenti che potrebbero già essere concatenati con questa falla.

Cosa fare oggi

Partite dalla supply chain software, poi chiudete i control plane di hosting esposti e infine patchate i confini di privilegio Linux dove gli attaccanti possono già eseguire codice. Il fallimento comune qui è la fiducia cieca in infrastrutture che tutti davano per sicure.

Fonti

BleepingComputer sui pacchetti npm ufficiali SAP compromessi e le analisi aggiuntive di Aikido e Socket.
BleepingComputer su cPanel/WHM CVE-2026-41940 e sulla guida all’update d’emergenza.
The Register su CVE-2026-31431 “Copy Fail”, con riferimenti alle patch di Debian, Ubuntu, SUSE e Red Hat.