AppSec · 6 ore fa
Wiz usa React2Shell, CVE-2025-55182, per dire che il problema non è contare i finding, ma capire quali siano davvero sfruttabili. Su un parco Next.js ampio, una falla in un componente condiviso può generare migliaia di alert sparsi tra repository e immagini container; senza contesto, la coda delle segnalazioni cresce più in fretta della capacità di assegnarle.
Il punto è collegare i finding alla realtà di esecuzione: quali istanze sono esposte a Internet e quali arrivano a dati sensibili. Solo così ASPM smette di fare da raccoglitore di alert e diventa uno strumento di priorità, perché lo stesso difetto può essere innocuo in molti punti e pericoloso in pochi altri.
Per i team che usano scanner separati per codice, container e cloud, la lezione è questa: la lista degli alert non coincide con la lista dei rischi. Senza corrispondenza tra codebase, runtime ed esposizione cloud, il rumore resta alto e le istanze che contano rischiano di restare in fondo.
Sfruttamento noto · CISA KEV
CVSS 10 CRITICAL: a pre-authentication remote code execution vulnerability exists in React Server Components versions 19.0.0, 19.1.0… Impiego noto in campagne ransomware. EPSS 100% (100º percentile).
Data di correzione federale CISA 12 dic · data superata
1 fonte che coprono questa storia
ASPM in the AI Era Pt 1: Centralize AppSec Scanners | Wiz Blog
Learn how to centralize your AppSec scanners, eliminate integration tax, and map code-to-cloud coverage with Wiz ASPM.
Part of the PlainSec briefing for 2026-10-14