Gli hacker scansionano i server Vite esposti alla ricerca di segreti AWS, Azure e di deployment

Gli attaccanti stanno conducendo una campagna di scansione su larga scala contro server di sviluppo Vite accessibili da Internet, tentando di estrarre credenziali cloud, token di accesso, file di ambiente e dati per la gestione dell’infrastruttura.

F5 ha rilevato più di 800 attacchi e circa 32.000 eventi grezzi nell’arco di un mese. Il principale obiettivo è CVE-2026-39364, una vulnerabilità ad alta gravità nell’accesso ai file che interessa le versioni recenti di Vite, ma gli scanner stanno verificando anche diversi bypass dei controlli di accesso più datati.

L’attività sfrutta un errore di configurazione pericoloso: l’esposizione di un server di sviluppo che, in condizioni normali, dovrebbe ascoltare solo su localhost. Le organizzazioni possono creare questa esposizione tramite l’opzione --host di Vite, l’impostazione server.host o configurazioni errate delle porte Docker.

I parametri di query trasformano le richieste di file in un bypass di sicurezza

CVE-2026-39364 consente a un attaccante remoto non autenticato di manipolare i parametri di query nelle richieste HTTP GET e aggirare le restrizioni di Vite sulla lettura dei file. La vulnerabilità ha un punteggio CVSS di 7.5 e il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

Le versioni interessate sono:

• Vite dalla 7.1.0 alla 7.3.2
• Vite 8.x precedenti alla 8.0.5

La vulnerabilità è stata divulgata il 7 aprile. Non è stato specificato se risulti nello stato CISA Known Exploited Vulnerabilities.

Gli attaccanti utilizzano costruzioni di query tra cui:

?raw
?import&raw
?import&url&inline

Su un server vulnerabile, questi parametri possono interferire con i controlli progettati per impedire l’accesso a file protetti o al di fuori dell’ambito previsto. Anziché rifiutare la richiesta, Vite potrebbe restituire il contenuto richiesto in formato plaintext con una risposta HTTP 200.

La scansione comprende anche varianti di path traversal e di codifica. Alcune richieste usano sequenze di traversal codificate due volte, che potrebbero superare la normalizzazione di un reverse proxy o di un web application firewall prima di raggiungere Vite.

Questo, di per sé, non consente l’esecuzione di codice. L’impatto immediato sulla sicurezza è la perdita di riservatezza, ma il materiale sottratto può fornire tutto il necessario per compromettere ulteriormente il cloud, il deployment o l’host.

Gli scanner cercano chiavi cloud e informazioni sullo stato dell’infrastruttura

La campagna utilizza wordlist estese anziché concentrarsi su un singolo file. Tra gli obiettivi più comuni figurano .env, .env.production, .env.local e altri file di variabili d’ambiente che gli sviluppatori usano frequentemente per conservare i segreti applicativi.

Gli attaccanti stanno inoltre sondando diversi percorsi nelle home directory alla ricerca di file di configurazione AWS, credenziali e copie di backup. Le credenziali e i token di accesso Azure rappresentano un altro obiettivo prioritario.

I dati relativi all’infrastructure-as-code sono particolarmente preziosi. I file di stato Terraform possono esporre identificativi delle risorse, configurazioni dei provider, architettura interna e segreti memorizzati nello stato. I file delle variabili Terraform possono contenere credenziali utilizzate per predisporre o modificare le risorse cloud. I file di configurazione e di stato Serverless possono rivelare informazioni analoghe sul deployment.

Le richieste osservate durante la campagna hanno preso di mira anche percorsi del sistema operativo come:

/proc/self/environ
/proc/1/environ
/proc/self/cwd/.env
/etc/passwd

I file di ambiente /proc possono rivelare segreti passati ai processi applicativi o ai container durante l’esecuzione. /etc/passwd in genere non contiene gli hash delle password, ma può rivelare nomi degli account, directory home, identità dei servizi e altri dettagli utili per attacchi successivi.

Una richiesta andata a buon fine potrebbe esporre chiavi di accesso a lunga durata, credenziali cloud temporanee, segreti CI/CD, chiavi di deployment, percorsi interni e configurazioni applicative. Gli attaccanti potrebbero quindi utilizzare queste credenziali indipendentemente dal server Vite, facendo apparire le attività successive nei servizi cloud anziché sull’host inizialmente colpito.

Le vecchie vulnerabilità di Vite restano nell’arsenale degli attaccanti

Gli indirizzi sorgente più attivi non hanno limitato le richieste a CVE-2026-39364. F5 ha rilevato anche tentativi associati a CVE-2025-30208, CVE-2025-31125 e CVE-2024-45811.

CVE-2025-30208 ha un punteggio CVSS di 5.3. Riguarda il meccanismo @fs di Vite, che dovrebbe limitare l’accesso ai file al di fuori dell’elenco consentito configurato per la pubblicazione. Forme di query come ?raw?? e ?import&raw?? possono aggirare questo controllo, perché i separatori finali vengono gestiti in modo incoerente durante l’elaborazione della richiesta.

La scheda del prodotto nel NVD identifica vitejs vite < 4.5.10, mentre le informazioni più dettagliate sulle versioni interessate indicano correzioni nelle versioni:

• 4.5.10
• 5.4.15
• 6.0.12
• 6.1.2
• 6.2.3

CVE-2025-31125, anch’essa con un punteggio di 5.3, utilizza forme correlate della stringa di query, come ?inline&import e ?raw?import, per esporre file che non dovrebbero essere pubblicati. Le correzioni sono disponibili in Vite 4.5.11, 5.4.16, 6.0.13, 6.1.3 e 6.2.4.

CISA ha aggiunto CVE-2025-31125 al catalogo KEV il 22 gennaio 2026. Le agenzie federali statunitensi avevano come scadenza per la remediation il 12 febbraio 2026. L’azione richiesta da CISA consiste nell’applicare le misure di mitigazione del vendor, seguire le indicazioni BOD 22-01 applicabili ai servizi cloud oppure interrompere l’utilizzo del prodotto quando non è disponibile alcuna mitigazione.

Questa voce del catalogo KEV dimostra che lo sfruttamento dei controlli di Vite sull’accesso ai file precede la campagna segnalata di recente. Le scansioni attuali mostrano che gli attaccanti continuano a verificare diverse generazioni della stessa debolezza generale, contro qualunque versione risponda.

CVE-2024-45811 ha un punteggio CVSS di 4.8. Sulla base delle informazioni disponibili sulla campagna, non sono note le versioni esatte interessate né le correzioni.

L’infrastruttura cloud nasconde la posizione degli operatori

Gran parte del traffico osservato era associata a Stati Uniti, Belgio e Paesi Bassi. Tuttavia, alcune richieste sono transitate attraverso intervalli di indirizzi Google Cloud, riducendo il valore della geolocalizzazione ai fini dell’attribuzione.

I tre indirizzi sorgente dannosi più attivi identificati da F5 erano:

34.14.15[.]105
34.16.200[.]129
34.11.196[.]206

F5 raccomanda di bloccare questi indirizzi. I difensori dovrebbero considerarli indicatori iniziali e non un insieme completo di elementi per il rilevamento, perché l’infrastruttura di scansione può essere sostituita rapidamente.

Le richieste che assomigliano a quelle dei normali crawler non devono essere considerate automaticamente affidabili. Un attaccante può impostare un’intestazione User-Agent familiare o apparentemente innocua senza modificare il traffico di exploit sottostante.

I server esposti richiedono l’applicazione delle patch e la rotazione delle credenziali

Gli amministratori dovrebbero aggiornare Vite all’ultima versione disponibile e verificare che quella installata risolva ogni vulnerabilità pertinente. Per CVE-2026-39364, questo significa passare a una versione successiva alla 7.3.2 oppure utilizzare Vite 8.0.5 o successive all’interno dei rami documentati.

I server di sviluppo non dovrebbero essere accessibili direttamente da Internet. I team dovrebbero verificare --host, server.host, il networking dei container, la pubblicazione delle porte Docker, le regole firewall e gli ambienti di test temporanei che potrebbero essere rimasti online.

L’accesso esterno alla porta TCP 5173, utilizzata dal server di sviluppo Vite in questa campagna, dovrebbe essere bloccato salvo esigenze operative documentate. I team di sicurezza dovrebbero inoltre monitorare le richieste che contengono /@fs/, le combinazioni di query note, sequenze di traversal codificate e tentativi di accesso a file cloud o di ambiente.

L’applicazione delle patch, da sola, non è sufficiente se un server vulnerabile è stato precedentemente esposto al pubblico. Le organizzazioni dovrebbero presumere che i segreti leggibili possano essere stati raccolti senza lasciare tracce oltre ai normali log di accesso HTTP.

Le credenziali AWS potenzialmente esposte, i token Azure, i segreti CI/CD, le variabili d’ambiente, le credenziali Terraform, i segreti di deployment Serverless e le chiavi applicative dovrebbero essere revocati o ruotati. Successivamente, i log di audit cloud dovrebbero essere verificati alla ricerca di autenticazioni impreviste, attività di ricognizione delle risorse, modifiche ai privilegi o utilizzi provenienti da infrastrutture sconosciute.

Anche gli artefatti Terraform e Serverless richiedono una verifica dell’integrità. Gli attaccanti che hanno ottenuto credenziali valide potrebbero aver modificato le risorse cloud senza alterare direttamente l’host Vite.

La domanda fondamentale non è semplicemente se nei log locali compaia lo sfruttamento. È se il server di sviluppo potesse restituire file sensibili mentre era raggiungibile. Se la risposta è sì, la gestione dell’incidente dovrebbe procedere come un’indagine sull’esposizione delle credenziali.