.avif)
Bienvenido a nuestro blog.
Un crate de Rust comprometido ejecuta una operación de exfiltración de código
La versión v1.4.1 del crate «onering Rust» en crates.io, que presenta una vulnerabilidad, incluía un archivo «build.rs» malicioso que envía el cambio (diff) de tu última confirmación a un punto final alojado de Sentry cada vez que compilas.
.jpg)
Una vulnerabilidad crítica en phpBB, presente desde hace 10 años, afecta a decenas de millones de usuarios en miles de foros
Un momento, ¿qué puede hacer binding.gyp? Descubriendo el sistema de compilación más extraño de npm
Analicemos en profundidad binding.gyp, ese archivo de compilación de npm que suele pasarse por alto y que puede ejecutar código malicioso durante la instalación mediante expansiones de shell, fugas del entorno de pruebas y secuestro del compilador.
Estado de la IA en Seguridad y Desarrollo 2026
Nuestro nuevo informe recoge las voces de 450 líderes de seguridad (CISOs o equivalentes), desarrolladores e ingenieros de AppSec de toda Europa y EE. UU. Juntos, revelan cómo el código generado por IA ya está causando problemas, cómo la proliferación de herramientas está empeorando la seguridad y cómo la experiencia del desarrollador está directamente ligada a las tasas de incidentes. Aquí es donde la velocidad y la seguridad chocan en 2025.
Vulnerabilidades y amenazas
Elimina el ruido con análisis detallados de CVEs reales, análisis de malware, exploits y riesgos emergentes.
Noticias
Nuestra perspectiva sobre las historias que están dando forma a la seguridad del software en este momento
Casos de éxito
Descubre cómo equipos como el tuyo utilizan Aikido para simplificar la seguridad y desplegar con confianza.
Actualizaciones de producto y empresa
Novedades en Aikido: desde lanzamientos de productos hasta grandes logros en seguridad.
Metamorfosis de la seguridad: una lista de verificación de arquitectura preparada para Mythos para ataques de IA autónomos
AppSec se ha estancado ante la complejidad moderna. El Proyecto Glasswing y la era Mythos exigen una disciplina de seguridad que opere a la velocidad de las amenazas a las que se enfrenta.
Es hora de tratar las extensiones de navegador como vectores de ataque de la cadena de suministro
La brecha de Vercel siguió un patrón bien conocido en la industria de la seguridad, donde el código de terceros se confía implícitamente y luego se ve comprometido en la cadena de suministro. Tenemos un marco para ello. Simplemente aún no lo hemos aplicado a las extensiones de navegador. (Spoiler: Hacemos esto para las dependencias de software)
¿Ha vuelto Shai-Hulud? La CLI de Bitwarden comprometida contiene un gusano npm auto-propagable
Se ha encontrado malware en @bitwarden/cli v2026.4.0 que roba claves SSH, secretos de la nube y credenciales de herramientas de codificación de IA, y luego se propaga a través de los propios paquetes npm de las víctimas. En su interior: un gusano que se autodenomina "Shai-Hulud: The Third Coming."
Múltiples vulnerabilidades de cross-site scripting (XSS) en Mailcow
Los agentes de pentesting de IA de Aikido encontraron tres vulnerabilidades XSS en Mailcow, un servidor de correo electrónico autohospedado ampliamente utilizado. La más grave permitía a atacantes no autenticados inyectar una carga útil en los registros de Autodiscover que se ejecutaría cuando un administrador los visualizara, permitiendo la toma de control total de la cuenta. Las tres han sido corregidas desde la versión 2026-03b.
Axios CVE-2026-40175: un error crítico que... no es explotable
Axios CVE-2026-40175 está clasificado como crítico, pero en entornos reales de Node.js no es prácticamente explotable. Aquí está el porqué.
El Bug bounty no está muerto, pero el modelo antiguo está fallando
El Bug bounty está alcanzando un punto crítico a medida que la IA abruma los programas, impulsando un cambio hacia modelos de seguridad más sostenibles y centrados en la calidad.
Aikido Attack encuentra múltiples 0-days en Hoppscotch
Aikido Attack identificó tres vulnerabilidades de alta gravedad en Hoppscotch: una redirección abierta que lleva a la toma de control de cuentas, XSS almacenado y un problema de control de acceso roto que permite la inyección de solicitudes entre equipos.
Extensión fast-draft Open VSX Comprometida por BlokTrooper
Una popular extensión de Open VSX fue comprometida y utilizada para desplegar un RAT y un infostealer desde una infraestructura controlada por el atacante. Su historial de versiones cuenta la verdadera historia, con lanzamientos maliciosos apareciendo entre los limpios.
Glassworm ataca paquetes populares de React Native para números de teléfono
Dos populares paquetes npm de React Native fueron comprometidos con puertas traseras por presuntos actores de Glassworm y utilizados para distribuir malware de múltiples etapas. A continuación, se explica qué hace el malware y qué aspectos observar.
¿Cómo los equipos de seguridad se defienden de los hackers impulsados por IA?
Un solo hacker y una suscripción a Claude acaban de derribar nueve agencias gubernamentales mexicanas. La IA ha proporcionado a los atacantes una mejora de poder significativa. Los equipos de seguridad necesitan un nuevo manual de estrategias.
Un año de Opengrep: Qué hemos construido y qué sigue
Un año después de bifurcar Semgrep, Opengrep es más rápido, soporta un análisis de taint más profundo y produce resultados consistentes y reproducibles.
Aikido se integra con AWS Kiro: Detectar en la revisión ya no es escalable
Agentes de IA escribiendo su código. Aikido se integra directamente en el flujo de trabajo agéntico de AWS Kiro para mantener la seguridad en el ciclo, automáticamente, desde la primera línea. Aikido es el primer socio de seguridad global de AWS para Kiro.
Una vulnerabilidad crítica en phpBB, presente desde hace 10 años, afecta a decenas de millones de usuarios en miles de foros
Aikido Security una vulnerabilidad crítica en phpBB que permite eludir la autenticación sin necesidad de credenciales y que afecta a decenas de millones de usuarios. Basta con una sola solicitud HTTP para hacerse con el control de cualquier cuenta, una vulnerabilidad que llevaba presente en el código desde 2014.
Un momento, ¿qué puede hacer binding.gyp? Descubriendo el sistema de compilación más extraño de npm
Analicemos en profundidad binding.gyp, ese archivo de compilación de npm que suele pasarse por alto y que puede ejecutar código malicioso durante la instalación mediante expansiones de shell, fugas del entorno de pruebas y secuestro del compilador.
Las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026
Descubre las 12 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución DAST adecuada para tu pipeline de DevSecOps.
Una lista de verificación de seguridad práctica para CTOs para estar preparados para Mythos
Una lista de verificación práctica para CTOs de SaaS que navegan por un mundo con Mythos y amenazas de IA agéntica. Construida en torno a la ventaja del defensor: usted tiene el contexto que los atacantes tienen que esforzarse por obtener. Cubre los controles, las prácticas y los hábitos operativos que determinan si su equipo encuentra y corrige los problemas antes de que lo haga otra persona.
Las pruebas de seguridad validan software que ya no existe
Los equipos modernos entregan más rápido de lo que el pentesting puede seguir el ritmo. Explore la creciente brecha de velocidad en las pruebas de seguridad y por qué los enfoques tradicionales se están quedando atrás.
Lo que el pentesting continuo realmente requiere
El pentesting continuo promete una validación de seguridad en tiempo real, pero la mayoría de las implementaciones se quedan cortas. Esto es lo que el pentesting continuo realmente requiere: desde pruebas conscientes del cambio hasta la validación de exploits y los bucles de remediación.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
