Bienvenido a nuestro blog.

La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios

Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.

Checkmarx vs Fortify: SAST, Reglas personalizadas y corrección

Checkmarx Fortify: Comparación entre Enterprise y SAST

Compara Checkmarx , OpenText yFortify en cuanto a SAST : profundidad, compatibilidad con idiomas, rendimiento de los análisis, integración con CI/CD, generación de informes y opciones de implementación.

Orca Security Wiz: Riesgos, soluciones y costes de la nube

Orca Security vs Wiz: Comparativa entre las plataformas de « CNAPP »

Compara Orca Security y Wiz para conocer las soluciones de análisis en la nube sin agentes, las vías de ataque, la visibilidad de las cargas de trabajo, la priorización y las consideraciones para la implantación en la empresa.

Grype frente a Trivy: análisis y corrección de contenedores

Grype frente a Trivy: comparación de escáneres de código abierto

¿Grype o Trivy? Compara la detección de CVE en contenedores y paquetes, la compatibilidad con SBOM , escaneo IaC, la integración con CI y el mantenimiento para equipos de seguridad.

Revenera frente a Snyk: SCA, correcciones relacionadas con las licencias y las dependencias

Revenera contra « Snyk »: « SCA » y la seguridad de la cadena de suministro

Compara Revenera FlexNet Code Insight con Snyk en cuanto a inventario de código abierto, cumplimiento de licencias, detección de vulnerabilidades, SBOM y flujos de trabajo de corrección.

Checkmarx Veracode: , flujos de trabajo y precios SAST

Checkmarx Comparativa entre Veracode, SAST y AppSec

Antes de elegir una plataforma, compara Checkmarx y Veracode en cuanto a SAST, SCA, los flujos de trabajo de los desarrolladores, la implementación, la clasificación de incidencias y los requisitos empresariales.

Burp Suite ¿OWASP o « ZAP »? ¿Cuál se adapta mejor a tu flujo de trabajo de pruebas?

Burp Suite Comparativa entre OWASP ZAP y DAST : herramientas comparadas

Compara Burp Suite con OWASP ZAP en cuanto a pruebas de aplicaciones web, automatización, extensibilidad y precios. Descubre cuándo es más adecuado utilizar una solución comercial o de código abierto DAST .

Astrix Security frente a GitGuardian: Secrets y NHI Security

Astrix Security frente a GitGuardian: Secrets & NHI Security

Compara Astrix y GitGuardian en materia de seguridad de identidades no humanas, detección de secretos, detección de vulnerabilidades, corrección y flujos de trabajo de los desarrolladores.

Incluso «gem list» puede ejecutar el código de otra persona

Las gemas de Ruby pueden ejecutar código durante la instalación y cada vez que se ejecuta un comando «gem», incluso «gem list». Comprueba si hay cuatro gemas que filtran datos y desactiva la ejecución durante la instalación.

Eliminar una clave filtrada de tu repositorio no te protege

Eliminar la clave filtrada de tu repositorio no te protege

Una clave de administrador filtrada en GitHub, que se eliminó a las pocas horas, provocó una filtración de datos meses más tarde en LiteLLM. Descubre por qué el historial de Git guarda secretos y por qué es necesario rotar las claves.

Superar los retos de la ciberseguridad hasta finales de 2026

CodeRabbit vs Greptile: ¿Qué revisor de código basado en IA se adapta mejor a tu equipo?

CodeRabbit vs Greptile: Comparativa de la revisión de código de IA

Compara CodeRabbit y Greptile en cuanto a la profundidad del análisis de PR, el contexto del código fuente, la calidad de los comentarios, las integraciones y los precios para elegir el revisor de IA más adecuado.

Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)

Vulnerabilidad de ejecución remota de código (RCE) en el protocolo TCP del núcleo de Linux (CVE-2026-98432): corrección

CVE-2026-98432 es una vulnerabilidad crítica del protocolo TCP del núcleo de Linux, con una puntuación de 9,8, que puede permitir la ejecución remota de código. Descubre quiénes se ven afectados, cómo aplicar el parche y qué hacer ahora.

Seguridad de los agentes de IA en Kubernetes: por qué «inyección de prompts» no es el término adecuado

Seguridad de los agentes de IA en Kubernetes | Aikido Security

Abdel Sghiouar, ingeniero de Google y promotor sénior de desarrollo en la nube, considera que la inyección de prompts debería denominarse «envenenamiento de prompts».

Abdel Sghiouar, ingeniero de Google y promotor sénior de desarrollo en la nube, considera que la «inyección de prompts» debería denominarse «envenenamiento de prompts».

El ataque a Binance: cómo el hecho de que el portátil de un desarrollador fuera vulnerado puede provocar una filtración de 6.3 mil millones de dólares

El ataque a Binance: cómo el portátil de un desarrollador puede poner en juego 6.3 mil millones de dólares

Según Binance, el ataque informático a la plataforma podría haber comenzado con el acceso no autorizado a un ordenador portátil de un desarrollador. Descubre cómo eso puede dar lugar al robo de fondos y cómo protegerte contra ello.

Binance afirma que un portátil de DevOps que fue objeto de un ataque podría haber sido el origen del hackeo de 6.3 mil millones de dólares, y que desde entonces ha detectado otros puntos de vulnerabilidad. A continuación explicamos cómo un solo portátil puede dar lugar a un servicio de transferencia de dinero y cómo proteger los dispositivos que se encuentran al inicio de esa cadena.

¿Qué son las vulnerabilidades de shell? Explicación de PHP2Shell, Node2Shell (HTTP2Shell), React2Shell y Log4Shell

¿Qué son las vulnerabilidades del shell? | Aikido Security

Explicamos qué son las vulnerabilidades de shell y cómo gestionarlas: PHP2Shell, Node2Shell (HTTP2Shell), React2Shell y Log4Shell

Pasado mañana: tras el PHP2Shell, la situación empeora, pero luego ganan los defensores

PHP2Shell y Brocolli2Shell podrían ser un presagio de las numerosas vulnerabilidades que están por venir. Pero podemos estar preparados.

Ha sido una semana más o menos complicada para los equipos de seguridad y desarrollo. Las previsiones han pasado de augurar un «tsunami» de vulnerabilidades a que cada semana parezca que se nos viene el mundo encima. Estamos de acuerdo en que la situación empeora, pero seguimos creyendo que los defensores llevan la ventaja.

Ghost en PHP2Shell: Por qué la divulgación coordinada y la aplicación de parches empezarán a acelerarse

PHP2Shell demostró lo rápido que la IA convierte un fallo de seguridad en un exploit. A continuación explico por qué la divulgación nunca debería volver a producirse de esta forma y por qué, a pesar de todo, volverá a ocurrir.

Aikido pone en marcha pruebas de penetración en redes externas

Aikido pone en marcha pruebas de penetración en redes externas | Aikido Security

Aikido lanza pruebas de penetración en redes externas: los agentes de IA atacan tus sistemas conectados a Internet desde el exterior e informan únicamente de los vulnerabilidades que realmente aprovechan.

Cómo aplicar un parche a PHP2Shell con imágenes gratuitas de Aikido

Parche PHP2Shell con imágenes gratuitas de Aikido (PHP 5.5 a 8.5)

Soluciona la vulnerabilidad PHP2Shell (CVE-2026-109618 y CVE-2026-109619) con las imágenes gratuitas de Aikido para PHP 5.5 a 8.5. Mantén tu versión actual con las correcciones adaptadas a versiones anteriores.

Actualizaciones de producto

Incorporar Aikido pentesting de IA a tu infraestructura de seguridad actual

Incorporación de Aikido pentesting de IA a tu infraestructura de seguridad actual | Aikido Security

Aikido Security« pentesting de IA » se integra en el conjunto de herramientas que ya utilizas. Puedes añadir « pentesting de IA » como complemento para detectar los fallos lógicos complejos que las herramientas determinísticas pasan por alto.

Aikido Security« pentesting de IA » se integra perfectamente en el entorno que ya utilizas. Aunque estés comprometido con tu código actual y con las herramientas de « seguridad en la nube », puedes añadir « pentesting de IA » para detectar los fallos lógicos complejos que las herramientas determinísticas pasan por alto.

Node2Shell evoluciona a HTTP2Shell. El alcance de la vulnerabilidad de Brotli (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP.

La vulnerabilidad de Node2Shell en Brotli (CVE-2026-111497) se transforma en HTTP2Shell, ya que afecta a las bibliotecas y aplicaciones que utilizan HTTP.

La vulnerabilidad de Brotli subyacente a Node2Shell (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP y tienen instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.

La vulnerabilidad de Brotli que está detrás de Node2Shell (CVE-2026-111497) afecta a las aplicaciones de Python que tengan instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.

Node2Shell: Una vulnerabilidad de Brotli en Node.js permite la ejecución remota de código (CVE-2026-111497)

Node2Shell: Una vulnerabilidad de Brotli en Node.js permite la ejecución remota de código (CVE-2026-111497) y la solución

Node.js CVE-2026-111497 (Node2Shell) es una vulnerabilidad de Brotli que puede permitir la ejecución remota de código. Consulta quiénes se ven afectados, las versiones parcheadas y la solución.

Vulnerabilidad en eMudhra CA: ocho claves privadas, y una de ellas es la 4 - CVE-2026-111943

Vulnerabilidad en eMudhra CA: ocho claves privadas débiles - CVE-2026-111943

Se podrían adivinar ocho claves de eMudhra CA en un máximo de 256 intentos, y una de ellas es simplemente el número 4. ¿A quién afecta esto?, ¿por qué se ralentizan los navegadores con curl? y ¿cómo solucionarlo?

Se generaron ocho claves CA intermedias de eMudhra con una seguridad tan baja que podían recuperarse en un máximo de 256 intentos.

seguridad de la cadena de suministro de software buenas prácticas para 2026

seguridad de la cadena de suministro de software buenas prácticas para 2026 | Aikido Security

Esta guía repasa las mejores prácticas en materia de seguridad de la cadena de suministro que habrían impedido los ataques de los últimos 18 meses.

LiteLLM vuelve a sufrir un ataque: se han detectado un programa de robo de información y un RAT en la versión 1.107.0

LiteLLM ha sido vulnerado: un programa de robo de información y un RAT en PyPI 1.107.0

LiteLLM 1.107.0 contiene un programa de robo de información y un RAT, y PyPI ha puesto el paquete en cuarentena. Comprueba si te has visto afectado, qué datos roba y qué debes actualizar.

LiteLLM 1.107.0 ha sido vulnerado. Los siete paquetes «wheel» compilados disponibles en PyPI contienen un programa de robo de credenciales y un troyano de acceso remoto persistente.

PHP2Shell: Vulnerabilidades críticas de PHP, versiones afectadas y soluciones | CVE-2026-109618 y CVE-2026-109619

PHP2Shell: Cómo solucionar la vulnerabilidad de ejecución remota de código (RCE) en PHP mediante parches e imágenes gratuitas

Una vulnerabilidad crítica de PHP permite a los atacantes ejecutar código de forma remota en servidores sin parches. Consulta las versiones afectadas, los parches, las medidas de mitigación y cómo comprobar si estás expuesto. Actualmente se están explotando dos fallos de ejecución remota de código (RCE) en PHP (CVE-2026-109618, CVE-2026-109619). A continuación te indicamos a qué versiones debes actualizar y qué hacer si no puedes aplicar los parches hoy mismo.

Ya hay parches disponibles para dos vulnerabilidades críticas de PHP que permiten la ejecución remota de código (RCE) (CVSS 9.2), y se han detectado casos de explotación. Todas las versiones de PHP sin parchear se ven afectadas. Descubre cómo actualizar y utilizar las imágenes Aikido parcheadas de forma gratuita.

Las 10 mejores plataformas de software de seguridad para el correo electrónico en 2026

Compara 10 plataformas de seguridad del correo electrónico en cuanto a phishing, BEC y respuestas automatizadas, además de la protección de los empleados en materia de formación, dispositivos y uso de la inteligencia artificial.

Las 9 mejores herramientas de simulación de phishing en 2026

Compara nueve herramientas de simulación de phishing para realizar ejercicios realistas por correo electrónico, voz, SMS y deepfake, formación adaptativa y una mayor protección de la plantilla.

Las 9 mejores alternativas a KnowBe4 en 2026

Las 9 mejores alternativas y competidores de KnowBe4 en 2026

Compara nueve alternativas a KnowBe4 para la formación en concienciación, simulaciones de phishing, gestión de la IA y protección de los empleados, además de consejos prácticos para la migración.

Las 8 mejores plataformas de formación en concienciación sobre seguridad en 2026

Compara ocho plataformas de formación en concienciación sobre seguridad que ofrecen aprendizaje basado en roles, amenazas de IA, simulaciones de phishing y protección para toda tu plantilla.

Las 8 mejores alternativas a « Mimecast » en 2026

Las 8 mejores alternativas y competidores de « Mimecast » en 2026

Compara ocho alternativas a Mimecast en materia de seguridad del correo electrónico, gestión de la inteligencia artificial, formación de empleados y archivado, con consejos prácticos para planificar tu cambio.

Aikido lanza Noon: seguridad laboral para todos los empleados

Aikido lanza «Noon», una empresa dedicada a la seguridad de los empleados. Ofrece soluciones de gobernanza de la IA, protección de dispositivos y correo electrónico, así como formación para hacer frente al phishing y a los «deepfakes» basados en la IA.

Creamos Aikido para proteger a los desarrolladores. Hoy lanzamos Noon para proteger al resto de usuarios, desde el phishing y los deepfakes basados en IA hasta aquellas herramientas de IA que los equipos de seguridad no pueden detectar.

Las pruebas de penetración anuales ya no dan abasto. Realiza más pruebas con el mismo presupuesto.

Las pruebas de penetración anuales no dan abasto. Realiza más pruebas con el mismo presupuesto | Aikido Security

El 76 % de los equipos implementa cambios importantes cada semana, pero solo el 21 % realiza pruebas en cada lanzamiento. A continuación te explicamos cómo pentesting de IA reduce esa brecha sin aumentar tu presupuesto de seguridad.

pentesting de IA Permite a los equipos de seguridad realizar pruebas con mayor frecuencia sin aumentar el presupuesto. Descubre cómo los precios fijos y las previsiones permiten mantener los costes bajo control.

Se puede acceder a tu CVE. Pero, ¿se puede explotar?

Las vulnerabilidades CVE accesibles pueden seguir siendo seguras en tu aplicación. Descubre cómo la diferencia entre «accesibilidad» y « análisis de explotabilidad » te ayuda a decidir qué vulnerabilidades de las dependencias debes corregir primero.

Las mejores alternativas a Escape.tech para la seguridad ofensiva en 2026

Las mejores alternativas a Escape.tech en 2026

Comparamos las mejores alternativas a Escape.tech para la seguridad ofensiva en 2026: Aikido Security, XBOW, RunSybil, Terra, Burp Suite Professional, Invicti, StackHawk, Hadrian y Pentera

Las mejores alternativas a Horizon3 en 2026

Las mejores alternativas a Horizon3 en 2026 para pentesting de IA | Aikido Security

Comparamos las principales alternativas a Horizon3 para « pentesting de IA » en 2026: Aikido Security, Pentera, RidgeBot, XBOW, Hadrian, RunSybil y Terra.

Drata y Aikido: pruebas de penetración preparadas para auditorías, integradas en tu flujo de trabajo de cumplimiento normativo

Drata y Aikido incorporan « pentesting de IA » a tu flujo de trabajo de cumplimiento normativo. Obtén resultados verificados, informes listos para los auditores y hasta 4.000 dólares en créditos gratuitos para pruebas de penetración.

Drata y Aikido incorporan « pentesting de IA » a tu flujo de trabajo de cumplimiento normativo, con resultados verificados, informes listos para los auditores y hasta 4.000 dólares en créditos gratuitos para pruebas de penetración para los nuevos clientes de Drata.

Aikido Security cuenta ahora con la acreditación CREST

Aikido Security Ahora cuenta con la acreditación CREST para pruebas de penetración | Aikido Security

¿Vendes a bancos o a la administración pública? Aikido ofrece ahora pruebas de penetración acreditadas por CREST, además de un servicio de « pentesting de IA » para el periodo entre auditorías.

¿Qué es la corrección de vulnerabilidades?

¿Qué es la corrección de vulnerabilidades? | Aikido Security

Descubre cómo funciona la corrección de vulnerabilidades para cada tipo de fallo y qué hacer cuando la actualización de una dependencia interrumpe la compilación o no es una opción viable.

Las 6 mejores herramientas de seguridad para desarrolladores destinadas a equipos empresariales en 2026

Las 6 mejores herramientas de seguridad para desarrolladores destinadas a equipos empresariales en 2026 | Aikido Security

Comparamos las principales herramientas de seguridad para desarrolladores destinadas a equipos empresariales en cuanto a calidad de la señal, gobernanza y corrección de incidencias: Aikido Security, Snyk, GitHub Advanced Security, SonarQube, Checkmarx y Endor Labs

Las mejores herramientas de seguridad que cumplen con FedRAMP en 2026

Las mejores herramientas de seguridad conformes con FedRAMP en 2026 | Aikido

Comparamos las principales herramientas de seguridad que cumplen con los requisitos de FedRAMP en 2026: Aikido for Government, Checkmarx One for Government, Qualys, Rapid7 InsightGovCloud, Snyk for Government, Tenable, Wiz for Government

El paquete NPM «tensorlake» se ha visto afectado por el gusano Shai Hulud

Se ha detectado código malicioso en TensorLake 0.5.144

Cómo Aikido le ayuda a cumplir con SOC 2 Tipo 1 y Tipo 2

Cumplimiento de SOC 2 Tipo 1 y Tipo 2 con Aikido

Descubra cómo Aikido se alinea con las auditorías SOC 2 Tipo 1 y Tipo 2, gracias al seguimiento de acuerdos de nivel de servicio (SLA), controles en CI/CD y revisiones en la nube que generan evidencias de auditoría exportables.

Principales herramientas de remediación de vulnerabilidades en 2026

Las mejores herramientas de remediación de vulnerabilidades en 2026 | Aikido

Comparamos las mejores herramientas de remediación de vulnerabilidades en 2026: Aikido Security, Snyk, GitHub Advanced Security, Tenable, Qualys y Wiz

Principales fuentes de inteligencia de amenazas en 2026

Principales fuentes de inteligencia de amenazas en 2026 | Aikido Security

Comparamos las principales fuentes de inteligencia de amenazas en 2026: Aikido Intel, Socket Threat Feed, Snyk Security Database, OSV.dev y Spectra Intelligence (ReversingLabs)

Principales herramientas de seguridad de endpoints para desarrolladores en 2026

Principales herramientas de seguridad de endpoints para desarrolladores en 2026 | Aikido

Comparativa de las mejores herramientas de seguridad de endpoints para desarrolladores en 2026. Analizamos Aikido Security, GitGuardian Developer Endpoint Protection, Koi Security, Socket y CrowdStrike Falcon

Aikido financia la seguridad de Node.js

Aikido se une a la iniciativa de OpenJS para financiar el trabajo de seguridad en Node.js

Aikido es socio inaugural en el programa de administración de seguridad (Security Stewardship Program) de OpenJS, financiando programas de recompensas por errores (bug bounties) y soporte para mantenedores de Node.js.

Aikido se une al programa de administración de seguridad de OpenJS como socio inaugural, financiando programas de recompensas por errores y soporte para mantenedores con el fin de proteger Node.js.

Aikido Security logra la autorización FedRAMP Moderate

Aikido ha conseguido la autorización FedRAMP Moderate, acercando la remediación de vulnerabilidades automatizada y nativa de IA a las agencias federales de EE. UU.

Las mejores alternativas a CodeQL en 2026

Las mejores alternativas a « CodeQL » en 2026 | Aikido

Comparativa de las mejores alternativas a CodeQL en cuanto a ruido, correcciones, costes y más: Aikido Security, Semgrep, Snyk Code, SonarQube, Checkmarx y Veracode

Las mejores alternativas a Greptile en 2026

Las mejores alternativas a Greptile en 2026 | Aikido

Comparamos las principales alternativas a Greptile en 2026 en términos de cobertura, ruido, profundidad de revisión y más: Aikido Security, CodeRabbit, Qodo, Graphite, SonarQube y CodeAnt AI

Aparece un nuevo gusano de Go en supplychain.local

MemTensor en npm y PyPI afectado por el malware "supplychain.local"

"supplychain.local": código malicioso encontrado en el plugin de npm de MemTensor (0.1.21, 0.1.23) y en MemoryOS de PyPI (2.0.34).

¡La Ley de Ciberresiliencia ya está aquí! Desmintiendo mitos y primeras impresiones

El primer plazo de la Ley de Ciberresiliencia acaba de cumplirse el 11 de septiembre de 2026. Cómo es la nueva plataforma de notificación única y cuatro mitos comunes sobre la CRA desmentidos.

Envía un correo electrónico a GitLab, haz un push a main

GitLab te proporciona una dirección de correo electrónico privada para crear incidencias. Si se filtra, cualquier persona que la tenga puede enviar código, ejecutar trabajos de CI/CD y saltarse las restricciones de IP en todos tus proyectos públicos y privados.

La campaña de Graphalgo se extiende a los proveedores de Terraform y módulos de Go

El malware de Graphalgo se extiende a Terraform y Go

Aikido ha descubierto malware de Go vinculado a Graphalgo en proveedores de Terraform y módulos de Go, que utiliza activadores dirigidos, Slack y C2 basado en blockchain.

El malware de Graphalgo se ha extendido a Go y aparece en dos proveedores de Terraform y dos módulos de Go.

Aikido y Deel: configúralo una vez y protege cada nueva contratación

Código, nube y dispositivos protegidos automáticamente una vez que alguien es contratado a través de Deel.

Presentamos Aikido Altar: el modelo que hace posible la inteligencia de seguridad soberana

Aikido Altar: IA de pesos abiertos para la seguridad soberana

Aikido Altar es un modelo de IA comprimido de pesos abiertos diseñado para ofrecer inteligencia de seguridad soberana, que potencia el pentesting local y aislado de la red (air-gapped) de Aikido Machine.

Altar es nuestro primer modelo de IA de pesos abiertos y el primer paso hacia una inteligencia de seguridad soberana. Se ejecuta íntegramente dentro de la propia infraestructura del cliente, impulsando el pentesting autónomo de Aikido Machine sin que ningún fragmento de código abandone las instalaciones.

Las mejores herramientas de pentesting de IA on-prem en 2026

Las mejores herramientas de pentesting de IA on-prem de 2026 | Aikido Security

Las mejores herramientas de pentesting de IA on-prem de 2026 para equipos en sectores regulados, comparadas en función de su compatibilidad con air-gap, profundidad de caja blanca y cobertura de aplicaciones

Aikido obtiene la competencia AWS Security Competency para la seguridad de aplicaciones

AWS ha reconocido a Aikido con su competencia AWS Security Competency en Seguridad de Aplicaciones, validando cómo Aikido protege las aplicaciones desde el código hasta la nube y el runtime.

AWS ha revisado nuestro trabajo: somos oficialmente un socio de AWS Security Competency Partner para la seguridad de aplicaciones.

Principales alternativas a Qodo para la asistencia de código impulsada por IA

Comparativa de las mejores alternativas a Qodo en 2026

Las mejores alternativas a Qodo para la revisión de código con IA en 2026, comparadas según el ruido, la seguridad y el coste, para que puedas elegir la herramienta que mejor se adapte a tu equipo.

Principales alternativas a Aqua Security para la seguridad nativa de la nube en 2026

Comparativa de las 6 mejores alternativas a Aqua Security en 2026

Compara las mejores alternativas a Aqua Security en 2026: Aikido, Wiz, Prisma Cloud, Sysdig, Orca y CrowdStrike, en cuanto a cobertura, despliegue, precios y adecuación.

Dependabot vs Renovate (2026): ¿Cuál utilizar?

Dependabot vs Renovate

Comparativa entre Dependabot y Renovate en configuración, monorepos, plataformas y seguridad, además de por qué las actualizaciones automáticas pasan por alto lo que es realmente explotable

El repunte de CVEs en las principales empresas de software es un problema de resolución

El volumen de CVEs va en aumento en las principales empresas de software, y una auditoría federal muestra que ni siquiera el NIST ha podido seguir el ritmo. Por eso, la velocidad de remediación, y no el recuento de vulnerabilidades divulgadas, es la cifra que realmente importa.

Un gráfico viral este mes mostró que los CVEs aumentan drásticamente en 21 grandes empresas de software, y el sector se dividió en dos bandos que discuten sobre lo que esto significa. Ambos pasan por alto la cifra que realmente determina el riesgo: la rapidez con la que se solucionan las vulnerabilidades importantes.

Jason Haddix: Deja de temer al pentesting de IA

Jason Haddix: El 90% de los pentests serán realizados por IA

Jason Haddix habla sobre por qué el pentesting manual no da abasto, qué es lo primero en desaparecer y por qué la metodología humana es lo que hace que el pentesting de IA funcione

Un paquete de Flutter comprometido en pub.dev contiene el malware XCSSET

Hemos detectado el malware XCSSET dentro de un paquete de Flutter comprometido en pub.dev. Aquí tienes un desglose completo de la cadena de infección, los módulos de propagación y la lógica de robo que hemos encontrado en su interior.

Shai-Hulud resucita tras 111 días

Una carga útil de Shai-Hulud para npm reaparece 111 días después

Una carga útil de gusano conocida de Shai-Hulud permaneció latente durante 111 días y luego se volvió a publicar en npm, burlándose por completo del escaneo de malware diseñado para detectarla.

Una carga útil de Shai-Hulud de mayo acaba de reaparecer en npm, con el mismo hash y sin modificaciones, superando sin problemas el escaneo en el momento de la publicación que debería haberla interceptado.

Solución para StyleSmuggler: parchea la RCE de Magento y Adobe Commerce

Solución para StyleSmuggler: parchea Magento y Adobe Commerce RCE

StyleSmuggler es una vulnerabilidad RCE sin autenticación que afecta a Magento y Adobe Commerce, sin CVE y sin un parche oficial de Adobe por ahora. Aikido ya dispone de la solución.

StyleSmuggler está afectando a Magento y Adobe Commerce en este preciso momento, y Adobe aún no ha lanzado una solución. Aquí tienes el parche del que ya disponemos y cómo funciona.

Dirty Frag (CVE-2026-43284): el error del kernel de Linux que convierte el acceso de lectura en permisos de root

Dirty Frag (CVE-2026-43284): Escalada de privilegios a root en Linux | Aikido

Dirty Frag convierte el acceso de bajo privilegio en Linux en permisos de root y permite escapar de los contenedores. Las CVE afectadas, cómo comprobar si estás expuesto y cómo solucionarlo.

Las mejores alternativas a Trivy para el análisis de contenedores y cloud en 2026

Las mejores alternativas a Trivy en 2026: Comparativa

Comparativa de seis alternativas a Trivy para 2026 en análisis de contenedores, IaC, SAST, priorización y correcciones, detallando el enfoque específico de cada una.

Deja de incumplir los SLA: cómo aplicar parches a las vulnerabilidades antes incluso de que se publique la corrección

Tu SLA está a punto de incumplirse y la dependencia no tiene ningún parche

Cómo utilizar Aikido Libraries para parchear dependencias vulnerables y cumplir con los SLA de seguridad.

Aprende a cumplir con los SLA de seguridad para vulnerabilidades de dependencias con Aikido Libraries mediante la entrega de parches seguros retroportados.

MECCHA CHAMELEON no puede esconderse de la RCE

Hemos descubierto una segunda RCE con retardo en MECCHA CHAMELEON: un mapa personalizado malicioso podía escribir archivos en cualquier parte del sistema y ejecutar código tras un reinicio. Ya se ha solucionado en la versión 4.0.0.

Mejores herramientas de DSPM en 2026

Mejores herramientas de DSPM en 2026: Comparativa y clasificación

Compara las principales herramientas de DSPM de 2026: Aikido, Wiz, Cyera, Varonis y Orca, en cuanto a acceso a datos, corrección y cómo detectan la exposición

Compara las principales herramientas de DSPM de 2026 (Aikido, Wiz, Cyera, Varonis y Orca) en cuanto a acceso a datos, corrección y cómo detectan la exposición

La cifra oculta de la detección en la cadena de suministro

Las reglas basadas en cadenas de texto solo detectan el malware que ya se ha visto. La detección basada en el comportamiento es la forma de encontrar ataques a la cadena de suministro.

Se descubrió un gusano en la cadena de suministro oculto en @7nohe/openapi-react-query-codegen, un popular generador de código para TanStack Query, que roba credenciales y se propaga a todos los paquetes que mantiene la víctima.

Protección de imágenes de Docker

Protección de imágenes de Docker: endurecimiento, parcheo y mantenimiento

La mayoría de las vulnerabilidades de un contenedor provienen de la imagen base. Descubre cómo endurecer las imágenes de Docker, por qué es un proceso continuo y cómo parchear la base que ya estás ejecutando.

¡Por fin se han ido, TeamPCP! Ahora viene lo difícil.

Las detenciones de TeamPCP no resuelven el riesgo en la cadena de suministro que han puesto de manifiesto

La AFP, el FBI y la Policía de Washington han imputado a dos hombres presuntamente responsables de TeamPCP. Charlie Eriksen explica por qué esta detención no subsana la brecha que TeamPCP puso de manifiesto.

Dos hombres han sido acusados como presuntos miembros de TeamPCP tras meses de trabajo transfronterizo de la AFP, el FBI y la policía de WA. Charlie Eriksen, de Aikido, explica por qué eso no cierra la brecha que TeamPCP dejó al descubierto en las cadenas de suministro de software.

Principales alternativas a Minimus en 2026

Minimus va a cerrar. Compara Aikido, Chainguard, Docker Hardened Images, RapidFort y Echo, y elige un sustituto de imágenes endurecidas que no vuelva a atraparte en un bloqueo de proveedor.

Aikido Security obtiene la certificación ISO 42001:2023 de gobernanza de IA

Aikido obtiene la certificación ISO 42001 | Gobernanza de IA

Aikido Security ha obtenido la certificación ISO 42001, el estándar global de gobernanza de IA, que abarca el pentesting de IA, Code Security Audit y Deep PR Review.

seguridad de la cadena de suministro de software requiere decisiones, en lugar de opciones predeterminadas

Seguridad de la cadena de suministro de software: decisiones, no valores predeterminados

La mayor parte del software funciona en base a decisiones que nadie tomó. Analizamos por qué el control de acceso, la fijación de versiones, el backporting y el mantenimiento de SBOM solo funcionan si alguien se responsabiliza de ellos.

Una puerta trasera en xz-utils. Una compilación rota en lodash. Ambas tienen su origen en el mismo hábito: tratar un número de versión como un hecho inamovible en lugar de una elección. Esto es lo que creemos que realmente se necesita para tomar decisiones en lugar de confiar en los valores predeterminados.

Aikido lanza pentesting agéntico para aplicaciones de Android

Pentesting de Android, ahora agéntico y autónomo | Aikido

Los agentes de Aikido realizan pruebas de penetración en tu aplicación de Android y en su backend en una única evaluación de caja blanca. Obtienes hallazgos reproducibles, AutoFix y reevaluaciones para cada incidencia.

Aikido ahora ejecuta pentests autónomos en aplicaciones de Android tal y como lo haría un atacante, cubriendo la aplicación y su backend en una sola evaluación, con AutoFix y retests integrados.

¿Podría OpenClaw haber pirateado realmente ese gimnasio australiano? Decidimos ponerlo a prueba.

Reprodujimos el hackeo de un gimnasio mediante IA viral en un entorno controlado. Al ejecutar Opus 4.6 en OpenClaw, el modelo explotó el fallo de reservas en nueve de cada diez ejecuciones.

Cómo el Aikido detecta más vulnerabilidades que Mythos a la mitad del coste

Cómo Aikido encuentra más vulnerabilidades que Claude Security con Mythos a mitad de costo

Aikido AI Code Audit encontró 8 vulnerabilidades más que Claude Security con Mythos a menos de mitad de precio. Cómo el diseño del arnés impulsa la cobertura por dólar.

Aikido Code Security Audit encontró 8 vulnerabilidades más que Claude Security con Mythos por menos de la mitad del coste. Descubre cómo el diseño del arnés impulsa la cobertura por dólar.

Shai-Hulud fue lo mejor que le pudo pasar a la seguridad de la cadena de suministro

npm Trusted Publishing se mantuvo casi inactivo tras su lanzamiento. Luego, Shai-Hulud y 14 ataques a la cadena de suministro más impulsaron la adopción 3,4 veces. Charlie analiza los datos detrás de esto.

La publicación confiable (Trusted Publishing) de npm pasó casi inactiva durante dos años. Luego, Shai-Hulud y otros 14 ataques a la cadena de suministro multiplicaron su adopción por 3,4. Charlie analiza los datos detrás de esto.

Las mejores herramientas de endurecimiento de imágenes en 2026

Las mejores herramientas de endurecimiento de imágenes en 2026: Comparativa de 7 opciones

Comparativa de herramientas de endurecimiento de imágenes para 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus y Wiz

Las mejores herramientas de pentesting de IA empresariales para la seguridad de aplicaciones en 2026

Las mejores herramientas de pentesting de IA empresariales en 2026

Compara las principales herramientas de pentesting de IA empresariales de 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian y Cobalt.

¿Qué es la corrección de CVE en 2026?

La corrección de CVE consiste en solucionar fallos conocidos en el software que ejecutas. Por qué las actualizaciones suelen fallar, en qué consiste realmente la corrección y cómo el backporting la soluciona.

Hemos quemado 11.7 mil millones de tokens para encontrar el mejor modelo de IA cibernética

Consumimos 11.700 millones de tokens para encontrar el mejor modelo de IA de ciberseguridad | GLM5.3 y DeepSeek ya están en la vanguardia

Probamos 10 modelos de IA con 32 CVEs recientes. DeepSeek V4 Pro encontró 28, y tres ejecuciones económicas superaron a una sola pasada de Opus 5 o Grok en cobertura total.

Un ataque a la cadena de suministro comprometió las populares cajas (crates) de Rust: arrayref, append-only-vec e internment, inyectando una dependencia del paquete malicioso proc-macro1, que descarga y ejecuta una carga útil remota en tiempo de compilación.

Un ataque a la cadena de suministro comprometió dos crates populares de Rust, arrayref y append-only-vec, introduciendo una dependencia del paquete malicioso proc-macro1, el cual descarga y ejecuta una carga útil (payload) remota durante la fase de compilación.

Lista de verificación para la evaluación de pentesting de IA: qué buscar en un proveedor de pentesting de IA

Lista de verificación de proveedores de pentesting de IA: qué buscar

Una lista de verificación para calificar a los proveedores de pentesting de IA según la validación, el acceso al código, el control de alcance y la fiabilidad, además de las señales de alerta que diferencian una plataforma real de una simple demostración.

¡Otro RCE más en Gogs, pero esta vez ya está solucionado!

CVE-2026-52813 | Un agente de pruebas de penetración de Aikido detectó un error de recorrido de rutas en Gogs. Lo convertimos en un caso de ejecución remota de código (RCE) completo y notificamos otros dos errores, todos ellos corregidos en la versión 0.14.3.

Las mejores herramientas de SCA para empresas en 2026

Las mejores herramientas de SCA para empresas 2026 | Aikido

Compara las herramientas de SCA para empresas de 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck y Veracode en términos de inteligencia, remediación y cumplimiento.

Las mejores herramientas de DAST para empresas en 2026

Las mejores herramientas DAST para empresas en 2026 | Aikido

Compara las principales herramientas DAST para empresas de 2026 en cobertura autenticada, descubrimiento de API, validación de exploits, gobernanza, cumplimiento y pentesting de IA

Compara las principales herramientas DAST para empresas de 2026 en cobertura autenticada, descubrimiento de API, validación de exploits, gobernanza, cumplimiento y pentesting de IA.

Principales herramientas de seguridad unificada en 2026

Principales herramientas de seguridad unificada en 2026 | Aikido

Compara las principales herramientas de seguridad unificada de 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk y Orca, en cuanto a cobertura, correlación, gobernanza y coste.

De Hugging Face a Fable: este verano ha demostrado que el control de la IA es más importante que la confianza

Seguridad de IA: por qué el control importa más que la confianza

Una brecha de IA autónoma en Hugging Face y la suspensión de Fable por parte de Anthropic demuestran lo mismo: confiar en un proveedor no es lo mismo que tener el control

Un agente de IA irrumpió en Hugging Face por su cuenta. El acceso de un proveedor de IA desapareció de la noche a la mañana. Esto es lo que tienen en común.

Encontrar vulnerabilidades en cada etapa: qué ejecutar y cuándo

¿Qué herramienta de pruebas de seguridad necesitas realmente?

SAST, Deep PR Review, Code Security Audit y AI Pentest detectan diferentes vulnerabilidades en distintas etapas. Aquí te mostramos cuándo usar cada uno y por qué.

SAST, Deep PR Review, Code Security Audit y AI Pentest detectan vulnerabilidades en distintas etapas. Aquí te mostramos cuándo usar cada uno y por qué.

¿Qué es la ingeniería de sistemas de tracción asistida por IA?

¿Qué es la ingeniería de harnesses? | Harnesses de IA y cómo impactan en la seguridad de la IA

La ingeniería de harnesses es el código que rodea a un modelo de IA para convertirlo en un agente. Qué hace un harness, por qué supera a la elección de un modelo y cómo construir uno.

¿Quién estuvo detrás del atentado? Quizás nadie.

¿Quién estuvo detrás del ataque? Quizás nadie | Los ataques de los agentes autónomos de Anthropic, OpenAI y AISI

Tres revelaciones de este verano han puesto de manifiesto que agentes de IA han atacado a organizaciones reales sin que hubiera intervención humana alguna en el proceso. La respuesta ante incidentes aún no cuenta con un protocolo específico para este tipo de situaciones.

The Aikido Machine: pentesting de IA local que nunca sale de tu red

Aikido Machine: servidor de pentesting de IA local | Aikido Security

Pentesting de IA continuo para equipos que no pueden usar la nube. The Aikido Machine mantiene los modelos, el código y los resultados íntegramente dentro de tu red.

Pentesting de IA continuo integrado en la red de organizaciones altamente reguladas. Belfius, el banco y aseguradora belga, es el primero en implementarlo.

Keyv y sus amigos se han visto afectados por un ataque activo a la cadena de suministro de Shai-Hulud

Keyv y otros paquetes afectados en un ataque a la cadena de suministro de npm

El malware Mini Shai-Hulud fue inyectado en keyv y en otros ocho paquetes npm relacionados el 4 de agosto de 2026, después de que un atacante vulnerara la cuenta de GitHub del mantenedor

¡Gracias! ¡Su envío ha sido recibido!

¡Vaya! Algo salió mal al enviar el formulario.

Octubre 17, 2023

•

Vulnerabilidades y amenazas

¿Qué es un CVE?

Etiquetas/

#Vulnerabilidades

#IA

#código abierto

Septiembre 27, 2023

•

Vulnerabilidades y amenazas

Las 3 principales vulnerabilidades de seguridad en aplicaciones web en 2024

Etiquetas/

#Vulnerabilidades

#AppSec

Agosto 22, 2023

•

Actualizaciones de la empresa

Nuevas características de Aikido Security: Agosto de 2023

Etiquetas/

#AppSec

#DevSecOps

Agosto 10, 2023

•

Guías y Mejores Prácticas

Lista de verificación de seguridad para CTO de SaaS de Aikido para 2025

Etiquetas/

#AppSec

Agosto 10, 2023

•

Guías y Mejores Prácticas

Lista de verificación de seguridad para CTO de SaaS de Aikido para 2024

Etiquetas/

#AppSec

Julio 25, 2023

•

Guías y Mejores Prácticas

Los 15 principales desafíos de seguridad en la nube y el código revelados por los CTOs

Etiquetas/

#AppSec

#Nube

Julio 12, 2023

•

Vulnerabilidades y amenazas

¿Qué es el Top 10 OWASP?

Etiquetas/

#OWASP

#Vulnerabilidades

Julio 11, 2023

•

Guías y Mejores Prácticas

Cómo construir un panel de administración seguro para tu aplicación SaaS

Evita errores comunes al construir un panel de administración SaaS. Describimos algunos escollos y posibles soluciones específicamente para desarrolladores de SaaS.

Etiquetas/

No se encontraron elementos.

Julio 5, 2023

•

Guías

Cómo prepararse para la ISO 27001:2022

ISO 27001:2022 reemplaza a ISO 27001:2013. Aikido te ayuda a cumplir rápidamente con los nuevos controles de seguridad para que tú y tus clientes podáis dormir tranquilos. Esta publicación de blog te guía a través de los nuevos requisitos y cómo Aikido te apoya.

Etiquetas/

No se encontraron elementos.

Junio 19, 2023

•

Guías

Cómo evitar las consecuencias de que tu plataforma de CI/CD sea hackeada

CI/CD es un objetivo principal para los hackers, así que toma medidas para evitar consecuencias. Aikido Security identifica si tu nube está defendiendo activamente tu CI/CD.

Etiquetas/

#AWS

#Codeship

#Nube

#CircleCI

Junio 12, 2023

•

Guías y Mejores Prácticas

Cómo cerrar acuerdos más rápido con un informe de evaluación de seguridad

Etiquetas/

#AppSec

#DevSecOps

Junio 5, 2023

•

Guías

Automatiza la gestión de vulnerabilidades técnicas [SOC 2]

Cómo lograr la conformidad sin imponer una carga de trabajo pesada a tu equipo de desarrollo

Etiquetas/

No se encontraron elementos.

actualizaciones de producto y empresa

Octubre 20, 2026

•

Actualizaciones de la empresa

Aikido lanza Noon: seguridad laboral para todos los empleados

Octubre 6, 2026

•

Actualizaciones de la empresa

Aikido Security logra la autorización FedRAMP Moderate

Aikido ha conseguido la autorización FedRAMP Moderate, acercando la remediación de vulnerabilidades automatizada y nativa de IA a las agencias federales de EE. UU.

Septiembre 21, 2026

•

Actualizaciones de la empresa

Presentamos Aikido Altar: el modelo que hace posible la inteligencia de seguridad soberana

Vulnerabilidades y amenazas

Noviembre 12, 2026

•

Vulnerabilidades y amenazas

La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios

Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.

Malware

Noviembre 2, 2026

•

Vulnerabilidades y amenazas

Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)

Octubre 22, 2026

•

Vulnerabilidades y amenazas

Vulnerabilidad en eMudhra CA: ocho claves privadas, y una de ellas es la 4 - CVE-2026-111943

Herramientas DevSec y comparaciones

Agosto 28, 2026

•

Herramientas DevSec y comparaciones

Las 10 mejores herramientas de análisis de composición de software (SCA) en 2026

Las herramientas SCA son nuestra mejor línea de defensa para la seguridad de código abierto; este artículo explora los 10 mejores escáneres de dependencias de código abierto para 2026.

Herramientas

SCA

Agosto 25, 2026

•

Herramientas DevSec y comparaciones

Las mejores alternativas a SonarQube en 2026

Explore las principales alternativas a SonarQube para el análisis estático de código, la detección de errores y el código limpio en 2026.

Herramientas

Agosto 19, 2026

•

Herramientas DevSec y comparaciones

Las 10 mejores herramientas de « Pruebas de seguridad de aplicaciones dinámicas » (DAST) en 2026

Descubre las 10 mejores herramientas de « Pruebas de seguridad de aplicaciones dinámicas » (DAST) de 2026. Compara características, ventajas, inconvenientes e integraciones para elegir la solución de « DAST » más adecuada.

Herramientas

DAST

Guías y Mejores Prácticas