.avif)
Bienvenido a nuestro blog.
El aumento de las vulnerabilidades CVE en las principales empresas de software supone un problema de corrección
Un gráfico que se ha hecho viral este mes mostraba un fuerte aumento de las CVE en 21 importantes empresas de software, y el sector se ha dividido en dos bandos que discuten sobre lo que esto significa. Ambos pasan por alto la cifra que realmente determina el riesgo: la rapidez con la que se corrigen las vulnerabilidades que realmente importan.
Shai-Hulud resucita tras 111 días
Una carga maliciosa de Shai-Hulud de mayo acaba de reaparecer en npm, con el mismo hash, sin cambios, y ha pasado sin problemas el análisis en el momento de la publicación que debería haberla detectado.
Solución de StyleSmuggler: aplicar el parche para la vulnerabilidad de ejecución remota de código (RCE) en Magento y Adobe Commerce
StyleSmuggler está afectando a Magento y Adobe Commerce en estos momentos, y Adobe aún no ha publicado ninguna solución. Aquí tienes el parche que ya tenemos y cómo funciona.
Informe 2026 sobre el estado de la IA en el pentesting
Nuestro último informe recoge las perspectivas de 400 CISOs, CTOs y líderes sénior de ingeniería de Europa y EE. UU. Explora cómo la IA está cambiando el pentesting, por qué los enfoques tradicionales luchan por seguir el ritmo de la entrega de software moderna y qué esperan los líderes de seguridad de la próxima generación de pentesting.
Vulnerabilidades y amenazas
Análisis de casos reales de CVE, análisis de malware, vulnerabilidades y riesgos emergentes.
Noticias
Nuestra perspectiva sobre las historias que están dando forma a la seguridad del software en este momento
Investigación
Nuestra investigación exhaustiva, que incluye análisis comparativos, comparaciones y pruebas.
Actualizaciones de producto y empresa
Novedades en Aikido: desde lanzamientos de productos hasta grandes logros en seguridad.
Bypass de autenticación en la configuración predeterminada de phpBB
Nuestros agentes de pentesting de IA encontraron un bypass de autenticación crítico en phpBB (CVE-2026-48611): una única solicitud no autenticada te permite iniciar sesión en cualquier cuenta. Consulta el exploit y la solución.
Y otra más. GitHub lanza la revocación de credenciales de emergencia
GitHub Enterprise ahora puede revocar todas las credenciales de una cuenta en una sola acción. El ataque a Trivy y el propio compromiso de durabletask de Microsoft demuestran por qué esto era algo que se esperaba desde hace tiempo.
npm ahora congela las cuentas de alto impacto después de cambios de cuenta arriesgados
Un vistazo a la nueva congelación de cuentas de 72 horas de npm: qué la activa, qué bloquea y cómo funciona junto con la publicación de confianza y por fases.
Todo el mundo está lanzando código que no puede leer
Con la IA, ahora todo el mundo es desarrollador y se envía mucho código sin una revisión cuidadosa por parte de expertos.
Acción de GitHub comprometida codfish/semantic-release-action roba secretos de CI/CD
codfish/semantic-release-action fue comprometida el 24 de junio de 2026. Los atacantes redirigieron las etiquetas v2-v5 a una carga útil de Miasma para el robo de credenciales dirigida a los secretos de CI/CD. Esto es lo que ocurrió y cómo comprobar si estás afectado.
Aikido x Drydock | Una forma para que los mantenedores detecten malware antes de su publicación
Aikido se asocia con Drydock para que los mantenedores de npm y PyPI puedan ver exactamente qué contiene una versión antes de que se publique. Detecta el malware antes de su publicación, no después.
Aikido x OWASP: 200 créditos gratuitos para miembros individuales
Los miembros individuales de OWASP obtienen 200 créditos gratuitos de Aikido para ejecutar Code Audit. Aquí le explicamos cómo solicitar los suyos en dos pasos.
Más de 140 paquetes npm populares de Mastra afectados por un ataque a la cadena de suministro
141 paquetes npm de Mastra fueron comprometidos en un ataque a la cadena de suministro que inyectó una dependencia maliciosa para descargar y ejecutar silenciosamente una carga útil en el momento de la instalación.
Full Fathom Five: El contexto del lanzamiento público de clase Mythos de Anthropic
Nunca necesitó Mythos para encontrar sus IDORs y fallos de lógica de negocio. Un vistazo a lo que Anthropic lanzó con Fable 5, y por qué la seguridad de la información sigue siendo un problema de personas en esencia.
npm v12 ofrece una de las mayores mejoras de seguridad en años
npm v12 hace que los scripts de instalación sean opcionales por defecto, cerrando la ruta de ejecución en tiempo de instalación tras un año de gusanos de la cadena de suministro de npm, desde Nx hasta Red Hat.
Detección de vulnerabilidades en cada fase: qué pruebas realizar y cuándo
SAST, La revisión en profundidad de las relaciones públicas, la auditoría de seguridad del código y las pruebas de penetración con IA detectan vulnerabilidades diferentes en distintas fases. A continuación te explicamos cuándo utilizar cada una de ellas y por qué.
Un paquete de Flutter comprometido en pub.dev contiene el malware XCSSET
Hemos detectado el malware XCSSET en un paquete de Flutter comprometido en pub.dev. A continuación ofrecemos un análisis detallado de la cadena de infección, los módulos de propagación y la lógica del programa de robo de datos que hemos encontrado en su interior.
Shai-Hulud resucita tras 111 días
Una carga útil conocida del gusano Shai-Hulud permaneció inactiva durante 111 días y, posteriormente, se volvió a publicar en npm, eludiendo el análisis de malware destinado a detectarla.
Solución de StyleSmuggler: aplicar el parche para la vulnerabilidad de ejecución remota de código (RCE) en Magento y Adobe Commerce
StyleSmuggler es una vulnerabilidad de ejecución remota de código (RCE) sin autenticación que afecta a Magento y Adobe Commerce; aún no hay ningún CVE ni parche de Adobe. Aikido ya dispone de la solución.
5 alternativas de seguridad a Socket y por qué son mejores
Socket se forjó un nombre en la detección de malware. Pero la velocidad de detección por sí sola ya no es toda la historia. Así es como Aikido y otras cuatro alternativas se comparan en seguridad de la cadena de suministro, análisis de alcanzabilidad, licencias y más.
Guía del comprador de pentesting de IA: Cómo evaluar proveedores de pentesting de IA
Aprenda a evaluar proveedores de pentesting de IA con criterios de compra prácticos, investigación de más de 1.000 pentests de IA y una lista de verificación de evaluación descargable.
Una lista de verificación de seguridad práctica para CTOs para estar preparados para Mythos
Una lista de verificación práctica para CTOs de SaaS que navegan por un mundo con Mythos y amenazas de IA agéntica. Construida en torno a la ventaja del defensor: usted tiene el contexto que los atacantes tienen que esforzarse por obtener. Cubre los controles, las prácticas y los hábitos operativos que determinan si su equipo encuentra y corrige los problemas antes de que lo haga otra persona.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
