Bienvenido a nuestro blog.

El aumento de las vulnerabilidades CVE en las principales empresas de software supone un problema de corrección

El volumen de vulnerabilidades CVE está aumentando en las principales empresas de software, y una auditoría federal revela que ni siquiera el NIST ha podido seguir el ritmo. A continuación explicamos por qué lo que realmente importa es la rapidez en la corrección, y no el número de vulnerabilidades reveladas.

Jason Haddix: Deja de tener miedo pentesting de IA

Jason Haddix: El 90 % de las pruebas de penetración las realizará la IA

Jason Haddix explica por qué las pruebas de penetración manuales no dan abasto, qué es lo primero que desaparece y por qué la metodología humana es la clave del éxito de pentesting de IA

Un paquete de Flutter comprometido en pub.dev contiene el malware XCSSET

Hemos detectado el malware XCSSET en un paquete de Flutter comprometido en pub.dev. A continuación ofrecemos un análisis detallado de la cadena de infección, los módulos de propagación y la lógica del programa de robo de datos que hemos encontrado en su interior.

Shai-Hulud resucita tras 111 días

Un paquete npm de Shai-Hulud reapareció 111 días después

Una carga útil conocida del gusano Shai-Hulud permaneció inactiva durante 111 días y, posteriormente, se volvió a publicar en npm, eludiendo el análisis de malware destinado a detectarla.

Solución de StyleSmuggler: aplicar el parche para la vulnerabilidad de ejecución remota de código (RCE) en Magento y Adobe Commerce

Solución de StyleSmuggler: parche para el RCE de Magento y Adobe Commerce

StyleSmuggler es una vulnerabilidad de ejecución remota de código (RCE) sin autenticación que afecta a Magento y Adobe Commerce; aún no hay ningún CVE ni parche de Adobe. Aikido ya dispone de la solución.

StyleSmuggler está afectando a Magento y Adobe Commerce en estos momentos, y Adobe aún no ha publicado ninguna solución. Aquí tienes el parche que ya tenemos y cómo funciona.

Dirty Frag (CVE-2026-43284): el fallo del núcleo de Linux que convierte el acceso de lectura en acceso de root

Dirty Frag (CVE-2026-43284): Escalada de privilegios a root en Linux | Aikido

Dirty Frag convierte un acceso con privilegios reducidos en Linux en acceso de root y puede « escape » los contenedores. Las CVE afectadas, cómo comprobar si estás expuesto y cómo solucionarlo.

Las mejores alternativas a « Trivy » para el análisis de contenedores y la nube en 2026

Las mejores alternativas a « Trivy » en 2026: comparativa

Comparativa de seis alternativas a « Trivy » para 2026 en cuanto a análisis de contenedores, IaC, SAST, priorización y correcciones, con indicación de dónde encaja realmente cada una.

Deja de incumplir los SLA: cómo aplicar parches a las vulnerabilidades antes incluso de que se publique la corrección

Tu SLA está a punto de incumplirse y la dependencia no tiene ningún parche

Cómo utilizar las bibliotecas de Aikido para corregir dependencias vulnerables y cumplir con los acuerdos de nivel de servicio (SLA) de seguridad.

Descubre cómo cumplir los acuerdos de nivel de servicio (SLA) en materia de seguridad para las vulnerabilidades de las dependencias con Aikido Libraries, mediante la implementación de parches seguros y retrocompatibles.

Aikido

MECCHA CHAMELEON no puede esconderse del RCE

Hemos detectado una segunda vulnerabilidad RCE de ejecución diferida en MECCHA CHAMELEON: un mapa personalizado malicioso podía escribir archivos en cualquier ubicación del sistema y ejecutar código tras reiniciar el sistema. Ya se ha corregido en la versión 4.0.0.

Las mejores herramientas de DSPM en 2026

Las mejores herramientas de DSPM en 2026: comparación y clasificación

Compara las mejores herramientas de DSPM de 2026: Aikido, Wiz, Cyera, Varonis y Orca, en cuanto al acceso a los datos, la corrección de vulnerabilidades y cómo detectan los riesgos.

Compara las principales herramientas de DSPM de 2026 —Aikido, Wiz, Cyera, Varonis y Orca— en cuanto al acceso a los datos, la corrección de vulnerabilidades y cómo detectan las exposiciones.

La cara oculta de la detección en la cadena de suministro

Las reglas basadas en cadenas solo detectan el malware que ya se ha identificado. La detección basada en el comportamiento es la forma de detectar el ataques a la cadena de suministro.

Se ha detectado un gusano en la cadena de suministro oculto en @7nohe/openapi-react-query-codegen, un popular generador de código para TanStack Query, que robaba credenciales y se propagaba a todos los paquetes que gestiona la víctima.

Protección de las imágenes de Docker

Cómo proteger las imágenes de Docker: reforzarlas, aplicarles parches y mantenerlas

La mayoría de las vulnerabilidades de un contenedor provienen de la imagen base. Cómo reforzar la seguridad de las imágenes de Docker, por qué es un proceso continuo y cómo aplicar parches a la imagen base que ya utilizas.

¡Por fin se han ido, TeamPCP! Ahora viene lo difícil.

Las detenciones de TeamPCP no resuelven el riesgo en la cadena de suministro que han puesto de manifiesto

La AFP, el FBI y la Policía de Washington han imputado a dos hombres presuntamente responsables de TeamPCP. Charlie Eriksen explica por qué esta detención no subsana la brecha que TeamPCP puso de manifiesto.

Dos hombres han sido imputados como presuntos miembros de TeamPCP tras meses de trabajo transfronterizo por parte de la AFP, el FBI y la Policía de Australia Occidental. Charlie Eriksen, de Aikido, explica por qué esto no subsana la vulnerabilidad que TeamPCP puso de manifiesto en las cadenas de suministro de software.

Las mejores alternativas a Minimus en 2026

Minimus va a dejar de funcionar. Compara Aikido, Chainguard, Docker Hardened Images, RapidFort y Echo, y elige un sustituto para las imágenes reforzadas que no te vuelva a atar a un proveedor concreto.

Aikido Security obtiene la certificación ISO 42001:2023 en materia de gobernanza de la inteligencia artificial

Aikido obtiene la certificación ISO 42001 | AI Governance

Aikido Security ha obtenido la certificación ISO 42001, la norma internacional sobre gobernanza de la inteligencia artificial, que abarca la « pentesting de IA », la «Code Security Audit» y la «Deep PR Review».

Cumplimiento

seguridad de la cadena de suministro de software requiere decisiones, en lugar de opciones predeterminadas

seguridad de la cadena de suministro de software: Decisiones, no opciones predeterminadas

La mayor parte del software funciona gracias a decisiones que nadie tomó. Hablamos de por qué el «gating», el «pinning», el «backporting» y el mantenimiento de « SBOM » solo funcionan si alguien se hace cargo de ellos.

Una puerta trasera en xz-utils. Un error de compilación en lodash. Ambos se deben al mismo hábito: considerar el número de versión como un dato fijo en lugar de como una opción. Esto es lo que creemos que realmente hace falta para tomar decisiones en lugar de confiar en los valores predeterminados.

Aikido lanza pruebas de penetración agentivas para aplicaciones de Android

Pruebas de penetración en Android: ahora con agentes y autónomas | Aikido

Los agentes de Aikido realizan pruebas de penetración en tu aplicación para Android y su backend en una única evaluación de caja blanca. Obtienes resultados reproducibles, la función AutoFix y nuevas pruebas para cada problema.

Aikido realiza ahora pruebas de penetración autónomas en aplicaciones de Android tal y como lo haría un atacante, abarcando tanto la aplicación como su backend en una única evaluación, con las funciones AutoFix y de repetición de pruebas integradas.

¿Podría OpenClaw haber pirateado realmente ese gimnasio australiano? Decidimos ponerlo a prueba.

Hemos recreado el truco viral de la IA en el gimnasio en un entorno controlado. Al ejecutar Opus 4.6 en OpenClaw, el modelo aprovechó el fallo del sistema de reservas en nueve de cada diez intentos.

Cómo el Aikido detecta más vulnerabilidades que Mythos a la mitad del coste

Cómo el aikido detecta más vulnerabilidades que Claude Security con Mythos a la mitad del coste

La auditoría de código de Aikido AI detectó ocho vulnerabilidades más que Claude Security con Mythos, a menos de la mitad del coste. Cómo el diseño del sistema de verificación mejora la cobertura por cada dólar invertido.

La auditoría de seguridad de Aikido Code detectó ocho vulnerabilidades más que la de Claude Security con Mythos, y a menos de la mitad del coste. Descubre cómo el diseño de los harness mejora la cobertura por cada dólar invertido.

Shai-Hulud fue lo mejor que le pudo pasar a la seguridad de la cadena de suministro

npm Trusted Publishing permaneció prácticamente inactivo tras su lanzamiento. Posteriormente, Shai-Hulud y otros 14 « ataques a la cadena de suministro » impulsaron su adopción hasta multiplicarla por 3,4. Charlie analiza los datos que hay detrás de todo ello.

npm Trusted Publishing estuvo prácticamente inactivo durante dos años. Después, Shai-Hulud y otros 14 « ataques a la cadena de suministro » impulsaron su adopción 3,4 veces más. Charlie analiza los datos que hay detrás.

Las mejores herramientas de endurecimiento de imágenes en 2026

Las mejores herramientas de endurecimiento de imágenes de 2026: comparación de 7 de ellas

Comparativa de herramientas de endurecimiento de imágenes para 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus y Wiz

Las mejores herramientas de « pentesting de IA » para la seguridad de las aplicaciones en 2026

Las mejores herramientas de « pentesting de IA » para empresas en 2026

Compara las mejores herramientas de « pentesting de IA » para empresas de 2026: Aikido, XBOW, NodeZero, Pentera, Hadrian y Cobalt.

¿En qué consiste la corrección de vulnerabilidades CVE en 2026?

La corrección de vulnerabilidades CVE consiste en solucionar los fallos conocidos del software que utilizas. Por qué las actualizaciones suelen fallar, en qué consiste realmente la corrección y cómo el «backporting» resuelve el problema.

Hemos quemado 11.7 mil millones de tokens para encontrar el mejor modelo de IA cibernética

Hemos quemado 11 700 millones de tokens para encontrar el mejor modelo de IA cibernética | GLM5.3 y DeepSeek marcan ahora la vanguardia

Hemos probado 10 modelos de IA con 32 vulnerabilidades CVE recientes. DeepSeek V4 Pro detectó 28, y tres ejecuciones económicas superaron a una sola pasada de Opus 5 o Grok en cuanto a cobertura total.

Un ataque a la cadena de suministro afectó a los populares crates de Rust «arrayref», «append-only-vec» e «internment», introduciendo una dependencia del paquete malicioso «proc-macro1», que descarga y ejecuta una carga útil remota durante el proceso de compilación.

Un ataque a la cadena de suministro afectó a dos crates populares de Rust, «arrayref» y «append-only-vec», al introducir una dependencia del paquete malicioso «proc-macro1», que descarga y ejecuta una carga útil remota durante el proceso de compilación.

pentesting de IA Lista de verificación para la evaluación: Qué hay que tener en cuenta a la hora de elegir un proveedor de pentesting de IA

pentesting de IA Lista de verificación de proveedores: qué hay que tener en cuenta

Una lista de verificación para evaluar a los proveedores de « pentesting de IA » en cuanto a validación, acceso al código, control del ámbito y fiabilidad, además de los indicios de alerta que distinguen una plataforma auténtica de una demostración convincente.

Aikido

¡Otro RCE más en Gogs, pero esta vez ya está solucionado!

CVE-2026-52813 | Un agente de pruebas de penetración de Aikido detectó un error de recorrido de rutas en Gogs. Lo convertimos en un caso de ejecución remota de código (RCE) completo y notificamos otros dos errores, todos ellos corregidos en la versión 0.14.3.

Las mejores herramientas de « SCA » para empresas en 2026

Las mejores herramientas de « SCA » para empresas en 2026 | Aikido

Compara las herramientas de gestión de la seguridad de la cadena de suministro ( SCA ) para empresas en 2026: Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck y Veracode en cuanto a inteligencia, corrección y cumplimiento normativo.

Las mejores herramientas de « DAST » para empresas en 2026

Las mejores herramientas de « DAST » para empresas en 2026 | Aikido

Compara las mejores herramientas de « DAST » para empresas de 2026 en cuanto a cobertura autenticada, descubrimiento de API, validación de vulnerabilidades, gobernanza, cumplimiento normativo y pentesting de IA

Las mejores herramientas de seguridad unificadas en 2026

Las mejores herramientas de seguridad unificadas en 2026 | Aikido

Compara las mejores herramientas de seguridad unificada de 2026: Aikido, Cortex Cloud, Wiz, Checkmarx, Snyk y Orca, en cuanto a cobertura, correlación, gobernanza y coste.

De Hugging Face a Fable: este verano ha demostrado que el control de la IA es más importante que la confianza

Seguridad de la IA: por qué el control es más importante que la confianza

Una brecha de seguridad relacionada con la IA autónoma en Hugging Face y la suspensión de Fable por parte de Anthropic ponen de manifiesto lo mismo: confiar en un proveedor no es lo mismo que tener el control.

Un agente de IA irrumpió en Hugging Face por su cuenta. El acceso de un proveedor de IA desapareció de la noche a la mañana. Esto es lo que tienen en común.

Detección de vulnerabilidades en cada fase: qué pruebas realizar y cuándo

¿Qué herramienta de pruebas de seguridad necesitas realmente?

SAST, La revisión en profundidad de las relaciones públicas, la auditoría de seguridad del código y las pruebas de penetración con IA detectan vulnerabilidades diferentes en distintas fases. A continuación te explicamos cuándo utilizar cada una de ellas y por qué.

SAST, la revisión en profundidad de las relaciones públicas, la auditoría de seguridad del código y las pruebas de penetración con IA detectan vulnerabilidades en distintas fases. A continuación te explicamos cuándo utilizar cada una de ellas y por qué.

¿Qué es la ingeniería de sistemas de tracción asistida por IA?

¿Qué es la ingeniería de arneses? | Los arneses de IA y su impacto en la seguridad de la IA

La ingeniería de harnesses es el código que rodea a un modelo de IA y lo convierte en un agente. Qué hace un harness, por qué es mejor que limitarse a elegir un modelo y cómo crear uno.

¿Quién estuvo detrás del atentado? Quizás nadie.

¿Quién estuvo detrás del ataque? Quizás nadie | Los ataques de los agentes autónomos de Anthropic, OpenAI y AISI

Tres revelaciones de este verano han puesto de manifiesto que agentes de IA han atacado a organizaciones reales sin que hubiera intervención humana alguna en el proceso. La respuesta ante incidentes aún no cuenta con un protocolo específico para este tipo de situaciones.

The Aikido Machine: un servicio « pentesting de IA » local que nunca sale de tu red

Aikido Machine: servidor « pentesting de IA » local | Aikido Security

pentesting de IA o continuo para equipos que no pueden utilizar la nube. Aikido Machine mantiene los modelos, el código y los resultados íntegramente dentro de tu red.

pentesting de IA o continuo implementado dentro de la red de organizaciones sometidas a una estricta regulación. Belfius, la entidad belga que combina banca y seguros, es la primera en implantarlo.

Keyv y sus amigos se han visto afectados por un ataque activo a la cadena de suministro de Shai-Hulud

Keyv y sus amigos se vieron afectados por un ataque a la cadena de suministro de npm

El 4 de agosto de 2026, el malware «Mini Shai-Hulud» se inyectó en keyv y en ocho paquetes npm relacionados después de que un atacante comprometiera la cuenta de GitHub del responsable del mantenimiento.

Las mejores herramientas SAST empresariales de 2026

Las mejores herramientas SAST empresariales 2026 | Aikido Security

Comparando las mejores herramientas SAST empresariales en reducción de ruido, remediación con IA, gobernanza, cumplimiento y coste.

El sueño febril de Anthropic: el paquete de Claude que robó claves reales

El sueño febril de Anthropic: el paquete anthropickit de Claude que robó claves reales

Anthropic reveló un agente que subió malware real a PyPI. Creemos haber encontrado el paquete, y cada error en él apunta a la IA.

Anthropic reveló que uno de sus propios agentes publicó malware activo en PyPI y comprometió a una empresa tercera real en el proceso. Fui a buscar, y podría haber encontrado el paquete que dejó.

Principales alternativas a Astra Security para pentesting automatizado en 2026

Las mejores alternativas a Astra Pentest para pruebas de seguridad | Aikido Security

Compare las alternativas a Astra Security para pentesting de IA en 2026 en cuanto a profundidad, pruebas de caja blanca, resultados de cumplimiento y amplitud de plataforma

Cuatro decisiones de respuesta a incidentes de la brecha de Hugging Face

Cuatro lecciones de respuesta a incidentes de la brecha de Hugging Face

Reconocimiento, credenciales robadas, C2 oculto y reconstruir o parchear. Cuatro decisiones de la brecha de Hugging Face que muestran si se puede detectar un ataque en curso.

Las mejores herramientas SAST de 2026

Las mejores herramientas SAST de 2026: Aikido, Snyk, Semgrep y más

Compare las mejores herramientas SAST de 2026 en cuanto a profundidad de detección, ruido, remediación y adecuación empresarial

Compare las mejores herramientas SAST de 2026 en cuanto a profundidad de detección, ruido, remediación y adecuación empresarial.

Las mejores herramientas de seguridad LLM para proteger aplicaciones de IA

Las Mejores Herramientas de Seguridad LLM en 2026 | Aikido Security

Compare las mejores herramientas de seguridad LLM para aplicaciones de IA, incluyendo Aikido, Snyk, Semgrep, Endor Labs y Wiz, en código, cadena de suministro y runtime.

Principales alternativas a Acunetix para el escaneo automatizado de vulnerabilidades

Principales alternativas a Acunetix para el escaneo de vulnerabilidades | Aikido Security

¿Explorando alternativas a Acunetix? Su DAST cubre comprobaciones basadas en reglas, pero no puede razonar sobre la lógica de negocio ni producir pentests de grado de auditoría. Cinco opciones que van más allá.

¿Explorando alternativas a Acunetix? Su DAST cubre controles estándar, pero no puede razonar sobre la lógica de negocio ni producir pentests con calidad de auditoría. Cinco opciones que van más allá.

Una mejor detección de secretos genéricos comienza con la búsqueda de no-secretos

Algunas claves API están destinadas a ser públicas. Betterleaks ahora las elimina de los hallazgos de secretos genéricos, reduciendo miles de falsos positivos por escaneo.

La inyección SQL no ha muerto

Las inyecciones SQL (y Little Bobby Tables) no han muerto

La solución para la inyección SQL tiene décadas y sigue funcionando. Entonces, ¿por qué el core de WordPress acaba de necesitar un parche de emergencia para una? Los datos y cómo defenderse de ella.

CISO de Tyro: Ser el "Einstein de la ciberseguridad" no es suficiente si los desarrolladores no confían en ti

El Einstein de la ciberseguridad sigue necesitando la confianza de los desarrolladores

Arun Singh, CISO de Tyro, sobre la confianza de los desarrolladores como un recurso finito y lo que sucede cuando los ataques a la cadena de suministro obligan a los equipos a gastarla

Lo que los desarrolladores deben saber sobre DSPM y la exposición de datos en el código

El DSPM tradicional identifica dónde residen los datos sensibles. El DSPM basado en código detecta cómo se exponen y señala la solución en su código.

La trampa de la actualización: cuando actualizar es la respuesta equivocada a una CVE

¿Por qué actualizar para corregir una CVE a menudo empeora las cosas | Aikido

Actualizar para corregir una CVE parece sencillo. Pero la versión parcheada a menudo rompe su aplicación, aún no se ha lanzado o no existe. Aquí le explicamos por qué y qué funciona realmente.

"Actualizar para solucionarlo" asume que existe una versión corregida, que ha sido lanzada y que no romperá tu aplicación. A menudo, ninguna de estas afirmaciones es cierta. Esta es la "trampa de la actualización", donde tanto actualizar como no actualizar conllevan riesgos de seguridad y la rotura de la producción. Analizamos cómo es la salida.

SleeperGem: ataque a la cadena de suministro de RubyGems dirigido a cuentas de mantenedores inactivas

SleeperGem: dos cuentas de mantenedores de RubyGems inactivas fueron secuestradas para inyectar malware en gemas de confianza, una con más de 500.000 descargas en total

RCE no autenticada en el core de WordPress (wp2shell), mediante inyección SQL

Vulnerabilidad de RCE no autenticada en el core de WordPress (wp2shell), mediante inyección SQL. ¡Parche la vulnerabilidad ahora!

El core de WordPress tiene una RCE no autenticada (wp2shell), confirmada como inyección SQL. Actualice a 7.0.2 o 6.9.5 ahora, con mitigaciones si aún no puede aplicar el parche. Bloquee la clase de ataque en tiempo de ejecución con Aikido Zen.

Las mejores alternativas a Pentera para pentesting automatizado

Las mejores alternativas a Pentera para pentesting automatizado | Aikido Security

Compare las mejores alternativas a Pentera para pentesting automatizado en 2026. Vea dónde encajan mejor Aikido Security, XBOW, Horizon3, Hadrian, RunSybil, Terra y Astra.

Benchmarking de 13 modelos de IA para redescubrir CVEs conocidos

Análisis comparativo de 13 modelos de IA en la detección de CVEs conocidos

Probamos 13 modelos de IA con 26 CVEs conocidos para ver cuál encuentra más vulnerabilidades, y si el modelo más caro vale la pena.

Probamos 13 modelos de IA para encontrar 26 CVE conocidos. GPT-5.6 encontró la mayoría, pero el modelo más caro no fue el mejor uso del presupuesto.

La lista de verificación práctica para defenderse de los ataques a la cadena de suministro

La lista de verificación práctica de ataques a la cadena de suministro | Aikido

Treinta defensas priorizadas contra la reciente oleada de ataques a la cadena de suministro de software. Clasificadas como críticas, altas o medias.

Paquetes npm de AsyncAPI con puerta trasera a través de GitHub Actions

Cinco versiones de paquetes, incluyendo especificaciones con aproximadamente 2 millones de descargas semanales, distribuyeron un dropper ofuscado el 14-07-2026. Esto es lo que hemos confirmado hasta ahora.

Cómo Aikido Intel detecta primero el malware y las vulnerabilidades

Aikido Intel es un feed en tiempo real que detecta malware y vulnerabilidades no reveladas en ecosistemas de código abierto, a menudo en los 8 minutos posteriores a su lanzamiento.

Aikido Intel es un feed de inteligencia de la cadena de suministro en tiempo real que detecta rápidamente malware y vulnerabilidades no reveladas en los ecosistemas de código abierto.

Encontrar ocho vulnerabilidades de alta gravedad en NodeBB en seis horas

Ocho vulnerabilidades de alta gravedad en NodeBB, encontradas por nuestro AI Pentest en seis horas. Desglose técnico completo de las cadenas XSS, los bypasses de autenticación y el secuestro de publicaciones.

¿Qué es un firewall de dependencias?

¿Qué es un firewall de dependencias? | Aikido Security

Un firewall de dependencias bloquea los paquetes de código abierto maliciosos antes de que se instalen. Descubra cómo funcionan y cómo Aikido Safe Chain detiene los ataques a la cadena de suministro.

Cómo mantener los estándares de calidad del código con código de IA y vibe coding

Vibe coding entrega funcionalidades rápidamente y deja atrás la deuda de revisión. Descubra cómo las comprobaciones de calidad del código, referenciadas y por regla, ofrecen a los equipos una respuesta coherente en todas las PRs y repos.

El @injectivelabs/sdk-ts comprometido exfiltra claves de monedero a través de telemetría falsa

Una versión maliciosa de @injectivelabs/sdk-ts ocultó un ladrón de claves de monedero dentro de código etiquetado como telemetría de uso, y luego lo propagó a otros 17 paquetes npm. Así es como funcionó y cómo comprobar sus proyectos.

Guía del comprador de pentesting de IA: Cómo evaluar proveedores de pentesting de IA

Guía del comprador de pentesting de IA | Evalúe proveedores de pentesting de IA

Aprenda a evaluar proveedores de pentesting de IA con criterios de compra prácticos, investigación de más de 1.000 pentests de IA y una lista de verificación de evaluación descargable.

Aprenda a evaluar proveedores de pentesting de IA con criterios de compra prácticos, investigación de más de 1.000 pentests de IA y una lista de verificación de evaluación.

Las mejores alternativas a Burp Suite para pruebas de seguridad de aplicaciones web

Las mejores alternativas a Burp Suite para pruebas de seguridad de aplicaciones web | Aikido Security

Compara las mejores alternativas a Burp Suite para DAST y pentesting de IA, incluyendo Aikido, Caido, ZAP e Invicti.

Principales alternativas a Chainguard 2026

Principales alternativas a Chainguard en 2026 | Aikido

Comparando las mejores alternativas a Chainguard en 2026, desde Aikido Security hasta Docker Hardened Images, Minimus, RapidFort y Echo.

Alternativas a Chainguard comparadas para imágenes de contenedor reforzadas y remediación de CVE sin migración forzada.

Las Mejores Fiestas, Eventos Paralelos y Encuentros de Seguridad de Black Hat USA 2026

Una guía seleccionada de las fiestas, happy hours, cenas de CISO y encuentros de seguridad de Black Hat USA 2026 en Las Vegas, incluyendo el Omega Mart After Hours de Aikido con AWS y Tailscale.

Predicción continua de MongoDB ObjectId en Rocket.Chat

El pentester de IA de Aikido encontró esta vulnerabilidad de acceso a archivos en Rocket.Chat. Un examen más detallado del ObjectId de MongoDB mostró la debilidad aleatoria que lo hace explotable.

El pentester de IA de Aikido encontró este fallo de acceso a archivos en Rocket.Chat. Un análisis más detallado de ObjectId() de MongoDB reveló la débil aleatoriedad que lo hace explotable.

Bypass de autenticación en la configuración predeterminada de phpBB

Nuestros agentes de pentesting de IA encontraron un bypass de autenticación crítico en phpBB (CVE-2026-48611): una única solicitud no autenticada te permite iniciar sesión en cualquier cuenta. Consulta el exploit y la solución.

Aikido adquiere Root para asegurar la cadena de suministro

Aikido ha adquirido Root para asegurar la cadena de suministro de software, solucionando vulnerabilidades de código abierto en la versión que ya utilizas, sin necesidad de actualización. Las correcciones críticas se devuelven a la comunidad de forma gratuita.

Y otra más. GitHub lanza la revocación de credenciales de emergencia

GitHub lanza la revocación de credenciales de emergencia

La revocación de credenciales de emergencia ya está disponible en GitHub Enterprise. Los casos repetidos de Trivy y Microsoft durabletask demuestran por qué era necesaria una revocación rápida y completa.

GitHub Enterprise ahora puede revocar todas las credenciales de una cuenta en una sola acción. El ataque a Trivy y el propio compromiso de durabletask de Microsoft demuestran por qué esto era algo que se esperaba desde hace tiempo.

npm ahora congela las cuentas de alto impacto después de cambios de cuenta arriesgados

Un vistazo a la nueva congelación de cuentas de 72 horas de npm: qué la activa, qué bloquea y cómo funciona junto con la publicación de confianza y por fases.

Principales alternativas a Koi en 2026

Principales alternativas a Koi Security en 2026 | Aikido

¿Busca una alternativa a Koi Security después de la adquisición por parte de Palo Alto? Compare a los competidores en protección de dispositivos, amplitud de plataforma y precios.

Acción de GitHub comprometida codfish/semantic-release-action roba secretos de CI/CD

codfish/semantic-release-action fue comprometida el 24 de junio de 2026. Los atacantes redirigieron las etiquetas v2-v5 a una carga útil de Miasma para el robo de credenciales dirigida a los secretos de CI/CD. Esto es lo que ocurrió y cómo comprobar si estás afectado.

Todo el mundo está lanzando código que no puede leer

Con la IA, ahora todo el mundo es desarrollador y se envía mucho código sin una revisión cuidadosa por parte de expertos.

Aikido x Drydock | Una forma para que los mantenedores detecten malware antes de su publicación

Aikido se asocia con Drydock para ofrecer una revisión de malware previa a la publicación en npm y PyPI

Aikido se asocia con Drydock para ofrecer una revisión de paquetes previa a la publicación en npm y PyPI. Ve exactamente qué contiene una versión antes de su publicación, malware detectado antes de la primera descarga.

Aikido se asocia con Drydock para que los mantenedores de npm y PyPI puedan ver exactamente qué contiene una versión antes de que se publique. Detecta el malware antes de su publicación, no después.

Packagist ahora está protegido por Aikido Intel y otras actualizaciones del registro PHP

El feed de malware de Aikido ahora bloquea por defecto las versiones de paquetes maliciosos en Composer. Un análisis de cómo Packagist está cerrando clases enteras de ataques a la cadena de suministro.

El feed de malware de Aikido ahora bloquea por defecto las versiones de paquetes marcadas en Composer para todos los que instalan desde Packagist.org, sin necesidad de activar nada. Durante el último año, Packagist y Composer han estado cerrando clases enteras de ataques a la cadena de suministro a nivel de registro. Esto es lo que han lanzado y por qué todos los registros deberían funcionar de esta manera.

Aikido x OWASP: 200 créditos gratuitos para miembros individuales

Aikido y OWASP: 200 créditos gratuitos para miembros

Los miembros individuales de OWASP obtienen 200 créditos gratuitos de Aikido para ejecutar Code Audit. Aquí le indicamos quiénes califican y cómo reclamar los suyos en dos pasos.

Los miembros individuales de OWASP obtienen 200 créditos gratuitos de Aikido para ejecutar Code Audit. Aquí le explicamos cómo solicitar los suyos en dos pasos.

Aikido

Más de 140 paquetes npm populares de Mastra afectados por un ataque a la cadena de suministro

Múltiples plugins de IDE de JetBrains detectados robando claves de IA

Una campaña coordinada de al menos 15 plugins de IDE de JetBrains, publicados bajo siete cuentas de proveedor, exfiltra la clave API del proveedor de IA que pegas en su configuración.

Full Fathom Five: El contexto del lanzamiento público de clase Mythos de Anthropic

Full Fathom Five: Lo que significa el lanzamiento público de clase Mythos de Anthropic

5 alternativas de seguridad a Socket y por qué son mejores

5 alternativas a Socket Security y por qué son mejores

npm v12 ofrece una de las mayores mejoras de seguridad en años

Aikido x Docker: menos ruido, más señal en tus contenedores

Aikido es compatible con Docker Hardened Images con VEX

Escanea imágenes Docker Hardened en Aikido con filtrado VEX automático para CVEs no explotables.

El código se escribe en todas partes, y el dispositivo es la única constante

El Código Se Escribe En Todas Partes y el Dispositivo Es la Única Constante | Aikido Security

Los desarrolladores están programando en todas partes. Los agentes de IA, los bots de Slack y los servidores MCP han convertido el dispositivo del desarrollador en el mayor punto ciego de seguridad.

SBOMs en 2026: Todo el mundo los genera, nadie los usa

SBOMs en 2026: Todo el mundo los genera, nadie los utiliza | Aikido Security

El informe de adopción de SBOM de ENISA de 2026 cubre 334 organizaciones y revela una brecha constante entre la generación de SBOMs y su uso real. Esto es lo que destacó.

El crate de Rust comprometido onering realiza exfiltración de código

El crate de Rust onering comprometido v1.4.1 en crates.io incluía un build.rs malicioso que exfiltra el diff de su último commit a un endpoint de Sentry alojado cada vez que compila.

Vulnerabilidad crítica de 10 años en phpBB que afecta a decenas de millones de usuarios en miles de foros

Vulnerabilidad Crítica de phpBB: Bypass de Autenticación + RCE Desde 2014

Espera, ¿qué puede hacer binding.gyp? Explorando el sistema de compilación más extraño de npm

¿Qué es AI SAST?

Las 5 mejores alternativas a Tenable Nessus en 2026

Las 5 mejores alternativas a Tenable Nessus en 2026 | Aikido Security

Por qué EDR y los proxies no le salvarán del malware de la cadena de suministro

Deja paso, Mythos. Aquí llega... prácticamente cualquier otro modelo con un buen harness

Deja paso, Mythos. Aquí llega cualquier modelo con un buen harness.

Mythos tiene ventajas reales en la construcción de cadenas de explotación. Pero para la mayoría del trabajo de AppSec, el harness alrededor del modelo importa más que el modelo que elijas.

Paquetes npm de Red Hat comprometidos para propagar un gusano de robo de credenciales

Presentamos « análisis de código con IA »: descubre vulnerabilidades complejas ocultas en tu código fuente

Lo que MDM no puede proteger en máquinas de desarrolladores (y qué hacer al respecto)

Lo que MDM no puede proteger en máquinas de desarrolladores

Las mejores alternativas a GitGuardian para el escaneo de secretos en 2026

Una interfaz de usuario remota de Codex de aspecto legítimo roba secretamente tus tokens de IA

Aikido vs XBOW: 58% más vulnerabilidades encontradas en un benchmark independiente

Por qué las máquinas de los desarrolladores son ahora el objetivo número uno de los ataques a la cadena de suministro

Por qué las máquinas de los desarrolladores son el objetivo n.º 1 de los ataques a la cadena de suministro | Aikido

Equipos de Omnea, Cognism, Glasswall, Raisin y el sector público del Reino Unido revelan por qué EDR y MDM no detectan lo que realmente ocurre en las máquinas de los desarrolladores.

Ataque a la cadena de suministro dirigido a paquetes Laravel-Lang con un ladrón de credenciales

5 alternativas a Gitleaks y por qué son mejores

5 alternativas a Gitleaks para un mejor escaneo de secretos en 2026

¿Busca una alternativa a Gitleaks? Comparamos Betterleaks, TruffleHog, Aikido, GitHub Advanced Security y Spectral para que pueda encontrar el mejor escáner de secretos para su equipo.

¡Gracias! ¡Su envío ha sido recibido!

¡Vaya! Algo salió mal al enviar el formulario.

Noviembre 4, 2025

•

Guías y Mejores Prácticas

Las 10 principales vulnerabilidades de seguridad en JavaScript en aplicaciones web modernas

Etiquetas/

#Vulnerabilidades

#DevSecOps

Octubre 31, 2025

•

Vulnerabilidades y amenazas

El Retorno de la Amenaza Invisible: Unicode PUA Oculto Afecta a los Repositorios de GitHub

Etiquetas/

#Malware

Octubre 27, 2025

•

Guías y Mejores Prácticas

¿Qué es el escaneo de seguridad de IaC? Explicación de las malas configuraciones en Terraform, Kubernetes y la nube.

Etiquetas/

#Infraestructura como Código (IaC)

#Nube

Octubre 22, 2025

•

Guías y Mejores Prácticas

Las principales vulnerabilidades de la seguridad de la cadena de suministro de software explicadas

Etiquetas/

#Seguridad de la cadena de suministro de software

#Vulnerabilidades

Octubre 20, 2025

•

Guías y Mejores Prácticas

Las 10 principales vulnerabilidades de seguridad en aplicaciones web que todo equipo debería conocer

Etiquetas/

#AppSec

#Vulnerabilidades

#DevSecOps

Octubre 20, 2025

•

Guías y Mejores Prácticas

¿Qué es CSPM (y CNAPP)? Gestión de la postura de seguridad en la nube explicada

Etiquetas/

#CSPM

#CNAPP

Octubre 14, 2025

•

Guías y Mejores Prácticas

Las 9 principales vulnerabilidades y configuraciones erróneas de seguridad de Kubernetes

Etiquetas/

#Vulnerabilidades

#AppSec

Octubre 13, 2025

•

Guías y Mejores Prácticas

Masterclass de Seguridad: CISOs de Supabase y Lovable sobre cómo construir rápido y mantenerse seguro

Etiquetas/

#Artículo

Octubre 13, 2025

•

Cumplimiento

Aikido + Secureframe: Manteniendo los datos de cumplimiento actualizados

Etiquetas/

#Cumplimiento

#SOC 2

Octubre 5, 2025

•

Guías y Mejores Prácticas

Las 10 principales vulnerabilidades de seguridad en Python que los desarrolladores deben evitar

Etiquetas/

#Vulnerabilidades

#DevSecOps

Octubre 2, 2025

•

Guías y Mejores Prácticas

Seguridad de la cadena de suministro: la guía definitiva de herramientas de análisis de composición de software (SCA)

Etiquetas/

#SCA

#Herramientas

Septiembre 24, 2025

•

Guías y Mejores Prácticas

La guía definitiva de SAST: ¿Qué son las Pruebas de seguridad de aplicaciones estáticas?

Etiquetas/

#SAST

#AppSec

Agosto 12, 2026

•

Actualizaciones de producto y empresa

Detección de vulnerabilidades en cada fase: qué pruebas realizar y cuándo

Pentesting con IA

Agosto 5, 2026

•

Actualizaciones de producto y empresa

The Aikido Machine: un servicio « pentesting de IA » local que nunca sale de tu red

pentesting de IA o continuo para equipos que no pueden utilizar la nube. Aikido Machine mantiene los modelos, el código y los resultados íntegramente dentro de tu red.

Pentesting con IA

Anuncios

Pentesting Continuo

Ciberseguridad Europea

Julio 14, 2026

•

Actualizaciones de producto y empresa

Cómo Aikido Intel detecta primero el malware y las vulnerabilidades

Aikido Intel es un feed en tiempo real que detecta malware y vulnerabilidades no reveladas en ecosistemas de código abierto, a menudo en los 8 minutos posteriores a su lanzamiento.

intel

Aikido Device Protection

SCA

Septiembre 8, 2026

•

Vulnerabilidades y amenazas

Un paquete de Flutter comprometido en pub.dev contiene el malware XCSSET

Malware

Septiembre 7, 2026

•

Vulnerabilidades y amenazas

Shai-Hulud resucita tras 111 días

Una carga útil conocida del gusano Shai-Hulud permaneció inactiva durante 111 días y, posteriormente, se volvió a publicar en npm, eludiendo el análisis de malware destinado a detectarla.

intel

Malware

Vulnerabilidades

Septiembre 7, 2026

•

Vulnerabilidades y amenazas

Solución de StyleSmuggler: aplicar el parche para la vulnerabilidad de ejecución remota de código (RCE) en Magento y Adobe Commerce

Junio 12, 2026

•

Herramientas DevSec y comparaciones

5 alternativas de seguridad a Socket y por qué son mejores

Aikido Zen

Malware

open source

Agosto 19, 2025

•

Herramientas DevSec y comparaciones

Las 13 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026

Descubra las 13 mejores herramientas de Pruebas de seguridad de aplicaciones dinámicas (DAST) en 2026. Compare características, ventajas, desventajas e integraciones para elegir la solución DAST adecuada.

Herramientas

DAST

Julio 18, 2025

•

Herramientas DevSec y comparaciones

Las 14 mejores herramientas de escaneo de contenedores en 2026

Descubre las 14 mejores herramientas de escaneo de contenedores en 2026. Compara características, ventajas, desventajas e integraciones para elegir la solución adecuada para tu pipeline de DevSecOps.

Herramientas

Escaneo de contenedores