.avif)
Noticias de Seguridad de la Cadena de Suministro de Software
Manténgase al día con los últimos incidentes de seguridad de la cadena de suministro de software, incluyendo paquetes maliciosos, ataques a dependencias y brechas de seguridad reales. Analizamos lo que sucedió, por qué es importante y qué deben solucionar los desarrolladores para mantenerse a la vanguardia.
La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios
Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.
Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)
CVE-2026-98432 es una vulnerabilidad crítica del protocolo TCP del núcleo de Linux, con una puntuación de 9,8, que puede permitir la ejecución remota de código. Descubre quiénes se ven afectados, cómo aplicar el parche y qué hacer ahora.
Node2Shell evoluciona a HTTP2Shell. El alcance de la vulnerabilidad de Brotli (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP.
La vulnerabilidad de Brotli subyacente a Node2Shell (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP y tienen instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.
Shai-Hulud resucita tras 111 días
Una carga útil de gusano conocida de Shai-Hulud permaneció latente durante 111 días y luego se volvió a publicar en npm, burlándose por completo del escaneo de malware diseñado para detectarla.
Solución para StyleSmuggler: parchea la RCE de Magento y Adobe Commerce
StyleSmuggler es una vulnerabilidad RCE sin autenticación que afecta a Magento y Adobe Commerce, sin CVE y sin un parche oficial de Adobe por ahora. Aikido ya dispone de la solución.
MECCHA CHAMELEON no puede esconderse de la RCE
Hemos descubierto una segunda RCE con retardo en MECCHA CHAMELEON: un mapa personalizado malicioso podía escribir archivos en cualquier parte del sistema y ejecutar código tras un reinicio. Ya se ha solucionado en la versión 4.0.0.
Un popular generador de código para TanStack Query afectado por un gusano de la cadena de suministro
Se descubrió un gusano en la cadena de suministro oculto en @7nohe/openapi-react-query-codegen, un popular generador de código para TanStack Query, que roba credenciales y se propaga a todos los paquetes que mantiene la víctima.
Las crates populares de Rust «arrayref», «append-only-vec» e «internment» se han visto comprometidas en un ataque a la cadena de suministro
Un ataque a la cadena de suministro comprometió las populares cajas (crates) de Rust: arrayref, append-only-vec e internment, inyectando una dependencia del paquete malicioso proc-macro1, que descarga y ejecuta una carga útil remota en tiempo de compilación.
¡Otro RCE más en Gogs, pero esta vez ya está solucionado!
CVE-2026-52813 | Un agente de pruebas de penetración de Aikido detectó un error de recorrido de rutas en Gogs. Lo convertimos en un caso de ejecución remota de código (RCE) completo y notificamos otros dos errores, todos ellos corregidos en la versión 0.14.3.
Keyv y sus amigos se han visto afectados por un ataque activo a la cadena de suministro de Shai-Hulud
El malware Mini Shai-Hulud fue inyectado en keyv y en otros ocho paquetes npm relacionados el 4 de agosto de 2026, después de que un atacante vulnerara la cuenta de GitHub del mantenedor
El sueño febril de Anthropic: el paquete de Claude que robó claves reales
Anthropic reveló un agente que subió malware real a PyPI. Creemos haber encontrado el paquete, y cada error en él apunta a la IA.
Encontrar ocho vulnerabilidades de alta gravedad en NodeBB en seis horas
Ocho vulnerabilidades de alta gravedad en NodeBB, encontradas por nuestro AI Pentest en seis horas. Desglose técnico completo de las cadenas XSS, los bypasses de autenticación y el secuestro de publicaciones.
SleeperGem: ataque a la cadena de suministro de RubyGems dirigido a cuentas de mantenedores inactivas
SleeperGem: dos cuentas de mantenedores de RubyGems inactivas fueron secuestradas para inyectar malware en gemas de confianza, una con más de 500.000 descargas en total
RCE no autenticada en el core de WordPress (wp2shell), mediante inyección SQL
El core de WordPress tiene una RCE no autenticada (wp2shell), confirmada como inyección SQL. Actualice a 7.0.2 o 6.9.5 ahora, con mitigaciones si aún no puede aplicar el parche. Bloquee la clase de ataque en tiempo de ejecución con Aikido Zen.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
