.avif)
Noticias de Seguridad de la Cadena de Suministro de Software
Manténgase al día con los últimos incidentes de seguridad de la cadena de suministro de software, incluyendo paquetes maliciosos, ataques a dependencias y brechas de seguridad reales. Analizamos lo que sucedió, por qué es importante y qué deben solucionar los desarrolladores para mantenerse a la vanguardia.
La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios
Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.
Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)
CVE-2026-98432 es una vulnerabilidad crítica del protocolo TCP del núcleo de Linux, con una puntuación de 9,8, que puede permitir la ejecución remota de código. Descubre quiénes se ven afectados, cómo aplicar el parche y qué hacer ahora.
Node2Shell evoluciona a HTTP2Shell. El alcance de la vulnerabilidad de Brotli (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP.
La vulnerabilidad de Brotli subyacente a Node2Shell (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP y tienen instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.
Las claves API de Google siguen funcionando después de eliminarlas
Eliminar una clave API de Google no la revoca de inmediato. Nuestras pruebas encontraron autenticaciones exitosas hasta 23 minutos después de la eliminación, y Google se ha negado a solucionarlo.
El Salvaje Oeste de las extensiones de VS Code y cómo una extensión envenenada vulneró GitHub
Una extensión de VS Code envenenada vulneró GitHub ayer, un día después de que Nx Console (2,2 millones de instalaciones) fuera comprometida durante 18 minutos en el Visual Studio Marketplace y llegara a todos los usuarios con la actualización automática activada.
GitHub comprometido a través de una extensión maliciosa de VS Code: por qué los dispositivos de los desarrolladores son el verdadero objetivo
GitHub confirmó que una extensión de VS Code maliciosa comprometió un dispositivo de un empleado, exponiendo 3.800 repositorios internos. Por qué las estaciones de trabajo de los desarrolladores son ahora el principal objetivo de la cadena de suministro.
El paquete «durabletask» de Microsoft en PyPi ha sido comprometido. ¡Mini Shai Hulud ataca de nuevo... otra vez!
Tres versiones progresivamente comprometidas de un paquete de Python próximo a Microsoft entregan un infostealer completo que se propaga a través de AWS y Kubernetes, exfiltra todas las credenciales de la nube que puede encontrar y borra los discos en sistemas israelíes e iraníes
Mini Shai-Hulud ataca de nuevo: un gusano npm compromete cientos de paquetes @antv
El gusano de npm Mini Shai-Hulud ha afectado a los paquetes @antv de Alibaba, echarts-for-react y timeago.js. La carga útil roba secretos de CI/CD, implanta puertas traseras en VS Code y Claude Code, y se propaga republicando paquetes comprometidos. Aquí explicamos lo que sucedió y cómo proteger a su equipo.
Mini Shai-Hulud está de vuelta: el gusano npm afecta a más de 160 paquetes, incluyendo Mistral y Tanstack
Mini Shai-Hulud ha vuelto, comprometiendo 169 paquetes npm de TanStack, UiPath, Squawk y otros para robar secretos de desarrolladores y CI/CD, y luego propagarse a través de flujos de trabajo de publicación de confianza.
Paquete Popular PyTorch Lightning Comprometido por Mini Shai-Hulud
Malware encontrado en las versiones populares 2.6.2 y 2.6.3 de PyTorch Lightning, robando credenciales, monederos de criptomonedas y configuraciones de VPN como parte de la campaña Mini Shai-Hulud.
Mini Shai-Hulud ataca paquetes npm de SAP con un ladrón de secretos basado en Bun
Paquetes npm de SAP comprometidos utilizan un payload de preinstalación basado en Bun para robar secretos de GitHub, npm, la nube y CI, y luego se propagan a través de GitHub usando OhNoWhatsGoingOnWithGitHub.
Alguien publicó cuatro versiones de un paquete falso "tanstack" en 27 minutos para robar sus archivos .env
Un paquete npm falso "tanstack" publicó hoy cuatro versiones maliciosas en 27 minutos, exfiltrando archivos .env a través de un hook postinstall. Esto es lo que sucedió, quiénes fueron afectados y cómo rotar sus credenciales.
Es hora de tratar las extensiones de navegador como vectores de ataque de la cadena de suministro
La brecha de Vercel siguió un patrón bien conocido en la industria de la seguridad, donde el código de terceros se confía implícitamente y luego se ve comprometido en la cadena de suministro. Tenemos un marco para ello. Simplemente aún no lo hemos aplicado a las extensiones de navegador. (Spoiler: Hacemos esto para las dependencias de software)
¿Ha vuelto Shai-Hulud? La CLI de Bitwarden comprometida contiene un gusano npm auto-propagable
Se ha encontrado malware en @bitwarden/cli v2026.4.0 que roba claves SSH, secretos de la nube y credenciales de herramientas de codificación de IA, y luego se propaga a través de los propios paquetes npm de las víctimas. En su interior: un gusano que se autodenomina "Shai-Hulud: The Third Coming."
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
