.avif)
Noticias de Seguridad de la Cadena de Suministro de Software
Manténgase al día con los últimos incidentes de seguridad de la cadena de suministro de software, incluyendo paquetes maliciosos, ataques a dependencias y brechas de seguridad reales. Analizamos lo que sucedió, por qué es importante y qué deben solucionar los desarrolladores para mantenerse a la vanguardia.
La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios
Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.
Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)
CVE-2026-98432 es una vulnerabilidad crítica del protocolo TCP del núcleo de Linux, con una puntuación de 9,8, que puede permitir la ejecución remota de código. Descubre quiénes se ven afectados, cómo aplicar el parche y qué hacer ahora.
Node2Shell evoluciona a HTTP2Shell. El alcance de la vulnerabilidad de Brotli (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP.
La vulnerabilidad de Brotli subyacente a Node2Shell (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP y tienen instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.
¿Cómo los equipos de seguridad se defienden de los hackers impulsados por IA?
La IA ha reducido drásticamente la barrera de entrada para los hackers. Esto es lo que significa para los defensores y cómo el pentesting de IA continuo cambia la ecuación.
XSS/RCE persistente usando WebSockets en el servidor de desarrollo de Storybook
CVE-2026-27148 expone una vulnerabilidad de secuestro de WebSocket en Storybook que puede escalar a un compromiso de la cadena de suministro. Conozca la ruta de ataque, el impacto y cómo remediarlo.
SSRF de lectura completa en Astro mediante inyección de cabecera Host
El agente de pentesting de IA de Aikido Security descubrió una vulnerabilidad de Server-Side Request Forgery (SSRF) en la implementación SSR de Astro. Descubre cómo la inyección de cabecera Host en páginas de error prerrenderizadas permitió el acceso completo a la red interna.
SvelteSpill: Un error de engaño de caché en SvelteKit + Vercel
SvelteSpill es una vulnerabilidad de engaño de caché que afecta a las aplicaciones SvelteKit predeterminadas desplegadas en Vercel. Las respuestas autenticadas pueden ser almacenadas en caché y expuestas a través de los usuarios. Descubra cómo comprobar si es vulnerable y cómo mitigar el riesgo.
La backdoor de npm permite a los hackers secuestrar los resultados de los juegos de azar
Un ataque dirigido a la cadena de suministro de npm instala una backdoor de Express, habilita el acceso remoto a SQL/archivos y reescribe los saldos de apuestas manteniendo los registros consistentes.
Confusión con npx: Paquetes que olvidaron reclamar su propio nombre
Reclamamos 128 nombres de paquetes npm no registrados que la documentación oficial indicaba a los desarrolladores que usaran con npx. Siete meses después: 121.000 descargas. Todos habrían ejecutado código arbitrario.
Extensión falsa de Clawdbot para VS Code instala ScreenConnect RAT
Una extensión maliciosa de VS Code que suplanta a Clawdbot está instalando ScreenConnect RAT en máquinas de desarrolladores.
G_Wagon: Paquete npm despliega un Stealer de Python dirigido a más de 100 carteras de criptomonedas
El paquete npm ansi-universal-ui entrega el infostealer GWagon dirigido a más de 100 carteras de criptomonedas, credenciales de navegador y claves de la nube. Analizamos las 10 versiones mientras el atacante iteraba en tiempo real.
A la pesca de credenciales: Paquetes npm que sirven páginas personalizadas de recolección de credenciales
Una campaña de spear-phishing dirigida utilizó paquetes npm y jsDelivr como infraestructura de phishing gratuita, sirviendo recolectores de credenciales personalizados por víctima
Paquetes PyPI maliciosos spellcheckpy y spellcheckerpy distribuyen un RAT de Python.
Los atacantes publicaron paquetes falsos de corrector ortográfico en PyPI con malware oculto a plena vista. Analizamos el ataque y lo que los desarrolladores deben tener en cuenta.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
