.avif)
Noticias de Seguridad de la Cadena de Suministro de Software
Manténgase al día con los últimos incidentes de seguridad de la cadena de suministro de software, incluyendo paquetes maliciosos, ataques a dependencias y brechas de seguridad reales. Analizamos lo que sucedió, por qué es importante y qué deben solucionar los desarrolladores para mantenerse a la vanguardia.
La campaña «wfx-loot» introduce un programa para robar información confidencial de CI en decenas de miles de repositorios
Una oleada de cuentas comprometidas está difundiendo un programa para robar información confidencial. Comprueba si te has visto afectado, qué datos roba y qué credenciales debes cambiar.
Una vulnerabilidad crítica del núcleo de Linux relacionada con el protocolo TCP puede permitir la ejecución remota de código (CVE-2026-98432)
CVE-2026-98432 es una vulnerabilidad crítica del protocolo TCP del núcleo de Linux, con una puntuación de 9,8, que puede permitir la ejecución remota de código. Descubre quiénes se ven afectados, cómo aplicar el parche y qué hacer ahora.
Node2Shell evoluciona a HTTP2Shell. El alcance de la vulnerabilidad de Brotli (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP.
La vulnerabilidad de Brotli subyacente a Node2Shell (CVE-2026-111497) afecta a numerosas bibliotecas y aplicaciones que utilizan HTTP y tienen instalado Brotli o brotlicffi. Comprueba tus versiones y actualízalas con el parche correspondiente.
Malware Unicode invisible ataca OpenVSX, de nuevo
Otra oleada de extensiones de Open VSX fue comprometida hoy.
El Retorno de la Amenaza Invisible: Unicode PUA Oculto Afecta a los Repositorios de GitHub
Los actores de amenazas están utilizando caracteres Unicode no imprimibles para
Bugs en Shai-Hulud: Depurando el desierto
El gusano Shai Hulud tenía sus propios errores y requirió ser parcheado por los atacantes. También examinamos una cronología de los eventos para ver cómo se desarrollaron.
Los atacantes de S1ngularity/nx atacan de nuevo
Los atacantes detrás del ataque nx han vuelto a golpear, apuntando a una gran cantidad de paquetes con una carga útil de tipo gusano sin precedentes.
Tuvimos Suerte: El desastre de la cadena de suministro que casi ocurre
Dieciocho paquetes de código abierto ampliamente utilizados fueron comprometidos, descargados miles de millones de veces e incrustados en casi todos los entornos de nube. La comunidad se libró por poco. Pero este incidente cercano demuestra lo frágil que es realmente nuestra cadena de suministro de software.
Paquetes npm de duckdb comprometidos
El popular paquete duckdb fue comprometido por los mismos atacantes que afectaron a debug y chalk.
Paquetes npm debug y chalk comprometidos
Los populares paquetes debug y chalk en npm han sido comprometidos con código malicioso.
Sin un grafo de dependencias que abarque código, contenedores y la nube, estás ciego a las vulnerabilidades reales
Deja de ahogarte en CVEs. Sin un grafo de dependencias que abarque código, contenedores y la nube, pasarás por alto vulnerabilidades reales y perseguirás falsos positivos.
Paquetes nx populares comprometidos en npm
El popular paquete nx en npm fue comprometido, y los datos robados se publicaron públicamente en GitHub.
WTF es Vibe Coding Security? Riesgos, ejemplos y cómo mantenerse seguro
El "vibe coding" es la nueva tendencia de codificación con IA donde cualquiera puede crear una aplicación en horas. Pero desde el borrado de la base de datos de Replit hasta las aplicaciones de té expuestas, los riesgos son reales. Aprenda qué significa la seguridad en el "vibe coding", la diferencia con la codificación agéntica y cómo los CISO pueden mantener el espíritu sin las vulnerabilidades.
Una mirada más profunda al actor de amenaza detrás del ataque a react-native-aria
Investigamos la actividad del actor de amenazas que comprometió los paquetes react-native-aria en npm, y cómo están evolucionando sus ataques.
Paquete malicioso de robo de criptomonedas dirigido a desarrolladores Web3 en una operación norcoreana
Aikido Security descubre un ataque a la cadena de suministro vinculado a Corea del Norte que utiliza el paquete npm falso web3-wrapper-ethers para robar claves privadas a desarrolladores Web3. Vinculado a Void Dokkaebi, el actor de amenazas imita operaciones pasadas de robo de criptomonedas de la RPDC. Descubre cómo funcionó el ataque y qué hacer si te ves afectado.
Asegura tu plataforma ahora
Protege tu código, la nube y el entorno de ejecución en un único sistema central.
Encuentra y corrije vulnerabilidades de forma rápida y automática.
