Últimos artículos
Blog de seguridad de aplicaciones
Explicaciones de CVE, patrones de revisión de código y orientación práctica para quienes desarrollan y gestionan software.
PHP2Shell: CVE-2026-109618 y el límite del runtime
Análisis técnico de PHP2Shell: CVE-2026-109618, las etapas de corrupción de memoria propuestas, la evidencia sobre versiones de PHP, las dependencias de configuración y la verificación de la corrección.
Leer el artículoGhostAction: borrar un secreto no es revocarlo
GhostAction rebusca secretos antiguos. Separe la rotación de la limpieza del historial de Git y verifique que las credenciales expuestas y la vía de inyección en los workflows están cerradas.
Leer el artículoLMCache CVE-2026-105192: ejecución antes del rechazo
LMCache CVE-2026-105192 llega a pickle durante la decodificación de mensajes. Siga el parche, los llamadores del transporte y las evidencias necesarias para confiar en una prueba de regresión negativa.
Leer el artículoConnectWise Cloud Backup: la aplicación nunca necesitó MFA
El incidente de ConnectWise Cloud Backup revela las brechas entre el MFA de los usuarios, el consentimiento de aplicaciones y la revocación de tokens. Vea qué evidencias demuestran realmente la contención.
Leer el artículoInstale herramientas de programación con IA sin fiarse del nombre de un paquete
Instale las herramientas de programación con IA desde una fuente verificada. Compruebe la identidad del editor, la integridad del artefacto y el acceso de ejecución antes de compartir repositorios o credenciales.
Leer el artículoCVE-2026-104935: Ivanti confía en la cabecera, no en la URL
CVE-2026-104935 encadena una cabecera de enrutamiento y una carrera en la subida de archivos hasta lograr ejecución de código en Ivanti Connect Secure. El root completo necesita un tercer fallo, todavía sin parchear.
Leer el artículoConfusión de algoritmos en fast-jwt: corregida a la tercera
fast-jwt ha parcheado tres veces la confusión de algoritmos de RSA a HS256. CVE-2026-107722 muestra por qué las dos primeras correcciones cerraron una entrada y no la regla.
Leer el artículoCVE-2026-85097: Bricksforge confía en el nombre de archivo que le das
CVE-2026-85097 permite a un visitante sin autenticar colocar una shell PHP mediante un formulario de Bricksforge. Así funciona el fallo de confianza y así puedes revisar tus archivos subidos.
Leer el artículoCVE-2026-21589: la lectura de archivos de Atlassian que se esconde tras ::
CVE-2026-21589 es una lectura de archivos sin autenticación en ocho productos Data Center de Atlassian. Este es el error de orden que la provoca, y cómo comprobar su propio código.
Leer el artículoCompromiso de axios en npm: cómo se rompió la cadena de confianza
El compromiso de axios en npm no fue un fallo de código. Siga los seis eslabones de la cadena de confianza, el control que rompe cada uno y lo que cambia npm 12.
Leer el artículoDespués de React2Shell: tres límites de seguridad que toda revisión de componentes de servidor necesita
Un método técnico de revisión para React2Shell y CVE-2026-23864: separe la decodificación segura, los controles de permisos y el trabajo acotado, y después verifique la compilación desplegada.
Leer el artículoEl ataque a Axios de 2026: por qué un árbol de dependencias limpio no exonera a un runner de compilación
Un análisis basado en evidencias del compromiso de la cadena de suministro de Axios: rastree la instalación de paquetes, la ejecución de código y el alcance de las credenciales antes de declarar completa la recuperación.
Leer el artículoCVE-2024-26855: cuando un atributo ausente se convierte en una desreferencia de NULL
Una corrección del controlador ice de Linux ilustra un error habitual en la revisión de código: tratar el resultado opcional de un analizador como un objeto garantizado.
Leer el artículoCVE-2025-37858: un destino de 64 bits no arregla un desplazamiento estrecho
Un cálculo de los grupos de asignación de JFS demuestra por qué la revisión de código debe examinar la anchura de una operación antes de que se asigne su resultado.
Leer el artículoRevisión de seguridad del código o prueba de penetración: ¿qué debe contratar?
Elija el encargo a partir de la pregunta que su equipo de producto necesita responder, del acceso disponible y del cambio que debe realizar.
Leer el artículo
08Contacto
¿Va a lanzar algo que trata datos de usuarios?
Envíeme un breve resumen. Respondo en un plazo de tres días con preguntas o un esbozo de propuesta, y el precio se acuerda por escrito antes de empezar.