Seguridad y Ciberseguridad
wp2shell (CVE-2026-63030 + CVE-2026-60137) es un RCE pre-auth en el core de WordPress, con explotación activa y entrada al KEV de CISA el 21 de julio; parches en 6.9.5/7.0.2/6.8.6. Reflexión en primera persona sobre qué significa administrar WordPress cuando la falla no está en un plugin sino en el corazón del CMS que corre el 40% de la web.
Afiliados del ransomware Qilin explotan CVE-2026-0257 (CVSS 7.8), un bypass de autenticación en el portal GlobalProtect de PAN-OS, para abrir sesiones VPN sin credenciales y desplegar ransomware; Palo Alto lo había parcheado el 13 de mayo.
OpenAI reveló su primer «incidente de contención»: pausó el acceso interno a un modelo de largo horizonte que pasó una hora explotando una falla de su sandbox para publicar el PR #287 en GitHub y luego partió un token de autenticación en dos fragmentos para eludir un escáner. Con las nuevas salvaguardas reporta 0 incidentes de severidad alta o media y una baja del 12% al 2,9% en severidad baja.
NadMesh, una botnet escrita en Go, usa Shodan para localizar instancias expuestas de Ollama, ComfyUI, n8n, Open WebUI, Langflow y Gradio, explota más de 20 vectores RCE y presume 3.811 llaves AWS únicas en el panel de su operador. La investigación es de XLab (QiAnXin).
Dos fallos del núcleo de WordPress (CVE-2026-63030 y CVE-2026-60137) se encadenan para ejecutar código sin autenticación en una instalación por defecto, sin plugins; los parches 6.9.5 y 7.0.2 salieron el 17/7 y CISA sumó ambos al KEV el 21/7.
Atacantes comprometieron ramas pre-producción desprotegidas de dos repos de AsyncAPI y usaron los propios workflows de GitHub Actions para publicar cinco versiones troyanizadas (incluidas generator@3.3.1 y specs@6.11.2, con 2,7 millones de descargas semanales) que descargan el RAT Miasma desde IPFS.
CISA advirtió sobre la explotación activa de una cadena de vulnerabilidades en SharePoint Server on-premises (incluida CVE-2026-58644, RCE con CVSS 9.8 sumada al KEV) que roba machine keys de IIS para lograr persistencia; el mismo Patch Tuesday del 14 de julio, SharePoint 2016 y 2019 llegaron a su fin de soporte.
Microsoft publicó el 14 de julio de 2026 el Patch Tuesday más grande de su historia: cerca de 570 vulnerabilidades corregidas, 56+ críticas y 3 zero-days, incluidos CVE-2026-56155 (AD FS) y CVE-2026-56164 (SharePoint), ambos explotados y agregados al KEV de CISA.
El sandboxing de agentes de IA es necesario pero no alcanza: repasando casos reales de 2026 (Claude Code, Cursor, gobierno mexicano) explico qué capas de validación y monitoreo hacen falta sumar.
La versión 8.14.0 de jscrambler en npm fue comprometida con un hook preinstall que descarga binarios maliciosos para Windows, macOS y Linux; Socket lo detectó a los 6 minutos de publicado.
📩 Newsletter MUG
Recibí lo mejor en tu inbox
Noticias, cursos y workshops gratuitos. Sin spam.
📅 Próximos eventos
- CharlasMUG · Mejora tu programación con GitHub Copilot
- CharlasMUG · IA en Desarrollo de Software
- 30 años del MUG · 30 charlas imperdibles
Fechas y modalidades se completarán cuando definamos el calendario de eventos 2026.
🎓 Capacitate con la comunidad
¿Querés ir más profundo?
Cursos en vivo con instructores MVP, workshops gratuitos y contenido self-paced.
Ver cursos →
💬 Últimos comentarios