Seguridad en La semana PHP

Lo último

• Aviso de seguridad de PHP: actualiza ya a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 — El anuncio oficial de PHP2Shell: dos vulnerabilidades con CVSS 9.2 que permiten ejecutar código sin autenticarse. Si sigues en 8.1 o anterior, no hay parche. #154
• Volker Dusch explica cómo se encontraron, corrigieron y filtraron los fallos — La entrevista más completa de la semana sobre lo que pasó dentro de la PHP Foundation, incluido el embargo roto. #154
• La PHP Foundation cuenta qué va a cambiar en seguridad — Lecciones del incidente y las medidas que vienen para que la próxima vez el proceso aguante mejor. #154
• Millones de intentos de explotación para desplegar una variante de Mirai — De momento sin éxito, pero la ventana entre parche y ataque masivo se ha medido en horas, no en semanas. #154
• Alguien intentó explotar PHP2Shell cuatro días antes de que se publicara — Amazon detectó intentos contra sus honeypots el 17 de octubre: las vulnerabilidades circulaban antes del anuncio. #154
• Cloudflare desplegó reglas de WAF contra PHP2Shell antes del anuncio — Reglas activadas por defecto que usan señales de la petición y de la respuesta para cortar los intentos de explotación. #154
• Nuevos paquetes de PHP para Windows por el fallo de Brotli (HTTP2Shell) — 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1 incluyen Brotli 1.2.1, que corrige CVE-2026-111497. En Windows el descompresor vulnerable se alcanza a través de cURL si activas la descompresión automática de respuestas. #154
• Tu web de WordPress.com, protegida sin que tengas que hacer nada — Los sitios de WordPress.com ya estaban cubiertos antes de que el parche fuera público. #154
• El aviso de WordPress.org en español — Qué revisar en tu instalación y cómo comprobar la versión de PHP que ejecuta tu servidor. #154
• Brecha en TeamUpdraft: usan claves de UpdraftCentral para colar puertas traseras — Si usas UpdraftCentral, UpdraftVault o UpdraftClone, regenera las claves de conexión y revisa tus sitios. #154
• Freelandev #365: lidiando con PHP2Shell — Esther y Nahuai, en español, sobre una semana de revisar versiones, actualizar y migrar hostings de clientes. #154
• La CISA añade dos vulnerabilidades de Roundcube activamente explotadas a su catálogo KEV — La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha incorporado dos fallos de Roundcube a su catálogo de vulnerabilidades conocidas y explotadas activamente. #153
• Vulnerabilidad RoguePilot en GitHub Codespaces permitía a Copilot filtrar el GITHUB_TOKEN — Se ha descubierto un fallo de seguridad en GitHub Codespaces que habría permitido a Copilot filtrar el token de acceso de GitHub a través de una vulnerabilidad en la gestión de permisos. #153
• Fallos en Claude Code permitían ejecución remota de código y extracción de claves API — Investigadores de seguridad han descubierto vulnerabilidades en Claude Code que podrían haber sido aprovechadas para ejecutar código de forma remota y exfiltrar claves API. #153
• ¿En qué está cambiando la IA el desarrollo web y WordPress? ¿Claude Code Security? ¿OpenClaw?… — Un análisis en vídeo sobre cómo la inteligencia artificial está transformando el desarrollo web y WordPress, con mención a herramientas como Claude Code Security y OpenClaw. #153
• Vulnerabilidad crítica en el plugin CleanTalk afecta a más de 200.000 sitios — Se ha descubierto una vulnerabilidad crítica (puntuada con 9,8/10) en el plugin CleanTalk, instalado en más de 200.000 sitios WordPress. Te recomiendo revisar si lo tienes instalado y actualizar cuanto antes. #152
• Fallos críticos en cuatro extensiones de VS Code con más de 125 millones de instalaciones — Se han descubierto vulnerabilidades críticas en cuatro extensiones populares de VS Code con más de 125 millones de instalaciones en total. Te recomiendo revisar las extensiones que tienes instaladas y actualizarlas. #152
• Nuevo zero-day en Chrome (CVE-2026-2441) bajo ataque activo: parche publicado — Google ha publicado un parche de emergencia para corregir una vulnerabilidad zero-day en Chrome que ya está siendo explotada activamente. Actualiza el navegador lo antes posible. #152
• Apple corrige un zero-day explotado que afecta a iOS, macOS y otros dispositivos — Apple ha publicado actualizaciones de seguridad de emergencia para iOS, macOS y otros sistemas para corregir una vulnerabilidad zero-day que ya estaba siendo explotada. Actualiza tus dispositivos cuanto antes. #152
• Ataque DDoS récord: 31,4 Tbps marca un nuevo hito en 2025 — Los ataques DDoS se duplicaron en 2025, con un ataque récord de 31,4 Tbps. Los ataques hipervolumétricos a la capa de red crecieron un 700%. #151
• Novedades en Private Packagist: actualización de febrero 2026 — Private Packagist ha evolucionado en los últimos tres meses con mejoras significativas en flujos de autenticación, seguridad y capacidades de notificación. #151
• Claude Opus 4.6 encuentra más de 500 fallos graves en bibliotecas de código abierto — La nueva versión de Claude Opus ha identificado más de 500 vulnerabilidades de alta gravedad en las principales bibliotecas de código abierto. #151
• Más allá de las pantallas de login: por qué importa el control de acceso — Los costes de las brechas de seguridad aumentan mientras los atacantes se centran en paneles de administración y APIs. El control de acceso débil lleva a datos perdidos y costes elevados. #151
• Fallo crítico de n8n CVE-2026-25049 permite ejecución de comandos del sistema — Se ha descubierto una vulnerabilidad crítica en n8n que permite la ejecución de comandos del sistema mediante flujos de trabajo maliciosos. #151
• Vulnerabilidades, WordPress 7.0 y estudios de SEO e IA — Última edición de Crónicas WordPress con Fernando Tellado analizando vulnerabilidades de escalado de privilegios y novedades de WordPress 7.0. #151
• Drupal CMS 2.0 está aquí: construcción visual, IA y plantillas de sitio transforman Drupal — Drupal lanza su versión 2.0 con Drupal Canvas para construcción visual, herramientas impulsadas por IA y un sistema de componentes. Incluye la primera plantilla de sitio que permite a los equipos de marketing lanzar sitios web profesionales en días en lugar de semanas, manteniendo la seguridad y escalabilidad empresarial característica de Drupal. #150
• CVE-2026-24739: Escapado incorrecto de argumentos en MSYS2/Git Bash en Windows puede llevar a operaciones destructivas de archivos — Symfony ha publicado parches de seguridad para las versiones 5.4, 6.4, 7.3, 7.4 y 8.0 del componente Process. Esta vulnerabilidad afecta al escapado de argumentos en entornos MSYS2/Git Bash en Windows. Te recomiendo actualizar cuanto antes a las versiones 5.4.51, 6.4.33, 7.3.11, 7.4.5 u 8.0.5. #150
• Fortaleciendo Symfony: mejoras de seguridad recientes — El equipo de Symfony detalla las mejoras de seguridad implementadas recientemente. Aunque no son vulnerabilidades críticas, estas mejoras de hardening refuerzan la seguridad general del framework. Un artículo interesante si te preocupa la seguridad de tus aplicaciones Symfony. #150
• Brecha en el hosting de Notepad++ — El mecanismo de actualización oficial de Notepad++ fue comprometido para distribuir malware a usuarios selectos. Un recordatorio de la importancia de verificar las actualizaciones incluso de herramientas de confianza. #150
• Cuando las caídas de la nube se propagan por Internet — Un análisis sobre cómo las caídas de servicios cloud pueden tener efectos en cascada en Internet. Importante para entender los riesgos de dependencia de infraestructuras centralizadas. #150

Por meses

Otros temas