Seguridad en febrero de 2026

23 enlaces

• La CISA añade dos vulnerabilidades de Roundcube activamente explotadas a su catálogo KEV — La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha incorporado dos fallos de Roundcube a su catálogo de vulnerabilidades conocidas y explotadas activamente. #153
• Vulnerabilidad RoguePilot en GitHub Codespaces permitía a Copilot filtrar el GITHUB_TOKEN — Se ha descubierto un fallo de seguridad en GitHub Codespaces que habría permitido a Copilot filtrar el token de acceso de GitHub a través de una vulnerabilidad en la gestión de permisos. #153
• Fallos en Claude Code permitían ejecución remota de código y extracción de claves API — Investigadores de seguridad han descubierto vulnerabilidades en Claude Code que podrían haber sido aprovechadas para ejecutar código de forma remota y exfiltrar claves API. #153
• ¿En qué está cambiando la IA el desarrollo web y WordPress? ¿Claude Code Security? ¿OpenClaw?… — Un análisis en vídeo sobre cómo la inteligencia artificial está transformando el desarrollo web y WordPress, con mención a herramientas como Claude Code Security y OpenClaw. #153
• Vulnerabilidad crítica en el plugin CleanTalk afecta a más de 200.000 sitios — Se ha descubierto una vulnerabilidad crítica (puntuada con 9,8/10) en el plugin CleanTalk, instalado en más de 200.000 sitios WordPress. Te recomiendo revisar si lo tienes instalado y actualizar cuanto antes. #152
• Fallos críticos en cuatro extensiones de VS Code con más de 125 millones de instalaciones — Se han descubierto vulnerabilidades críticas en cuatro extensiones populares de VS Code con más de 125 millones de instalaciones en total. Te recomiendo revisar las extensiones que tienes instaladas y actualizarlas. #152
• Nuevo zero-day en Chrome (CVE-2026-2441) bajo ataque activo: parche publicado — Google ha publicado un parche de emergencia para corregir una vulnerabilidad zero-day en Chrome que ya está siendo explotada activamente. Actualiza el navegador lo antes posible. #152
• Apple corrige un zero-day explotado que afecta a iOS, macOS y otros dispositivos — Apple ha publicado actualizaciones de seguridad de emergencia para iOS, macOS y otros sistemas para corregir una vulnerabilidad zero-day que ya estaba siendo explotada. Actualiza tus dispositivos cuanto antes. #152
• Ataque DDoS récord: 31,4 Tbps marca un nuevo hito en 2025 — Los ataques DDoS se duplicaron en 2025, con un ataque récord de 31,4 Tbps. Los ataques hipervolumétricos a la capa de red crecieron un 700%. #151
• Novedades en Private Packagist: actualización de febrero 2026 — Private Packagist ha evolucionado en los últimos tres meses con mejoras significativas en flujos de autenticación, seguridad y capacidades de notificación. #151
• Claude Opus 4.6 encuentra más de 500 fallos graves en bibliotecas de código abierto — La nueva versión de Claude Opus ha identificado más de 500 vulnerabilidades de alta gravedad en las principales bibliotecas de código abierto. #151
• Más allá de las pantallas de login: por qué importa el control de acceso — Los costes de las brechas de seguridad aumentan mientras los atacantes se centran en paneles de administración y APIs. El control de acceso débil lleva a datos perdidos y costes elevados. #151
• Fallo crítico de n8n CVE-2026-25049 permite ejecución de comandos del sistema — Se ha descubierto una vulnerabilidad crítica en n8n que permite la ejecución de comandos del sistema mediante flujos de trabajo maliciosos. #151
• Vulnerabilidades, WordPress 7.0 y estudios de SEO e IA — Última edición de Crónicas WordPress con Fernando Tellado analizando vulnerabilidades de escalado de privilegios y novedades de WordPress 7.0. #151
• Drupal CMS 2.0 está aquí: construcción visual, IA y plantillas de sitio transforman Drupal — Drupal lanza su versión 2.0 con Drupal Canvas para construcción visual, herramientas impulsadas por IA y un sistema de componentes. Incluye la primera plantilla de sitio que permite a los equipos de marketing lanzar sitios web profesionales en días en lugar de semanas, manteniendo la seguridad y escalabilidad empresarial característica de Drupal. #150
• CVE-2026-24739: Escapado incorrecto de argumentos en MSYS2/Git Bash en Windows puede llevar a operaciones destructivas de archivos — Symfony ha publicado parches de seguridad para las versiones 5.4, 6.4, 7.3, 7.4 y 8.0 del componente Process. Esta vulnerabilidad afecta al escapado de argumentos en entornos MSYS2/Git Bash en Windows. Te recomiendo actualizar cuanto antes a las versiones 5.4.51, 6.4.33, 7.3.11, 7.4.5 u 8.0.5. #150
• Fortaleciendo Symfony: mejoras de seguridad recientes — El equipo de Symfony detalla las mejoras de seguridad implementadas recientemente. Aunque no son vulnerabilidades críticas, estas mejoras de hardening refuerzan la seguridad general del framework. Un artículo interesante si te preocupa la seguridad de tus aplicaciones Symfony. #150
• Brecha en el hosting de Notepad++ — El mecanismo de actualización oficial de Notepad++ fue comprometido para distribuir malware a usuarios selectos. Un recordatorio de la importancia de verificar las actualizaciones incluso de herramientas de confianza. #150
• Cuando las caídas de la nube se propagan por Internet — Un análisis sobre cómo las caídas de servicios cloud pueden tener efectos en cascada en Internet. Importante para entender los riesgos de dependencia de infraestructuras centralizadas. #150
• Docker soluciona un fallo crítico en «Ask Gordon AI» que permite la ejecución de código vía metadatos de imagen — Docker ha parcheado una vulnerabilidad crítica en su herramienta «Ask Gordon AI» que podría permitir la ejecución de código malicioso a través de metadatos de imagen manipulados. Si usas Docker, asegúrate de actualizar. #150
• Explotan el fallo RCE Metro4Shell en el paquete npm React Native CLI — Se está explotando activamente una vulnerabilidad de ejecución remota de código en React Native CLI. Si trabajas con React Native, verifica que estás usando una versión actualizada del paquete npm. #150
• Dos fallos de alta gravedad en n8n permiten ejecución remota de código autenticada — Se han descubierto dos vulnerabilidades en n8n que permiten la ejecución remota de código. Si usas esta herramienta de automatización, actualiza inmediatamente a la última versión. #150
• Directorios sombra: un método único para secuestrar permalinks de WordPress — Sucuri describe un método de ataque sofisticado donde los hackers crean directorios sombra para secuestrar permalinks de WordPress. El sitio se ve normal para los usuarios, pero Google muestra spam de casinos. Un caso de estudio fascinante sobre seguridad. #150