38 noticias
Una vulnerabilidad crítica conocida como Plugin4Shell permite la ejecución remota de código (RCE) sin interacción del usuario en los cuatro principales agentes de codificación de IA: Claude Code, OpenAI Codex, GitHub Copilot y Gemini CLI. El fallo, que afecta a millones de agentes, se debe a que est
A lo largo de dieciséis semanas de seguimiento de lanzamientos en el ecosistema de gestores de paquetes, tres ejes marcan la evolución del sector: el endurecimiento defensivo por defecto, la incorporación de controles en los registros y la persistencia de tres familias de vulnerabilidades recurrente
Un equipo de investigación ha demostrado que el clásico ataque «trusting-trust», ideado por Ken Thompson en 1983 y tradicionalmente vinculado a los compiladores, puede ejecutarse hoy con una utilidad mucho más mundana: GNU strip, una herramienta estándar de compilación que no inspecciona ni genera c
El servicio nacional de seguridad de Eslovaquia (NBU) ha emitido una alerta de seguridad contra los radares de velocidad NERO R-ONE tras descubrir que los dispositivos contienen una puerta trasera que concede acceso por consola y red mediante SMS enviados desde números de teléfono rusos hardcodeados
El concepto de compilaciones reproducibles (reproducible builds) en el ecosistema de empaquetado de Python aún no tiene un camino definido dentro de PyPI. La idea central es que un tercero independiente pueda verificar que los bits contenidos en una distribución (ya sea un sdist o una rueda/wheel) c
El pull request número 3 del repositorio myNetwork, abierto por la usuaria miraholt31, propone un cambio acotado: sustituir el analizador de rutas por defecto en sistemas multi-homed para que, cuando hay varias rutas por defecto (por ejemplo, cable y Wi-Fi activos a la vez), el escaneo completo deje
vlt ha anunciado el lanzamiento de la versión 1.0 de su cliente de gestión de paquetes, junto con la disponibilidad general de sus registros de paquetes alojados y espejos de ecosistema. La compañía, que se describe a sí misma como una alternativa directa a npm respaldada por infraestructura propia,
Lake Hope, mantenedor de un proyecto open source publicado sin garantías bajo licencia AGPLv3-or-later, firma un extenso comunicado en clave de sátira en el que rebate, punto por punto, las exigencias y Pull Requests de usuarios y empresas que, en su relato, llegan a través de agentes de inteligenci
GitHub ha desplegado en los últimos meses una serie de mejoras en npm y GitHub Actions dirigidas a interrumpir las técnicas de ataque a la cadena de suministro que durante el último año han afectado a cientos de proyectos open source. Los ataques suelen dirigirse a cuentas de mantenedores o a flujos
Richard Feldman, desarrollador y creador del lenguaje Roc, pronuncia en la conferencia Software Should Work 2026 la charla "Cultures of dependencia", centrada en las prácticas que las distintas comunidades de programación han consolidado en torno al uso de código de terceros. La grabación, de casi 4
JFrog y OpenAI hicieron pública la semana pasada una cadena de vulnerabilidades zero-day sin parche previo que los modelos de OpenAI detectaron de forma autónoma en instalaciones autoalojadas de Artifactory durante una evaluación interna de capacidades cibernéticas realizada en un entorno aislado y
pkgxray es una herramienta de línea de comandos, escrita en Node sin dependencias, que analiza paquetes de npm y servidores del Model Context Protocol (MCP) antes de su instalación o conexión, sin ejecutar el código del paquete. Su comando principal, `pkgxray guard`, descarga el tarball, lo aísla en
Los gestores de paquetes npm, pnpm y yarn han incorporado periodos de espera de 24 horas a 7 días antes de instalar nuevas versiones, con la intención declarada de dar tiempo a la comunidad a detectar código malicioso. La medida, presentada como protección frente a la oleada de ataques en la cadena
GitHub ha confirmado a los contribuyentes incluidos en el grupo actual de enrolamiento que la autenticación en dos factores (2FA) será obligatoria a partir del 2 de septiembre de 2026 a las 00:00 UTC. Anunciada por primera vez en marzo de 2023, la medida forma parte de un programa progresivo orienta
PyPI aceptó a finales de junio el PEP 752, un mecanismo que permite a una organización reservar un prefijo de nombre de paquete y bloquear nuevas subidas que coincidan con él, salvo que las envíe el titular de la reserva. Los paquetes ya existentes quedan excluidos de la norma. La medida busca frena
modern-tar es una biblioteca de JavaScript para parsear y generar archivos TAR que se presenta como alternativa moderna a las soluciones históricas del ecosistema NPM. Su autor la creó como contribución al movimiento e18e.dev, una iniciativa comunitaria dedicada a limpiar y modernizar el ecosistema
GitHub implementa un periodo de espera de tres días en Dependabot para frenar los ataques a la cadena de suministro Dependabot, la herramienta automatizada de actualización de dependencias de GitHub, aplica desde ahora por defecto un periodo de espera de tres días antes de proponer actualizaciones
El modelo del software libre atraviesa una crisis estructural que lo aleja de la idea de bien público autoabastecido. Un análisis recogido tras el Future of Software Engineering Retreat celebrado en Suiza a finales de junio de 2026 sostiene que la combinación de licencias permisivas, código generado
La atestación remota es un mecanismo criptográfico que permite comprobar, tras cada arranque, que un host ejecuta el hardware, el firmware, el kernel, la imagen de inicialización y el sistema de archivos raíz esperados. Frente al secure boot tradicional, basado en la firma de artefactos, la atestaci
Una investigación publicada como preprint por Jacob Ginesin, de la Universidad Carnegie Mellon, sostiene que un commit firmado en GitHub con la etiqueta "Verified" puede no ser único: un atacante sin acceso a la clave de firma puede generar un segundo commit distinto, con el mismo árbol, los mismos
La gestión de dependencias en software es un aspecto crítico para la seguridad y mantenibilidad. En este artículo, un desarrollador con experiencia en Go y Ruby argumenta que el modelo de "publicar un paquete" es inherentemente inseguro y propone que las dependencias se obtengan directamente desde e
deptrust es una herramienta de línea de comandos que verifica si una versión concreta de un paquete presenta vulnerabilidades conocidas en múltiples ecosistemas de desarrollo: npm, PyPI, Cargo, Go modules, RubyGems, NuGet, Maven, Packagist, pub.dev, CocoaPods, Hex.pm, Hackage y GitHub Actions. Funci
Un desarrollador explica paso a paso cómo construyó un entorno de trabajo aislado (sandbox) sobre Debian utilizando crosvm, el hipervisor de código abierto que Google emplea en ChromeOS para Crostini. La motivación principal es reducir el riesgo de ataques a la cadena de suministro al ejecutar códig
Al menos once trailers cargados con baterías para coches y para uso doméstico de Tesla han sido robados directamente de los muelles de carga de las instalaciones que la compañía opera en Storey County (Nevada) desde diciembre, según registros del sheriff del condado obtenidos por WIRED. El detective
Collider 1.3.0 introduce mejoras de seguridad en la cadena de suministro de software que van más allá de la comprobación de hash de los paquetes. Hasta ahora, la herramienta verificaba que los bytes descargados coincidieran con los registrados en el archivo de bloqueo mediante SHA-256, pero no contr
El "informe de incidente CVE-2026-LGTM" es una sátira técnica que describe cómo un paquete malicioso, foxhole-lz4@0.5.0, sorteó siete puertas de seguridad basadas en IA para colarse en el ecosistema de dependencias. Cada filtro falló por una razón distinta, ninguna equivalente a "el código es seguro
El artículo describe cómo construir, con herramientas de código abierto, un sistema para localizar credenciales expuestas en texto plano en los equipos de desarrolladores antes de que malware como el gusano Shai-Hulud pueda robarlas. El problema es creciente: gestores de paquetes como PyPI, npm, VS
Cackle, también conocido como cargo-acl, es un verificador de listas de control de acceso (ACL) sobre código Rust creado para dificultar los ataques a la cadena de suministro en el ecosistema de crates.io. La herramienta se configura mediante un archivo cackle.toml situado junto a Cargo.toml, donde
El desarrollador Nemo publicó una propuesta en la que reclama que todos los gestores de paquetes incorporen soporte para "ganchos globales" (global hooks), con el fin de reforzar la seguridad de los ecosistemas de software de código abierto frente a ataques a la cadena de suministro. La idea, surgid
El protocolo ATProto, sobre el que se construye Bluesky y otras aplicaciones como Tangled, Grain o Leaflet, no entrega al usuario el control real de su identidad. Cada cuenta se gestiona desde un servidor personal (PDS) que custodia la clave de firma y la clave de rotación asociadas al identificador
stdx, un proyecto que busca replicar en Rust la idea de una biblioteca estándar al estilo de Go, ha decidido no publicar sus 64 crates en crates.io, el registro oficial de paquetes del ecosistema Rust, y distribuirlos exclusivamente a través de repositorios Git (GitHub y Codeberg). Su autor explica
El desarrollador de software Pierre (pingoo.io) ha presentado stdx, una biblioteca extendida para el lenguaje de programación Rust que busca compensar las carencias de la biblioteca estándar oficial, descrita como «anémica». El proyecto, disponible en GitHub y Codeberg, reúne en un solo paquete, sin
Una nueva clase de ataques a la cadena de suministro de software explota una superficie que casi nadie revisa: los archivos de configuración que editores, agentes de IA y gestores de dependencias interpretan y ejecutan de forma automática. El análisis, publicado por SafeDep, emplea como caso de estu
Bundler 4.0.13 incorpora una nueva función de seguridad opcional llamada cooldown: un filtro temporal que rechaza cualquier versión de un gem publicada en los últimos N días. El mecanismo ataca una debilidad conocida de la cadena de suministro de RubyGems: la mayoría de exploits aprovechan la ventan
@lateos/npm-scan es una herramienta de seguridad de código abierto que realiza análisis estático y conductual sobre paquetes del ecosistema npm —y, parcialmente, de PyPI— para detectar amenazas avanzadas en la cadena de suministro de software. A diferencia de npm audit, Snyk o Socket, la herramienta
DepsGuard es una herramienta de línea de comandos escrita en Rust que audita y refuerza las configuraciones de los principales gestores de paquetes de JavaScript y Python para mitigar ataques a la cadena de suministro. La aplicación localiza los archivos de configuración de npm, pnpm, yarn, bun y uv
En respuesta a una escalada de ataques a la cadena de suministro en el ecosistema de código abierto, Composer y Packagist han actualizado sus protocolos de seguridad. Los incidentes más recientes, como los contra los paquetes `laravel-lang` e `intercom/intercom-php`, han impulsado esta revisión para
El proyecto de código abierto `oapi-codegen`, utilizado para generar código Go a partir de especificaciones OpenAPI, participó en el programa GitHub Secure Open Source Fund. El autor, Jamie Tanna, comparte las lecciones aprendidas, destacando la importancia de la seguridad en un proyecto que interac
