Guías, análisis y noticias sobre protección DDoS, seguridad web y mejores prácticas para tu infraestructura.
Todo lo que necesitás saber sobre ataques DDoS: tipos, tamaños, cómo funcionan y qué medidas tomar para proteger tu infraestructura. Incluye checklist descargable.
CVE-2026-15409 (SSRF CVSS 10.0) y CVE-2026-15410 (code injection) en SMA1000 se explotan en tándem. CISA KEV 14/07/2026, parche solo no alcanza.
Un usuario autenticado puede ejecutar cualquier flow ajeno enviando el UUID de la víctima. CVSS 9.9, en CISA KEV, parcheado en 1.9.1.
La extension de calendario iCagenda permite a cualquier visitante sin login subir un archivo PHP y ejecutarlo bajo el usuario del web server. CVSS 10.0, explotacion activa automatizada.
Una falla de control de acceso en el componente Core de Oracle Coherence (CVSS 10.0) permite RCE sin autenticación sobre HTTP, con scope change y takeover completo del cluster.
Un visitante anónimo puede subir un PHP y tomar el server Joomla. CVSS 10.0, CISA KEV, exploits activos. Parcheá a la 2.4.1.
Ubiquiti publicó 7 CVEs críticas en UniFi OS. La peor, CVE-2026-50746 (CVSS 10.0), permite RCE en UniFi Connect 3.4.16 y anteriores. ~100K instancias afectadas.
El componente de maquetado visual de Joomlack tenía un upload handler sin autenticación: un atacante anónimo podía plantar un web shell PHP en cualquier directorio del sitio. CVSS 10.0, CISA KEV.
CVSS 10.0 en CISA KEV desde 07/07/2026. PoC público, honeypots ven explotación en menos de 2h. Aplicá U10/U21 ya.
Citrix confirmó CVE-2026-8451, un out-of-bounds read sin autenticación en NetScaler que permite a atacantes leer tokens, credenciales y claves TLS directamente de la memoria del appliance. Explotado en 24h. CVSS 8.8.
CVE-2026-45659 es una falla de deserialización en SharePoint Server on-prem, CVSS 8.8, agregada al KEV de CISA el 1 de julio de 2026 con explotación activa en curso.
DuneSlide en Cursor: prompt injection + sandbox escape permite RCE sin clicks. CVSS 9.3 (CVSS 4.0), parcheado en Cursor 3.0 desde abril.
Sysdig documentó al primer ransomware operado de extremo a extremo por un agente de IA. La cadena empieza con una inyección de Python sin autenticación en Langflow y termina con una base de datos cifrada por un LLM que tomó cada decisión solo.
CISA agregó el 1 de julio la CVE-2026-45659 al KEV por explotación activa. Deserialización CWE-502 en SharePoint Server, RCE con sólo permisos Site Member. Aplicá KB5002863/2870/2868 ya.
Una falla en escape_quotes() permite ejecución root sin autenticación. Hay PoC público y exploits activos contra appliances con la API expuesta.
Bypass de autenticación OIDC en SimpleHelp RMM permite a un atacante remoto, sin credenciales ni interacción, obtener sesión de Technician y pivotar a los endpoints administrados. CISA KEV activo y explotación real documentada.
Una falla de validación en WebDialer permite escribir archivos arbitrarios en el appliance y escalar a root. CVSS 8.6, SIR Critical, en CISA KEV desde el 25 de junio.
El endpoint del sidecar PostgreSQL de Splunk Enterprise no exige credenciales. CVSS 9.8, CISA KEV, explotación limitada confirmada, parche 10.0.7/10.2.4.
Deserialización Java sin firma en servlets WindchillGW/WindchillAuthGW de PTC Windchill, FlexPLM y CPS. CVSS 9.3 v4, CISA KEV 25/06, deadline 28/06.
Inyección de comandos OS en el módulo HTTP RPC de los device servers Lantronix EDS5000 (EDS5008/5016/5032). CVSS 9.8, CISA KEV 23/06, deadline 26/06.
Tres vulnerabilidades parcheadas individualmente en mayo se encadenan en RCE con root. CISA las agregó ayer al KEV con mandato del 26/06.
CVSS 9.8, CWE-798. El Docker API de Crawl4AI firmaba tokens JWT con la clave "mysecret" por defecto: cualquier atacante puede forjar tokens admin. Parcheado en 0.8.7.
CVSS 10.0, CISA KEV, exploit automatizado. Un visitante anónimo puede crear un perfil en JCE Editor y subir PHP al servidor Joomla.
CVE-2026-42530 y CVE-2026-42055, ambos CVSS 9.2, permiten RCE pre-auth en NGINX Open Source y Plus. F5 lanzo parche out-of-band el 17 de junio; afecta a millones de deployments.
CVE-2026-20253 expone un endpoint PostgreSQL sin auth en Splunk Enterprise 10.x. CVSS 9.8 Critical, en CISA KEV desde hoy, con cadena de RCE pre-auth documentada por watchTowr Labs.
CVE-2026-54420 permite que cualquier cuenta con FTP escale a root en hosting compartido con CloudLinux/CageFS. CVSS 8.5, en CISA KEV, fecha limite BOD 26-04 el 18 de junio.
CVE-2026-50751 permite entrar a VPNs corporativas de Check Point sin password, sin certificado y sin interacción. CVSS 9.3, en CISA KEV, y un afiliado de Qilin ya desplegó ransomware sobre una víctima confirmada.
CVE-2026-10520 permite ejecución remota de código como root en Ivanti Sentry, sin credenciales y sin interacción. CISA lo agregó al KEV con plazo de remediación al 14 de junio y Shadowserver confirmó appliances backdooreados horas después del PoC.
CVE-2026-35273 permite ejecución remota de código sin autenticación en PeopleTools 8.61 y 8.62. CISA lo agregó al catálogo KEV con plazo de remediación al 15 de junio y confirmó que ya se usa en campañas de ransomware.
El Patch Tuesday de junio de 2026 es el más grande en los 23 años de historia del programa: 200 CVEs, 33 críticos y tres zero-days. El más grave, CVE-2026-45657, es un RCE wormable en HTTP/2 con CVSS 10.0 que ya genera preocupación en la comunidad.
El Web Application Firewall es tu primera línea de defensa contra ataques a nivel aplicación. Conoce cómo protege tu sitio de SQL injection, XSS y más.
¿Sabías que en hosting compartido el vecino puede ponerte en riesgo? Comparativa técnica que muchos ignoran y que puede salvarte de un desastre.
Desglosamos los diferentes tipos de DDoS (SYN flood, UDP flood, HTTP flood) y cuál puede tumbarte sin que puedas hacer nada desde tu server.
La misma tecnología que usa Cloudflare para proteger millones de sitios. Explicado simple: cómo múltiples nodos distribuidos globalmente hacen tu sitio más rápido y seguro.
Casos reales de cómo hosting comprometida resultó en empresas pagando rescates de miles de dólares. Qué buscar en tu provider para evitarlo.
HTTPS ya es ranking factor y señal de confianza. Paso a paso para instalar SSL gratis y por qué tu hosting debería incluirlo automático.
Alertas semanales con las últimas vulnerabilidades detectadas, parches disponibles y mejores prácticas de seguridad. Sin spam.