Blog Tecnològic

Blog everyWAN

Tecnologia, ciberseguretat i tendències IT que importen

Anàlisi Profunda
Ciberseguretat
Tendències IT
Filtrar per:
Armario de cableado real con un panel de parcheo y decenas de latiguillos de red azules
6 min lectura

El 10,0 porta el nom de GitLab i la fallada és de Ruby

Quatre vulnerabilitats crítiques, tres tandes de pedaços, cinc setmanes, un investigador i un sol component: Onigmo, el motor d'expressions regulars que Ruby porta a dins. Cada pedaç va deixar la versió anterior dins del rang del següent, i l'arranjament de l'últim no viatja al codi de GitLab sinó en un pedaç a l'intèrpret que GitLab empaqueta. Repassem la cronologia amb les versions exactes, el camp de 16 bits que ho provoca i quina fila li falta al teu inventari.

GitLab Ciberseguretat CI/CD
Llegir més →
Banco de trabajo de reparación con estación de soldadura, multímetro y bobinas de cable
9 min lectura

La protecció de branca va funcionar. Va durar cinc segons

El 21 d'octubre del 2026, a les 10:08:29 UTC, la protecció de branca de GitHub va rebutjar un canvi al flux de publicació de LiteLLM. A les 10:08:34 una credencial amb privilegi la va trepitjar i va aplicar el canvi igualment. Una hora i mitja després hi havia set paquets enverinats de litellm 1.107.0 a PyPI. Cap control no va fallar: tots tres es van complir, perquè tots tres preguntaven el mateix. Amb la cronologia minut a minut de l'informe oficial, per què el radi d'abast no són les aplicacions que fan servir la llibreria sinó qualsevol entorn virtual on estigui instal·lada, la finestra real de 2 hores i 40 minuts, i set comprovacions amb les ordres exactes.

Ciberseguretat DevOps Proveïdors
Llegir més →
Armario de red mural con la puerta abierta en el cuarto trastero de una oficina, con cajas de cartón, una fregona y estanterías
9 min lectura

La vulnerabilitat de Gitea «requereix permís d'escriptura». El formulari de registre te'l dona

La fitxa del CVE-2026-60004 diu que cal permís d'escriptura en un repositori. El vector oficial del mateix avís diu <code>PR:N</code>, privilegis requerits: cap. Totes dues coses són certes, perquè Gitea instal·la amb <code>DISABLE_REGISTRATION=false</code>. Què implica això per a com prioritzes els pedaços de tot el que tens autoallotjat, què va passar en els onze segons de l'únic cas públic, i la llista del que es mira avui.

Ciberseguretat DevOps Vulnerabilitats
Llegir més →
Caja fuerte pequeña de oficina abierta sobre una repisa, con dos sobres, un juego de llaves y una memoria USB dentro
5 min lectura

Clonar el repositori no és tenir còpia de GitLab

El 17 d'agost GitLab va publicar quatre versions fora de calendari per una fallada que permet modificar o esborrar projectes públics sense compte. La resposta habitual —«el codi el tenim clonat»— és certa i és la part que menys es perd. Què s'emporta de debò un clon, què es queda només al servidor, per què el fitxer de secrets no va dins de la còpia i per què l'arranjament de juny, el que no portava CVE, és el que explica millor el problema.

CI/CD Backup DevOps
Llegir més →
Puesto de trabajo vacío de noche en una oficina pequeña: portátil cerrado, teclado mecánico, taza fría y flexo encendido
5 min lectura

Cinc dies, el títol d'un issue i un token de Jira

El 17 d'agost Wiz va explicar com va treure un token de Jira de Snowflake obrint un issue en un repositori públic: el títol de l'issue era l'exploit. La línia que ho permetia havia entrat cinc dies abans en un canvi que anava d'ordenar el codi, i va substituir el patró segur que la mateixa documentació de GitHub recomana per escrit. Què va fallar a la cadena de revisió, per què l'«if» que semblava un filtre no filtrava res, i què mirem nosaltres en un pipeline.

CI/CD IA GitHub
Llegir més →
Terminal de contenedores nevada con grúas portuarias y miles de contenedores apilados: la cadena de suministro por la que viaja el código que instalas
5 min lectura

ChainDrop: 444 paquets de npm compromesos i ni un sol pedaç per aplicar

El 4 d'agost, entre les 09:35 i les 13:20 UTC, un cuc es va propagar tot sol per 444 paquets de npm robant les credencials que necessitava per continuar propagant-se. La primera versió maliciosa va sortir pel pipeline legítim, amb signatura de procedència vàlida. I hi ha un parany que inverteix el reflex correcte: revocar el testimoni robat és exactament el que dispara la càrrega següent. Què buscar als teus lockfiles, en quin ordre rotar i per què aquí no existeix cap versió corregida per instal·lar.

Desenvolupament CI/CD Ciberseguretat
Llegir més →
CVE-2026-63077, un fallo de CVSS 9,8 sin autenticación en todas las versiones de JetBrains TeamCity On-Premises, pone el foco en el servidor de CI/CD como sistema crítico
8 min lectura

El teu CI/CD té les claus de producció. I el tractes com una eina de desenvolupament

El 27 de juliol del 2026 JetBrains va publicar la CVE-2026-63077: un 9,8 sense autenticació que afecta TOTES les versions de TeamCity On-Premises i permet executar ordres del sistema operatiu al servidor de compilació. No hi ha explotació coneguda. Les dues vegades anteriors que TeamCity va tenir una fallada d'aquest tipus van acabar amb l'SVR rus dins d'empreses tecnològiques i amb els operadors de BianLian creant usuaris a servidors de build. El problema de fons no és TeamCity: és que la màquina que desplega a producció no és a l'inventari de sistemes crítics de gairebé ningú.

CI/CD DevOps Ciberseguretat
Llegir més →

Subscriu-te al nostre butlletí

Per rebre històries del món IT, novetats d'everyWAN i ofertes exclusives per a subscriptors, dona't d'alta a la nostra llista de correu

Minorisa de Sistemas Informaticos y Gestión S.L. © 2026
Avís Legal - Política de privacitat de dades - Política de cookies - Configurar cookies - Condicions d'ús - Canal de l'Informant
everyWAN
ACCEDIR REGISTRAR-SE
everyWAN