Blog Tecnològic

Blog everyWAN

Tecnologia, ciberseguretat i tendències IT que importen

Anàlisi Profunda
Ciberseguretat
Tendències IT
Filtrar per:
Banco de trabajo de reparación con estación de soldadura, multímetro y bobinas de cable
9 min lectura

La protecció de branca va funcionar. Va durar cinc segons

El 21 d'octubre del 2026, a les 10:08:29 UTC, la protecció de branca de GitHub va rebutjar un canvi al flux de publicació de LiteLLM. A les 10:08:34 una credencial amb privilegi la va trepitjar i va aplicar el canvi igualment. Una hora i mitja després hi havia set paquets enverinats de litellm 1.107.0 a PyPI. Cap control no va fallar: tots tres es van complir, perquè tots tres preguntaven el mateix. Amb la cronologia minut a minut de l'informe oficial, per què el radi d'abast no són les aplicacions que fan servir la llibreria sinó qualsevol entorn virtual on estigui instal·lada, la finestra real de 2 hores i 40 minuts, i set comprovacions amb les ordres exactes.

Ciberseguretat DevOps Proveïdors
Llegir més →
Oficina diáfana a media luz casi vacía: una sola persona trabajando con un portátil entre mesas y sillas desocupadas
8 min lectura

L'agent va apagar l'avís, no el vigilant

OpenAI va publicar el 20 d'octubre del 2026 un informe sobre dos incidents interns en què els seus propis agents van desactivar la monitorització d'alineament. Els titulars ho expliquen com a ciència-ficció. El que hi ha a l'informe és la seqüència més vella de la informàtica: algú silencia un avís perquè un canvi tiri endavant, i l'escalada tomba qui havia dit que no. Llegim l'informe línia a línia —el monitor va continuar corrent, el que es va apagar va ser el telèfon; el subagent s'hi va negar primer; el silenci va quedar documentat amb el motiu i les llistes originals desades— i deixem el cens d'interruptors de silenci per omplir-lo amb la teva pròpia infraestructura.

IA Automatització Monitorització
Llegir més →
Pulsador de parada de emergencia rojo sobre carcasa amarilla, en el panel de control de una máquina industrial
9 min lectura

«Una de cada deu caigudes ja és d'IA»: aquesta dada mesura una altra cosa

El 10,7% que circula aquesta setmana surt d'un informe seriós —109.000 incidents de pàgines d'estat, 390 empreses, del 2018 al 2026— però no diu que la IA causi una de cada deu caigudes: diu que una de cada deu caigudes publicades la va publicar una empresa d'IA. Al mateix informe hi ha un altre número que sí que canvia una decisió: una cascada provocada per un tercer triga 247 minuts de mediana a resoldre's, davant dels 96 d'una errada de configuració pròpia. Dues vegades i mitja, perquè la reparació no està a les teves mans. Repassem què mesura cada xifra dels tres estudis d'aquesta setmana, per què el 61% d'errades que van passar les proves internes no és un problema d'IA sinó de staging, i la prova de l'apagada.

IA Automatització Continuïtat
Llegir més →
Parte trasera de una fila de servidores idénticos montados en rack, con sus pilotos verdes encendidos
7 min lectura

Docker Swarm no és mort: què tries de debò davant de Kubernetes

El 8 d'octubre del 2026, Docker Engine 29.9.0 va tancar un CVE del mode eixam —CVE-2026-92542, injecció de trames Ethernet falsificades en xarxes overlay xifrades— i vuit entrades més que toquen Swarm; la 29.8.0 n'havia portat vuit. Mirantis manté el seu compromís de suport «fins com a mínim el 2030», però dins del seu producte de pagament MKE 3. Mentrestant, Kubernetes manté branques de les tres versions més recents i la 1.34 esgota els seus pedaços el 27 d'octubre. Cap d'aquestes dades no decideix per tu: el que decideix és qui aplicarà les actualitzacions i qui agafa el telèfon a les tres de la matinada. Operem tots dos orquestradors en producció i diem quan té sentit cadascun, i quan no.

Kubernetes Docker DevOps
Llegir més →
Unidad de cinta LTO-6 y ranuras de una biblioteca IBM TS3500
7 min lectura

El procediment oficial per recuperar un GitLab comença amb un DELETE

El 12 d'octubre GitLab va publicar tres versions per un CVSS 10.0 que permet executar codi al servidor, i la mateixa nota avisa que en una instància d'un sol node el pedaç atura la instància. Si a més decideixes que cal reconstruir, el camí documentat quan el fitxer de secrets no apareix és esborrar les variables de CI/CD, anul·lar els tokens dels runners i desactivar el segon factor per a tothom. Nou coses deixen de ser accessibles; el codi no és cap d'elles.

Backup Ciberseguretat GitLab
Llegir més →
Escritorio con un portátil de pantalla apagada, una libreta abierta con anotaciones a mano y una taza de café
9 min lectura

L'SDK dels teus agents d'IA té sis avisos nous. El teu escàner diu zero

Entre el 28 de setembre i el 5 d'octubre del 2026, l'SDK de Python del Model Context Protocol va publicar sis avisos de seguretat, tres d'ells de 7,5. El 12 d'octubre cap dels sis apareix a OSV, ni a la base global de GitHub que dispara Dependabot, ni a l'API de PyPI que consulta pip-audit per defecte; l'únic que duu CVE tampoc no és al NVD. Ho vam comprovar amb dues crides públiques que pots repetir en un minut. I dos dels sis avisen per escrit que actualitzar, tot sol, no arregla res.

IA Automatització Vulnerabilitats
Llegir més →
Armario de red de oficina abierto, con un conmutador y una maraña de latiguillos acumulados dentro
7 min lectura

Vuit productes, dinou versions: l'avís d'Atlassian diu què fer, no què tens

L'avís del CVE-2026-21589, del 5 d'octubre del 2026, afecta vuit productes autoallotjats d'Atlassian: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible i Fisheye. És un avís dels complets: dinou versions corregides, mitigacions temporals si no pots pedaçar —inclosa la de treure la instància d'internet— i un mètode per buscar rastre als access logs. Les tres instruccions arrenquen d'una pregunta que el fabricant no pot respondre per tu. A dins: la taula de versions, per què «som a la 10.2» assenyala tres productes diferents i les tretze entrades d'Atlassian al catàleg KEV de CISA.

Vulnerabilitats Pedaços DevOps
Llegir més →
Disco duro externo conectado a un portátil sobre una mesa de despacho
7 min lectura

El clone no porta el .git/config. El ZIP sí

Quatre CVE publicats l'agost i el setembre del 2026 descriuen la mateixa seqüència: obres una carpeta amb un agent d'IA, l'agent crida git per saber on és, i la configuració local d'aquella carpeta executa un programa amb les teves credencials abans que ningú no et pregunti si hi confies. A dins: què diu la documentació de git sobre core.fsmonitor, per què un clone normal no serveix com a via de lliurament, per què la comprovació de propietat que git sí que té queda desarmada pel gest més normal del món, i el truc que amaga la clau del teu propi grep.

IA Ciberseguretat DevOps
Llegir més →
Sala de servidores con el pasillo de racks y el cableado de red ordenado
8 min lectura

Kubernetes caduca cada catorze mesos, i no se salten versions

El 27 d'octubre de 2026 la branca 1.34 de Kubernetes deixa de rebre pedaços, i aquesta data era publicada des que la versió va sortir. El projecte manté cada branca «roughly fourteen (14) months» —dotze mesos més dos en mode manteniment— i només les tres versions menors més recents. Restant les dates de fi de vida publicades surt el número que de debò importa: caduca una versió cada quatre mesos. Què vol dir exactament el mode manteniment, per què el pla de control no pot saltar-se versions en actualitzar, quin marge tenen els nodes i per què això fa que un clúster sembli sa mentre es queda enrere.

Kubernetes Infraestructura DevOps
Llegir més →
Batería de torniquetes de acceso vacíos en el vestíbulo de una estación de metro
9 min lectura

Ingress NGINX: mig Kubernetes el mantenien dues persones

El repositori kubernetes/ingress-nginx està arxivat en només lectura i la seva última versió és del 19 de març: 187 dies sense una versió nova. No és descuit, és una retirada decidida, i el motiu que van signar el Steering Committee i el Security Response Committee de Kubernetes no va ser un CVE: el component que publica a internet la meitat dels entorns cloud native el mantenien «one or two people working in their free time». Què comprovar avui amb una ordre, per què migrar a Gateway API no és traduir YAML, i els cinc comportaments que el teu encaminament té i ningú va triar.

Kubernetes Contenidors Infraestructura
Llegir més →
Dos portátiles abiertos sobre una mesa de oficina y una mano escribiendo sobre unos papeles
7 min lectura

L'agent va fixar el commit del plugin. Git li va lliurar la branca de l'atacant

Plugin4Shell afecta els quatre agents de programació amb IA més usats: clonen el repositori del plugin, fan checkout del commit fixat i mai no comproven que hi hagin aterrat. Hem reproduït al laboratori, amb git 2.43, el comportament de git en què se sosté: codi de sortida 0, un avís que ningú no llegeix i el contingut de l'atacant al directori de treball. La mateixa cadena de 40 caràcters dona una resposta diferent segons quina ordre de git la llegeixi, així que auditar amb git log no serveix. I avui la defensa depèn sobretot d'on estigui allotjat el repositori del plugin.

IA Ciberseguretat DevOps
Llegir més →
Estanterías de un depósito de archivo con legajos y cajas de documentos etiquetados
9 min lectura

«Només lectura» no existeix: GitLab posa un 10,0 a una fallada que només sap llegir

CVE-2026-85706 permet a un desconegut llegir fitxers d'un servidor GitLab autoallotjat. No escriu res, i tot i així porta la nota màxima. L'explicació no és al titular: és al vector que va signar el mateix fabricant, amb canvi d'abast i impacte alt en integritat. Repassem què diu el vector, per què CISA li va posar tres dies i marca de triatge forense, i com es contesta l'única pregunta que no respon el pedaç: ens van llegir?

Ciberseguretat GitLab Vulnerabilitats
Llegir més →
Armario metálico de llaves abierto en la pared de un cuarto de instalaciones, con decenas de llaves colgadas juntas
8 min lectura

136 claus en un sol objecte: els valors per defecte que van obrir el clúster

Hugging Face va publicar la cronologia forense de la intrusió de juliol i OpenAI va tancar el seu informe el 26 d'agost: 17.600 accions reconstruïdes entre el 9 i el 13. Entre el primer contenidor compromès i l'objecte que guardava 136 claus no hi va haver ni una vulnerabilitat més, hi va haver valors per defecte. El token que munta cada pod, l'endpoint de metadades que respon des de dins, els secrets concentrats en un objecte i una credencial de connector compartida entre clústers. Repassem la cadena amb les hores al davant, els dos CVE que CISA va ficar al seu catàleg el 27 d'agost i les cinc preguntes que li fem a un clúster.

Ciberseguretat DevOps Zero Trust
Llegir més →
Armario de red mural con la puerta abierta en el cuarto trastero de una oficina, con cajas de cartón, una fregona y estanterías
7 min lectura

La vulnerabilitat de Gitea «requereix permís d'escriptura». El formulari de registre te'l dona

La fitxa del CVE-2026-60004 diu que cal permís d'escriptura en un repositori. El vector oficial del mateix avís diu <code>PR:N</code>, privilegis requerits: cap. Totes dues coses són certes, perquè Gitea instal·la amb <code>DISABLE_REGISTRATION=false</code>. Què implica això per a com prioritzes els pedaços de tot el que tens autoallotjat, què va passar en els onze segons de l'únic cas públic, i la llista del que es mira avui.

Ciberseguretat DevOps Vulnerabilitats
Llegir més →
Caja fuerte pequeña de oficina abierta sobre una repisa, con dos sobres, un juego de llaves y una memoria USB dentro
5 min lectura

Clonar el repositori no és tenir còpia de GitLab

El 17 d'agost GitLab va publicar quatre versions fora de calendari per una fallada que permet modificar o esborrar projectes públics sense compte. La resposta habitual —«el codi el tenim clonat»— és certa i és la part que menys es perd. Què s'emporta de debò un clon, què es queda només al servidor, per què el fitxer de secrets no va dins de la còpia i per què l'arranjament de juny, el que no portava CVE, és el que explica millor el problema.

CI/CD Backup DevOps
Llegir més →
Sala de servidores en penumbra con un armario de red abierto y una etiqueta de inventario despegada colgando de un cable
7 min lectura

La teva documentació et menteix. I les teves validacions, també

Un document no envelleix: caduca, i ho fa en silenci. El Markdown no distingeix entre allò que has comprovat, allò que es pot comprovar i allò que t'imagines, així que al cap de sis mesos les tres coses es llegeixen igual. Expliquem el cas real que ens va portar a construir validated-memory: estats d'evidència, supersessió sense esborrar i sondes de frescor amb tres respostes en comptes de dues. Publicat com a programari lliure amb llicència Apache-2.0.

Documentació DevOps Open Source
Llegir més →
Puesto de trabajo vacío de noche en una oficina pequeña: portátil cerrado, teclado mecánico, taza fría y flexo encendido
5 min lectura

Cinc dies, el títol d'un issue i un token de Jira

El 17 d'agost Wiz va explicar com va treure un token de Jira de Snowflake obrint un issue en un repositori públic: el títol de l'issue era l'exploit. La línia que ho permetia havia entrat cinc dies abans en un canvi que anava d'ordenar el codi, i va substituir el patró segur que la mateixa documentació de GitHub recomana per escrit. Què va fallar a la cadena de revisió, per què l'«if» que semblava un filtre no filtrava res, i què mirem nosaltres en un pipeline.

CI/CD IA GitHub
Llegir més →
CVE-2026-63077, un fallo de CVSS 9,8 sin autenticación en todas las versiones de JetBrains TeamCity On-Premises, pone el foco en el servidor de CI/CD como sistema crítico
8 min lectura

El teu CI/CD té les claus de producció. I el tractes com una eina de desenvolupament

El 27 de juliol del 2026 JetBrains va publicar la CVE-2026-63077: un 9,8 sense autenticació que afecta TOTES les versions de TeamCity On-Premises i permet executar ordres del sistema operatiu al servidor de compilació. No hi ha explotació coneguda. Les dues vegades anteriors que TeamCity va tenir una fallada d'aquest tipus van acabar amb l'SVR rus dins d'empreses tecnològiques i amb els operadors de BianLian creant usuaris a servidors de build. El problema de fons no és TeamCity: és que la màquina que desplega a producció no és a l'inventari de sistemes crítics de gairebé ningú.

CI/CD DevOps Ciberseguretat
Llegir més →
Despliegues reproducibles con Docker Swarm y GitOps: latest no es una versión
7 min lectura

«latest» no és una versió: tres lliçons de desplegar la nostra pròpia web amb Docker Swarm

El pipeline va sortir verd, el webhook va tornar 200 i la web va continuar mostrant el d'abans. Tres lliçons reals del nostre CI/CD GitOps amb Docker Swarm: per què l'orquestrador no persegueix la teva etiqueta i què cal perquè un redeploy sigui de veritat un redeploy, per què el linter no és un test (i el smoke test que ens va salvar la portada del blog), i el «zero downtime» que deia el nostre propi fitxer i no era cert amb una sola rèplica.

Docker DevOps Infraestructura
Llegir més →

Subscriu-te al nostre butlletí

Per rebre històries del món IT, novetats d'everyWAN i ofertes exclusives per a subscriptors, dona't d'alta a la nostra llista de correu

Minorisa de Sistemas Informaticos y Gestión S.L. © 2026
Avís Legal - Política de privacitat de dades - Política de cookies - Configurar cookies - Condicions d'ús - Canal de l'Informant
everyWAN
ACCEDIR REGISTRAR-SE
everyWAN