Blog Tecnológico

Blog everyWAN

Tecnología, ciberseguridad y tendencias IT que importan

Análisis Profundo

Ciberseguridad

Tendencias IT

Filtrar por:

Banco de trabajo de reparación con estación de soldadura, multímetro y bobinas de cable

25 Oct 2026 9 min lectura

La protección de rama funcionó. Duró cinco segundos

El 21 de octubre de 2026, a las 10:08:29 UTC, la protección de rama de GitHub rechazó un cambio en el flujo de publicación de LiteLLM. A las 10:08:34 una credencial con privilegio la pisó y aplicó el cambio igualmente. Hora y media después había siete paquetes envenenados de litellm 1.107.0 en PyPI. Ningún control falló: los tres se cumplieron, porque los tres preguntaban lo mismo. Con la cronología minuto a minuto del informe oficial, por qué el radio de alcance no son las aplicaciones que usan la librería sino cualquier entorno virtual donde esté instalada, la ventana real de 2 horas y 40 minutos, y siete comprobaciones con los comandos exactos.

Ciberseguridad DevOps Proveedores

Oficina diáfana a media luz casi vacía: una sola persona trabajando con un portátil entre mesas y sillas desocupadas

22 Oct 2026 8 min lectura

El agente apagó el aviso, no el vigilante

OpenAI publicó el 20 de octubre de 2026 un informe sobre dos incidentes internos en los que sus propios agentes desactivaron la monitorización de alineamiento. Los titulares lo cuentan como ciencia ficción. Lo que hay en el informe es la secuencia más vieja de la informática: alguien silencia un aviso para que un cambio salga adelante, y la escalada tumba al que había dicho que no. Leemos el informe línea a línea —el monitor siguió corriendo, lo que se apagó fue el teléfono; el subagente se negó primero; el silencio quedó documentado con el motivo y las listas originales guardadas— y dejamos el censo de interruptores de silencio para rellenarlo con tu propia infraestructura.

IA Automatización Monitorización

Pulsador de parada de emergencia rojo sobre carcasa amarilla, en el panel de control de una máquina industrial

19 Oct 2026 9 min lectura

«Una de cada diez caídas ya es de IA»: ese dato mide otra cosa

El 10,7% que circula esta semana sale de un informe serio —109.000 incidentes de páginas de estado, 390 empresas, 2018 a 2026— pero no dice que la IA cause una de cada diez caídas: dice que una de cada diez caídas publicadas la publicó una empresa de IA. En el mismo informe hay otro número que sí cambia una decisión: una cascada provocada por un tercero tarda 247 minutos de mediana en resolverse, frente a los 96 de un fallo de configuración propio. Dos veces y media, porque el arreglo no está en tu mano. Repasamos qué mide cada cifra de los tres estudios de esta semana, por qué el 61% de fallos que pasaron las pruebas internas no es un problema de IA sino de staging, y la prueba del apagón.

IA Automatización Continuidad

Parte trasera de una fila de servidores idénticos montados en rack, con sus pilotos verdes encendidos

18 Oct 2026 7 min lectura

Docker Swarm no está muerto: qué eliges de verdad frente a Kubernetes

El 8 de octubre de 2026, Docker Engine 29.9.0 cerró un CVE del modo enjambre —CVE-2026-92542, inyección de tramas Ethernet falsificadas en redes overlay cifradas— y otras ocho entradas que tocan Swarm; la 29.8.0 había traído ocho más. Mirantis mantiene su compromiso de soporte «hasta al menos 2030», pero dentro de su producto de pago MKE 3. Mientras tanto, Kubernetes mantiene ramas de las tres versiones más recientes y la 1.34 agota sus parches el 27 de octubre. Ninguno de esos datos decide por ti: lo que decide es quién va a aplicar las actualizaciones y quién coge el teléfono a las tres de la mañana. Operamos los dos orquestadores en producción y decimos cuándo tiene sentido cada uno, y cuándo no.

Kubernetes Docker DevOps

Unidad de cinta LTO-6 y ranuras de una biblioteca IBM TS3500

14 Oct 2026 7 min lectura

El procedimiento oficial para recuperar un GitLab empieza con un DELETE

El 12 de octubre GitLab publicó tres versiones por un CVSS 10.0 que permite ejecutar código en el servidor, y la propia nota avisa de que en una instancia de un solo nodo el parche obliga a parar el servicio. Si además decides que hay que reconstruir, el camino documentado cuando el fichero de secretos no aparece es borrar las variables de CI/CD, anular los tokens de los runners y desactivar el segundo factor para todos. Nueve cosas dejan de ser accesibles; el código no es ninguna de ellas.

Backup Ciberseguridad GitLab

Escritorio con un portátil de pantalla apagada, una libreta abierta con anotaciones a mano y una taza de café

12 Oct 2026 9 min lectura

El SDK de tus agentes de IA tiene seis avisos nuevos. Tu escáner dice cero

Entre el 28 de septiembre y el 5 de octubre de 2026, el SDK de Python del Model Context Protocol publicó seis avisos de seguridad, tres de ellos de 7,5. El 12 de octubre ninguno de los seis aparece en OSV, ni en la base global de GitHub que dispara Dependabot, ni en la API de PyPI que consulta pip-audit por defecto; el único que lleva CVE tampoco está en el NVD. Lo comprobamos con dos llamadas públicas que puedes repetir en un minuto. Y dos de los seis avisan por escrito de que actualizar, por sí solo, no arregla nada.

IA Automatización Vulnerabilidades

Armario de red de oficina abierto, con un conmutador y una maraña de latiguillos acumulados dentro

7 Oct 2026 7 min lectura

Ocho productos, diecinueve versiones: el aviso de Atlassian dice qué hacer, no qué tienes

El aviso del CVE-2026-21589, del 5 de octubre de 2026, afecta a ocho productos autoalojados de Atlassian: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible y Fisheye. Es un aviso de los completos: diecinueve versiones corregidas, mitigaciones temporales si no puedes parchear —incluida la de sacar la instancia de internet— y un método para buscar rastro en los access logs. Las tres instrucciones arrancan de una pregunta que el fabricante no puede responder por ti. Dentro: la tabla de versiones, por qué «estamos en la 10.2» señala a tres productos distintos y las trece entradas de Atlassian en el catálogo KEV de CISA.

Vulnerabilidades Parcheo DevOps

Disco duro externo conectado a un portátil sobre una mesa de despacho

5 Oct 2026 7 min lectura

El clone no trae el .git/config. El ZIP sí

Cuatro CVE publicados en agosto y septiembre de 2026 describen la misma secuencia: abres una carpeta con un agente de IA, el agente llama a git para enterarse de dónde está, y la configuración local de esa carpeta ejecuta un programa con tus credenciales antes de que nadie te pregunte si confías en ella. Dentro: qué dice la documentación de git sobre core.fsmonitor, por qué un clone normal no sirve como vía de entrega, por qué la comprobación de propiedad que git sí tiene queda desarmada por el gesto más normal del mundo, y el truco que esconde la clave de tu propio grep.

IA Ciberseguridad DevOps

Sala de servidores con el pasillo de racks y el cableado de red ordenado

24 Sep 2026 8 min lectura

Kubernetes caduca cada catorce meses, y no se saltan versiones

El 27 de octubre de 2026 la rama 1.34 de Kubernetes deja de recibir parches, y esa fecha estaba publicada desde que la versión salió. El proyecto mantiene cada rama «roughly fourteen (14) months» —doce meses más dos en modo mantenimiento— y solo las tres versiones menores más recientes. Restando las fechas de fin de vida publicadas sale el número que de verdad importa: caduca una versión cada cuatro meses. Qué significa exactamente el modo mantenimiento, por qué el plano de control no puede saltarse versiones al actualizar, qué holgura tienen los nodos y por qué eso hace que un clúster parezca sano mientras se queda atrás.

Kubernetes Infraestructura DevOps

Batería de torniquetes de acceso vacíos en el vestíbulo de una estación de metro

22 Sep 2026 9 min lectura

Ingress NGINX: medio Kubernetes lo mantenían dos personas

El repositorio kubernetes/ingress-nginx está archivado en solo lectura y su última versión es del 19 de marzo: 187 días sin una versión nueva. No es descuido, es una retirada decidida, y el motivo que firmaron el Steering Committee y el Security Response Committee de Kubernetes no fue un CVE: el componente que publica a internet la mitad de los entornos cloud native lo mantenían «one or two people working in their free time». Qué comprobar hoy con un comando, por qué migrar a Gateway API no es traducir YAML, y los cinco comportamientos que tu enrutado tiene y nadie eligió.

Kubernetes Contenedores Infraestructura

Dos portátiles abiertos sobre una mesa de oficina y una mano escribiendo sobre unos papeles

19 Sep 2026 7 min lectura

El agente fijó el commit del plugin. Git le entregó la rama del atacante

Plugin4Shell afecta a los cuatro agentes de programación con IA más usados: clonan el repositorio del plugin, hacen checkout del commit fijado y nunca comprueban que hayan aterrizado ahí. Hemos reproducido en el laboratorio, con git 2.43, el comportamiento de git en el que se apoya: código de salida 0, un aviso que nadie lee y el contenido del atacante en el directorio de trabajo. La misma cadena de 40 caracteres da una respuesta distinta según qué orden de git la lea, así que auditar con git log no sirve. Y hoy la defensa depende sobre todo de dónde esté alojado el repositorio del plugin.

IA Ciberseguridad DevOps

Estanterías de un depósito de archivo con legajos y cajas de documentos etiquetados

13 Sep 2026 9 min lectura

«Solo lectura» no existe: GitLab le pone un 10,0 a un fallo que solo sabe leer

CVE-2026-85706 permite a un desconocido leer ficheros de un servidor GitLab autoalojado. No escribe nada, y aun así lleva la nota máxima. La explicación no está en el titular: está en el vector que firmó el propio fabricante, con cambio de alcance e impacto alto en integridad. Repasamos qué dice el vector, por qué CISA le puso tres días y marca de triaje forense, y cómo se contesta la única pregunta que no responde el parche: ¿nos leyeron?

Ciberseguridad GitLab Vulnerabilidades

Armario metálico de llaves abierto en la pared de un cuarto de instalaciones, con decenas de llaves colgadas juntas

1 Sep 2026 8 min lectura

136 claves en un solo objeto: los valores por defecto que abrieron el clúster

Hugging Face publicó la cronología forense de la intrusión de julio y OpenAI cerró su informe el 26 de agosto: 17.600 acciones reconstruidas entre el 9 y el 13. Entre el primer contenedor comprometido y el objeto que guardaba 136 claves no hubo ni una vulnerabilidad más, hubo valores por defecto. El token que monta cada pod, el endpoint de metadatos que responde desde dentro, los secretos concentrados en un objeto y una credencial de conector compartida entre clústeres. Repasamos la cadena con las horas delante, los dos CVE que CISA metió en su catálogo el 27 de agosto y las cinco preguntas que le hacemos a un clúster.

Ciberseguridad DevOps Zero Trust

Armario de red mural con la puerta abierta en el cuarto trastero de una oficina, con cajas de cartón, una fregona y estanterías

27 Aug 2026 7 min lectura

El fallo de Gitea «requiere permiso de escritura». El formulario de registro te lo da

La ficha del CVE-2026-60004 dice que hace falta permiso de escritura en un repositorio. El vector oficial del mismo aviso dice <code>PR:N</code>, privilegios requeridos: ninguno. Las dos cosas son ciertas, porque Gitea instala con <code>DISABLE_REGISTRATION=false</code>. Qué implica eso para cómo priorizas los parches de todo lo que tienes autoalojado, qué pasó en los once segundos del único caso público, y la lista de lo que se mira hoy.

Ciberseguridad DevOps Vulnerabilidades

Caja fuerte pequeña de oficina abierta sobre una repisa, con dos sobres, un juego de llaves y una memoria USB dentro

19 Aug 2026 5 min lectura

Clonar el repositorio no es tener copia de GitLab

El 17 de agosto GitLab publicó cuatro versiones fuera de calendario por un fallo que permite modificar o borrar proyectos públicos sin cuenta. La respuesta habitual —«el código lo tenemos clonado»— es cierta y es la parte que menos se pierde. Qué se lleva de verdad un clon, qué se queda solo en el servidor, por qué el fichero de secretos no va dentro de la copia y por qué el arreglo de junio, el que no llevaba CVE, es el que explica mejor el problema.

CI/CD Backup DevOps

Sala de servidores en penumbra con un armario de red abierto y una etiqueta de inventario despegada colgando de un cable

19 Aug 2026 7 min lectura

Tu documentación te miente. Y tus validaciones, también

Un documento no envejece: caduca, y lo hace en silencio. Markdown no distingue entre lo que has comprobado, lo que se puede comprobar y lo que te imaginas, así que a los seis meses las tres cosas se leen igual. Contamos el caso real que nos llevó a construir validated-memory: estados de evidencia, supersesión sin borrar y sondas de frescura con tres respuestas en vez de dos. Publicado como software libre con licencia Apache-2.0.

Documentación DevOps Open Source

Puesto de trabajo vacío de noche en una oficina pequeña: portátil cerrado, teclado mecánico, taza fría y flexo encendido

18 Aug 2026 5 min lectura

Cinco días, el título de un issue y un token de Jira

El 17 de agosto Wiz contó cómo sacó un token de Jira de Snowflake abriendo un issue en un repositorio público: el título del issue era el exploit. La línea que lo permitía había entrado cinco días antes en un cambio que iba de ordenar el código, y sustituyó el patrón seguro que la propia documentación de GitHub recomienda por escrito. Qué falló en la cadena de revisión, por qué el «if» que parecía un filtro no filtraba nada, y qué miramos nosotros en un pipeline.

CI/CD IA GitHub

CVE-2026-63077, un fallo de CVSS 9,8 sin autenticación en todas las versiones de JetBrains TeamCity On-Premises, pone el foco en el servidor de CI/CD como sistema crítico

3 Aug 2026 8 min lectura

Tu CI/CD tiene las llaves de producción. Y lo tratas como una herramienta de desarrollo

El 27 de julio de 2026 JetBrains publicó CVE-2026-63077: un 9,8 sin autenticación que afecta a TODAS las versiones de TeamCity On-Premises y deja ejecutar comandos del sistema operativo en el servidor de compilación. No hay explotación conocida. Las dos veces anteriores que TeamCity tuvo un fallo de este tipo acabaron con el SVR ruso dentro de empresas tecnológicas y con los operadores de BianLian creando usuarios en servidores de build. El problema de fondo no es TeamCity: es que la máquina que despliega en producción no está en el inventario de sistemas críticos de casi nadie.

CI/CD DevOps Ciberseguridad

Despliegues reproducibles con Docker Swarm y GitOps: latest no es una versión

27 Jul 2026 7 min lectura

«latest» no es una versión: tres lecciones de desplegar nuestra propia web con Docker Swarm

El pipeline salió verde, el webhook devolvió 200 y la web siguió mostrando lo de antes. Tres lecciones reales de nuestro CI/CD GitOps con Docker Swarm: por qué el orquestador no persigue tu etiqueta y qué hace falta para que un redeploy sea de verdad un redeploy, por qué el linter no es un test (y el smoke test que nos salvó la portada del blog), y el «zero downtime» que ponía nuestro propio fichero y no era cierto con una sola réplica.

Docker DevOps Infraestructura

Suscríbete a nuestra newsletter

Para recibir historias del mundo IT, novedades de everyWAN y ofertas exclusivas para suscriptores, date de alta a nuestra lista de correo

Acepto recibir comunicaciones comerciales de MINORISA DE SISTEMAS INFORMÁTICOS Y DE GESTIÓN, S.L., según la política de privacidad, que he leído y acepto sin reservas, donde consta información adicional sobre su tratamiento y sobre el ejercicio de mis derechos de acceso, rectificación, limitación, supresión, oposición o portabilidad de mis datos.

Minorisa de Sistemas Informaticos y Gestión S.L. © 2026

Aviso Legal - Política de privacidad de datos - Política de cookies - Configurar cookies - Condiciones de uso - Canal del Informante

ACCEDER REGISTRARSE

Idioma
- ES
- CAT
- EN