Seguridad

CVE-2026-82329: el token de admin forjado en JFrog Artifactory

JFrog parcheó una falla crítica de autenticación en Artifactory el 28-ago. Cuatro días después ya forjaban tokens de admin en instancias expuestas. Qué pasó y qué hacer hoy.

Tendencias JFrog Artifactory DevSecOps

MLflow CVE-2026-64849: la SSRF que drena credenciales cloud

Una SSRF sin autenticación en MLflow < 3.15.0 dejó a atacantes leyendo el endpoint de metadata de la nube. CISA la sumó al KEV en 48 horas y ya roba credenciales.

Tendencias MLflow SSRF

NGINX CVE-2026-42533: heap overflow en map y PoC de RCE

Un desbordamiento de heap en la directiva map de NGINX permite crashear workers y, con ASLR anulado, ejecutar código sin autenticación. Ya hay PoC full-chain público.

Tendencias Nginx Seguridad

Debian 11 fin de LTS el 31-ago-2026: qué opciones te quedan

El 31 de agosto de 2026 el equipo LTS deja de parchear Debian 11 Bullseye. Repasamos qué hacer con los servidores que siguen ahí: migrar o pagar soporte extendido.

Tendencias debian Linux

BadGarbage (CVE-2026-53361): de PoC público a root en 30 segundos

Una race condition en el garbage collector de AF_UNIX del kernel de Linux deja que un proceso sin privilegios dentro de un contenedor escale a root del host. El PoC ya es público.

Tendencias Linux Docker

Ray CVE-2025-62593: la RCE que RondoDox armó en días

Una falla crítica (CVSS 9.4) en el framework de IA Ray permite ejecutar código en tu máquina de desarrollo con solo visitar un sitio. Ya está en el KEV de CISA y una botnet la explota.

Tendencias Ray python

Tailscale + Hugging Face: zero-trust vs credenciales eternas

El postmortem de la intrusión de julio de 2026 a Hugging Face muestra cómo una sola clave de Tailscale de larga vida convirtió un escape de sandbox en 181 nodos enrolados. Ni el zero-trust lo frenó.

Casos de Estudio Tailscale zero-trust

Gitea CVE-2026-59774: file read sin login que escala a RCE

Un path traversal en el renderer de Org-mode deja leer archivos del servidor sin autenticarse y, con el INTERNAL_TOKEN, llegar a ejecución de código. Parcheado en 1.27.1.

Tendencias Gitea Git

GitLab CVE-2026-19478: un GraphQL que borra proyectos sin login

GitLab sacó un parche de emergencia por un fallo GraphQL (CVSS 9.4) que deja a un atacante anónimo modificar o borrar proyectos públicos. Qué es, a quién afecta y cómo blindar tu instancia self-managed hoy.

Tendencias GitLab GraphQL

MCPocalipsis: 30 CVEs en 60 días y tus claves en la mira

Entre enero y agosto de 2026 los servidores MCP acumularon más de 40 CVEs, 21.000 instancias expuestas y worms que roban credenciales. Por qué pasó y qué chequear hoy en tu stack agéntico.

Tendencias MCP OAuth