Entradas

React2Shell: anatomía de una vulnerabilidad histórica en React Server Components
A comienzos de enero de 2025 , el investigador independiente J. C. Tommasi inició una revisión sistemática del flujo interno que React emplea para transportar y reconstruir compo…

0

WhatsApp Contact Enumeration Flaw: anatomía de una vulnerabilidad que expuso datos de 3.500 millones de usuarios
Durante años, WhatsApp ha presumido —con razón— de su cifrado punto a punto y su arquitectura robusta basada en el protocolo Signal. Sin embargo, incluso los gigantes que dominan …

0

CVE‑2025‑59287 o cómo WSUS se rompió al deserializar
Si tenéis servidores WSUS respirad hondo. CVE-2025-59287 es una deserialización insegura en el servicio Windows Server Update Services (WSUS) que permite a un atacante no autent…

0

CVE-2025-61882: Cadena pre-auth RCE en Oracle E-Business Suite
El 4 de octubre de 2025, Oracle publicó una alerta de seguridad para la vulnerabilidad CVE-2025-61882 , que permite ejecución remota sin autenticación en Oracle E-Business Suite …

0

ViKing: la IA que puede convertirse en un atacante autónomo de Vishing
Imagina recibir una llamada de tu jefe, de un compañero de trabajo o incluso de un familiar, donde cada palabra parece verosímil, cada pausa natural, y cada argumento persuasivo p…

1

MadeYouReset (CVE-2025-8671) el DoS ninja que obliga a tu servidor a hacerse el hara-kiri
Hermanos y hermanas del código, hoy traigo algo que parece sacado de una novela de ciencia ficción: tu propio servidor colapsando por su propia culpa vía HTTP/2. No, no me he fum…

1

Fallos en CyberArk y HashiCorp permiten el acceso remoto a vaults sin credenciales
En agosto de 2025, sobre el escenario de Black Hat USA , la firma de investigación Cyata presentó una investigación bautizada como Vault Fault . Detrás de ese nombre existen  14 …

0

CVE-2025-53786 – Anatomía de una escalada de privilegios silenciosa en entornos híbridos de Microsoft Exchange
Superficialmente, CVE-2025-53786 podría parecer “solo” otra vulnerabilidad de elevación de privilegios en Microsoft Exchange. Sin embargo, su verdadero alcance se revela cuando s…

0

CVE-2025-3699: la puerta trasera (no intencionada) en los HVAC de Mitsubishi Electric
Los sistemas de climatización suelen pasar desapercibidos en un pentest. No corren WordPress, no abren puertos raros, y en muchos casos ni siquiera responden a los escaneos como u…

0

Secure Boot firmado... pero vulnerable (CVE-2025-3052)
Hoy os traemos  CVE-2025-3052 , un bug UEFI tan elegante que consigue desactivar Secure Boot desde dentro , sin romper nada, sin errores, y con firma digital validada por Redmond.…

0

SUN:DOWN IBERIA – Simulación de un apagón desencadenado por ciberataques a infraestructura solar
El pasado 28 de abril, España y Portugal vivieron un apagón eléctrico masivo. Millones de hogares quedaron sin suministro durante horas, y hasta hoy, las causas siguen bajo anális…

0

Brokenwire: el ataque que puede desenchufar tu coche eléctrico (sin tocarlo siquiera)
¿Te imaginas ir a cargar tu coche eléctrico y que, de repente, la carga se detenga sin razón aparente? Todo parecía ir bien, pero de la nada, se apaga el cargador y te quedas mira…

0

¿Qué pasaría si cortaran de forma coordinada los cables submarinos de Internet que conectan a un país? Posibles consecuencias y contramedidas actuales
Día 0: Se produce un corte casi simultáneo de múltiples cables submarinos que conectan un país con el resto del mundo. Hay un impacto inmediato, la conectividad a Internet se ve …

6

regreSSHion: ¡más de 14 millones de OpenSSH expuestos a RCE!
Los desarrolladores de OpenSSH han publicado actualizaciones de seguridad para corregir un fallo de seguridad crítico que podría resultar en la ejecución remota de código (RCE) no…

1

DNSBomb: Un nuevo ataque DoS de "pulsos" que explota los mecanismos de DNS
Investigadores de la Universidad Tsinghua de Pekín han descubierto un nuevo ataque DoS denominado DNSBomb, que aprovecha los mecanismos de seguridad del Sistema de Nombres de Domi…

0

#Springshell: un nuevo 0-day que golpea el core de Spring
Recientemente, un miembro del grupo KnownSec con nick p1n93r publicó un pantallazo en su cuenta de Twitter que mostraba un RCE explotado trivialmente contra el core de Spring (no …

0

SAD DNS: un nuevo ataque que puede hacer tambalear los cimientos de Internet
En 2008 Dan Kaminsky publicó uno de los fallos más graves en Internet de la historia, uno por el que cualquier atacante podía redirigir a cualquiera a otros sitios falsos, inclus…

0

Zerologon desatado: la vulnerabilidad que permite comprometer cualquier controlador de dominio de Windows fácilmente
El 11 de agosto Microsoft a través de Tom Tervoort de Secura trataba una vulnerabilidad en el servicio Netlogon . Netlogon Remote Protocol es una interfaz RPC disponible en lo…

0

SIGRed: vulnerabilidad crítica en el servidor DNS de Windows (CVE-2020-1350)
Los investigadores de Checkpoint se propusieron encontrar una vulnerabilidad mediante la cual comprometer un dominio de Windows, preferiblemente sin necesidad previa de autenti…

1