Guías de seguridad
Aprende de incidentes reales. Defiende tu propio sitio.
No cómo atacar, sino cómo defender, a partir de brechas que de verdad ocurrieron. Defensa práctica que puedes aplicar hoy, incluso sin formación en seguridad.
Por dónde empezar
ITD / DEFENSEBoletín de amenazasCVE13 Incidentes y vulnerabilidades37 Glosario228 Guías de seguridadDEFENSE-ONLY — NO ATTACK STEPS
01ÚLTIMAS / Noticias de seguridad
Qué revisar ahora mismo.
Informes urgentes sobre incidentes y vulnerabilidades, fallos bajo explotación activa y vulnerabilidades críticas divulgadas recientemente.Feed de vulnerabilidades actualizado por última vez 2026-11-12 02:01 JSTLista obtenida 2026-11-12 02:30 JST
Informes urgentesCon fuentes
- First reporten inglésFireworks AI Security Incident (October 2026): Billing Data and Some Datasets and Model Weights Affected, Company Says Cloud Provider Breach Was Involved. What Customers Should Do
- First reporten inglésNEAR AI Breached Through an Inference Engine Flaw (Account Details of About 100 Users): What Was Confirmed and What Users and AI Infrastructure Operators Should Do
- First reporten inglésSAP Security Patch Day, November 2026: four CVSS 10.0 flaws. Patch internet-facing Web Dispatcher and ICM first; how to check if you are affected and what to do today
- First reporten inglésUnauthorized access to Sharefull's internal management system (up to about 7.5 million accounts): names, bank details, emergency contacts and more may have leaked — what workers should do
- First reporten inglésUnauthorized access to Sumitomo Life's Vitality application system (about 80,000 people): names, addresses, phone numbers and partly masked card numbers leaked — what users should do
Los informes urgentes se publican en inglés y japonés.
Ver todos los informes urgentesExplotados activamenteNuevos en CISA KEV
- CVE-2026-125350CVSS 8.8AnálisisGoogle ChromeUse after free en XML en Google Chrome anterior a 157.0.8103.50 permitía a un atacante remoto ejecutar código arbitrario dentro del sandbox mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Alta)
- CVE-2026-116606CVSS 9.3AnálisisUna omisión de autenticación en Barracuda Email Security Gateway en versiones anteriores a la 9.4.0.030 permite a un atacante remoto no autenticado invocar una función de importación de configuración y restaurar un archivo de respaldo manipulado pero compatible, lo que resulta en la modificación no autorizada de la configuración global del dispositivo.
- CVE-2026-20320CVSS 7.5AnálisisUna vulnerabilidad en el analizador XML de la interfaz Open Client Interface (OCI) de Cisco BroadWorks podría permitir que un atacante remoto no autenticado lea información de configuración sensible en un sistema afectado. Esta vulnerabilidad existe porque las entradas XML se analizan de forma incorrecta, ya que la resolución de entidades externas está permitida de manera predeterminada. Un atacante podría explotar esta vulnerabilidad enviando un mensaje XML manipulado al servicio Open Client Interface – Provisioning (OCI-P). Una explotación exitosa podría permitir al atacante visualizar archivos sensibles del sistema de archivos con los privilegios del usuario de Cisco BroadWorks.
- CVE-2026-111560CVSS 8.6Neutralización inadecuada de metacaracteres de shell en el campo de configuración de zona horaria de ciertos productos de dispositivos Barracuda que utilizan código común de Barracuda, lo que permite a un administrador autenticado inyectar comandos del sistema operativo que se ejecutan con privilegios de root cuando el valor de zona horaria manipulado se procesa posteriormente.
- CVE-2026-124194CVSS 6.5AnálisisEl producto de la interfaz de usuario no advierte al usuario sobre acciones inseguras en Microsoft Office Outlook, lo que permite a un atacante no autorizado realizar suplantación de identidad (spoofing) a través de la red.
Fallos críticos divulgados recientementeCVSS 8.8+
- CVE-2026-123710CVSS 9.8A flaw was found in Red Hat Quay. An unauthenticated client can obtain an anonymous registry token with an audience it controls, present that token to the service key rotation endpoint, and install its own approved signing key with no expiry. Registry tokens signed with that key are accepted for any repository, allowing read and write access to private images and replacement of repository tags.
- CVE-2026-89324CVSS 9.8The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
- CVE-2026-121908CVSS 9.9Adobe Connect is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121906CVSS 9.9Adobe Connect is affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary file system read. An attacker could exploit this vulnerability to access sensitive files and directories outside the intended access scope. Exploitation of this issue does not require user interaction. Scope is changed.
- CVE-2026-121904CVSS 9.6Adobe Connect is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by a low-privileged attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim's browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim's account or session. Scope is changed.
El estado de explotación proviene de CISA KEV y la gravedad de NVD. Confirme siempre las versiones corregidas y el alcance afectado en el aviso de cada proveedor.
01 — Sections
Por dónde empezar
Elige un punto de partida según tu objetivo. Todo gratis y sin registro.
02 — Field notes
Incidentes y vulnerabilidades destacados
Capital One, Log4Shell, MOVEit y más: brechas y vulnerabilidades públicas, convertidas en cómo defenderte.
03 — Our stance
Lo que defiende este sitio
Un producto de seguridad tiene que predicar con el ejemplo.
We don't hold secrets
We never store your real API keys — only metadata. The safest secret is the one we can't leak.
Scan only what you own
Diagnostics run on verified domains only. Internal IPs and metadata endpoints are blocked — SSRF defense is built in.
Minimal blast radius
Isolation so one breach can't cascade. This site itself runs on a dedicated, isolated host.
We test on ourselves
This site watches its own dependencies for CVEs. The incident that started this never gets missed by a human again.