GitLab sufre un RCE crítico con CVSS 10 que afecta a todas sus versiones desde 2014
What's Getting Pwned
pwn.watch es un feed en vivo de incidentes de seguridad. Destaca el CVE-2026-110264 de GitLab, un desbordamiento de entero en el compilador de regex Onigmo que permite a un atacante no autenticado ejecutar código en instancias auto-gestionadas; todas las versiones CE/EE desde la 7.0 están afectadas y quienes solo aplicaron el parche del 12 de octubre siguen vulnerables. También se reportan filtraciones de ZDI en el kernel de Linux, el compromiso de la cadena de suministro de LiteLLM y la brecha en Railway, entre otros.
Instancias que solo aplicaron el parche de regex del 12 de octubre siguen vulnerables y deben actualizarse de nuevo.
- pixl97
Sería interesante ver cómo era 2025 en comparación.
El ritmo al que se encuentran fallos es una locura. Mucha gente nos advirtió en el pasado que nuestras laxas posturas de seguridad acabarían pasándonos factura, y por fin hemos llegado a ese punto.
- demibabs
Cada página generada por IA intenta meter demasiadísima información en un espacio demasiado pequeño
- xbar
Después de las primeras 8 horas jugando con Mythos, me preguntaron qué opinaba. Mi respuesta: "esta generación de LLMs va a provocar la mayor ola de incidentes de seguridad que el mundo haya visto jamás".
Y esto no ha hecho más que empezar.
- aeturnum
No entiendo la categorización de los incidentes. Esta vulnerabilidad de Signal[1] aparece como "Live" y "ongoing", pero se parcheó hace más de un mes (y no se anunció hasta hoy). Si un incidente sin exploits conocidos sigue "ongoing" 1,5 meses después de que se publique el parche, ¿cuándo se consideraría terminado?
- aduwah
Oportunidad perdida de llamarlo pwnhub
- meerita
Estamos asistiendo a los últimos días del código descuidado escrito por humanos. Llegaremos a un punto en el que la mayoría de los bugs estarán corregidos.
- WarmWash
Lo que hay que vigilar es qué hará el PCCh cuando la gente empiece a abusar de las capacidades de los modelos chinos. No creo que China quiera ser la cara de la destrucción cibernética generalizada (y desde luego no quiere ser víctima de ella), y basta con un solo imbécil desquiciado para arruinarlo todo para los demás.
Y también la otra cara: que se usen modelos chinos para atacar infraestructura estadounidense, que no es más que cargar obuses en el cañón del "Prohibamos los modelos chinos".
- dunder_cat
El botón de RSS no funciona, devuelve un 404 cuando te redirige a https://pwn.watch/feed.xml :-(.
De hecho, parece que pasa lo mismo con los botones "json" y "llms.txt".