supply chain – Gonzalo Varas 🤓

Venía dentro de la extensión oficial: un backdoor SSH en Claude Code para VS Code

Escucha este artículo en audio (1:48 min, resumen del artículo original) 📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.…

Gonzalo Varas octubre 30, 2026

Ciberseguridad

Gheist: vaciaron los secretos de 850 cuentas de GitHub con sus propios workflows

Escucha este artículo en audio (2:00 min, resumen del artículo original) 📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.…

Gonzalo Varas octubre 25, 2026

Análisis de Noticias Ciberseguridad open source

LiteLLM comprometida en PyPI: el backdoor que corre aunque nunca importes el paquete

Escucha este artículo en audio (1:42 min, resumen del artículo original) 📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.…

Gonzalo Varas octubre 21, 2026

Análisis de Noticias Ciberseguridad

El backdoor de 50 dólares que puede venir escondido en tu modelo sin censura

Lleva rato la moda de los modelos "abliterated" en Hugging Face: versiones de Qwen, Llama o gpt-oss a las que le quitaron la capacidad de negarse. Para quien usa modelos…

Gonzalo Varas octubre 20, 2026

Ciberseguridad Cloud Computing open source

Una web app comercial en C puro con CGI: la lección para tus VPS

Un producto web comercial, sin framework, sin JavaScript y sin contenedor La noticia del día viene de un blog de un dev que publicó algo poco común: una app web…

Gonzalo Varas octubre 13, 2026

Ciberseguridad

El repositorio venía con regalo: phishing con hooks de git

El viernes apareció en Lobsters un relato que debieras leer obligatorio si trabajas con código: a Frank Wiles lo intentaron hackear con un phishing tan bien armado que casi pasa…

Gonzalo Varas octubre 3, 2026

Ciberseguridad open source

El sandbox que aceptaba bytecode: lo que dejó el hackeo de LuaRocks

El 25 de septiembre llegó el reporte; la explotación andaba corriendo desde el 9 de julio. Lectura obligada si mantienes cualquier servicio que ejecute código subido por terceros. La semana…

Gonzalo Varas septiembre 27, 2026

Ciberseguridad Infraestructura Crítica open source

El XSS que vivió cuatro años y medio escondido en los colores de un log de build

Nadie audita la salida, todos auditan el código El otro día apareció un writeup que me dejó pensando: un investigador que va por Arusekk encontró un XSS en SourceHut, la…

Gonzalo Varas septiembre 25, 2026

Ciberseguridad open source

Te invitan a una videollamada y terminan con tu cuenta de crates.io: la campaña que tiene en alerta a los de Rust

Esta semana el equipo de crates.io publicó un aviso que suena a paranoico pero es completamente real: hay una campaña activa atacando a miembros del equipo de Rust y a…

Gonzalo Varas septiembre 18, 2026

Ciberseguridad DevOps

Un token de GitHub dormido tres años en una imagen Docker: la filtración de Baseten

La semana pasada me crucé con una historia que debería leer todo el que construye imágenes Docker para vivir. El equipo de Strix, una empresa que hace un agente de…

Gonzalo Varas septiembre 15, 2026