flawopen.com/Incidentes

Incidentes de Seguridad y Post-Mortems

Desgloses técnicos de brechas históricas y fallas de agentes de IA autónomos: rastreados desde el fallo de ejecución hasta el endurecimiento de producción.

Cada incidente documentado es un evento real y público. Las afirmaciones están respaldadas por avisos de proveedores y registros CVE.

Inyección

Expression Injection · CWE-917 · CVSS 10.0

Log4Shell: el día en que registrar un log se volvió ejecución remota de código

Análisis técnico de Log4Shell (CVE-2021-44228): cómo las consultas JNDI en Log4j 2 convirtieron cadenas de log en ejecución remota de código en todo el ecosistema Java.

December 2021 · CVE-2021-44228 · Apache Log4j 2 Expression Injection · CWE-917 · 147M records

Equifax: un parche disponible hace dos meses, 147 millones de identidades expuestas

Análisis técnico de la brecha de Equifax (CVE-2017-5638): cómo una cabecera Content-Type maliciosa en Apache Struts ejecutó código OGNL no autenticado.

2017 · CVE-2017-5638 · Apache Struts 2 SQL Injection · CWE-89 · Mass exploitation

MOVEit Transfer: una inyección SQL, miles de organizaciones vulneradas

Análisis técnico de MOVEit Transfer (CVE-2023-34362): cómo una inyección SQL sin autenticación permitió a Cl0p desplegar LEMURLOOT y robar datos de miles de empresas.

May 2023 · CVE-2023-34362 · Progress MOVEit Transfer SQL Injection · CWE-89 · Vulnerability chain

CVE-2025-1094: cuando la propia función de sanitización era la vulnerabilidad

Análisis técnico de CVE-2025-1094: cómo la codificación multibyte en libpq PQescapeLiteral() permitió saltar las comillas y comprometer terminales del Tesoro de EE. UU.

2024–2025 · CVE-2025-1094 · PostgreSQL, BeyondTrust

Path Traversal y SSRF

Path Traversal · CWE-22 · CVSS 10.0

CVE-2026-85706: cómo una petición no autenticada leía cualquier archivo en un servidor GitLab

Análisis técnico de CVE-2026-85706: cómo una sola petición HTTP sin autenticación permitió leer secretos y archivos arbitrarios en servidores GitLab.

September 2026 · CVE-2026-85706 · GitLab CE/EE SSRF · CWE-918 · 100M+ records

Capital One: la vulnerabilidad SSRF que convirtió una petición web en credenciales de la nube

Análisis técnico de la brecha de Capital One: cómo una vulnerabilidad SSRF en el WAF permitió consultar el servicio IMDS y robar datos de 106 millones de personas.

2019 · AWS EC2 instance metadata · Capital One

Seguridad de Memoria (C, C++ y unsafe Rust)

Out-of-bounds Read · CWE-125 · C

Heartbleed: una comprobación de límites ausente, media internet vulnerable

Análisis técnico de Heartbleed (CVE-2014-0160): cómo una extensión TLS Heartbeat en OpenSSL permitió leer hasta 64 KB de memoria por petición sin autenticación.

2014 · CVE-2014-0160 · OpenSSL Out-of-bounds Read · CWE-125 · C

Citrix Bleed: cómo malinterpretar un valor de retorno anuló la autenticación multifactor

Análisis técnico de Citrix Bleed (CVE-2023-4966): cómo un fallo de desbordamiento de lectura en NetScaler ADC permitió secuestrar sesiones autenticadas saltándose el MFA.

2023 · CVE-2023-4966 · Citrix NetScaler ADC/Gateway Out-of-bounds Write · CWE-787 · C

Baron Samedit: diez años de privilegios root ocultos tras una barra invertida

Análisis técnico de Baron Samedit (CVE-2021-3156): cómo un fallo en el desescapado de argumentos en sudo otorgó privilegios de root a cualquier usuario local.

2021 · CVE-2021-3156 · sudo Out-of-bounds Write · CWE-787 · unsafe Rust

Cuando Rust no es seguro en memoria: bloques unsafe y el desbordamiento de smallvec

Análisis técnico de CVE-2021-25900: cómo la suposición sobre size_hint() en código unsafe de smallvec causó un desbordamiento de búfer en memoria heap.

2021 · CVE-2021-25900 · RUSTSEC-2021-0003 · smallvec Cadena de Exploit · CWE-787 / CWE-122 · Zero-Day

Cadena Zero-Day BlueMoon: Chrome y Windows

Análisis de la cadena zero-day BlueMoon: vinculando escritura fuera de límites en Chrome V8 y desbordamiento de heap en ALPC del kernel de Windows para obtener SYSTEM.

Septiembre 2026 · CVE-2026-87491 · CVE-2026-85880 · BlueMoon Acceso Fuera de Límites · CWE-125 / CWE-787 · Zero-Day Móvil

Zero-Day Universal en ANGLE

Análisis técnico de CVE-2025-14174: cómo una escritura fuera de límites en la capa gráfica ANGLE comprometió Google Chrome y Apple WebKit en iOS simultáneamente.

Diciembre 2025 · CVE-2025-14174 · ANGLE / WebKit / Chrome Resolución Indebida de Enlace · CWE-59 · Zero-Day en Producción

Escalada por Symlink en Windows Update

Análisis técnico de CVE-2026-81963: zero-day en el servicio Windows Update (MoUsoCoreWorker) donde uniones de directorio NTFS permitieron escalar a NT AUTHORITY\SYSTEM.

Septiembre 2026 · CVE-2026-81963 · Windows Update Stack

Cadena de Suministro

Embedded Malicious Code · CWE-506 · CVSS 10.0

La puerta trasera de XZ Utils: el ataque a la cadena de suministro que casi compromete todo Linux

Análisis técnico de la puerta trasera en XZ Utils (CVE-2024-3094): cómo una cuenta maliciosa operó durante años para secuestrar sshd a través de liblzma.

2024 · CVE-2024-3094 · XZ Utils / liblzma Untrustworthy Component · CWE-1357 · Nation-state

SUNBURST: cuando el propio entorno de compilación fue la vulnerabilidad

Análisis técnico de SUNBURST: cómo atacantes estatales insertaron una puerta trasera en el compilador de SolarWinds Orion sin tocar el código fuente.

2020 · SolarWinds Orion · CVE-2020-10148 Embedded Malicious Code · CWE-506 · Self-propagating

Shai-Hulud: el gusano de npm que se publicaba a sí mismo sin intervención humana

Análisis técnico del gusano Shai-Hulud en npm: cómo los scripts de ciclo de vida robaron tokens de publicación e infectaron más de 500 paquetes automáticamente.

September 2025 · npm registry ecosystem

Agentes de IA Autónomos

Protection Mechanism Failure · CWE-693

Guías de Ingeniería

Guía de Fortalecimiento

Plano de Seguridad para Agentes de IA: Sandboxing, Control de Herramientas y Tráfico de Salida

Guía de implementación paso a paso: aislamiento de entornos de ejecución de agentes, bloqueo de conexiones de salida de contenedores y barreras humanas.

Guía de referencia · Sistemas agénticos