SecureChain para software de código abierto

Puntos clave: FedRAMP 20x ya está en vigor para las clases A, B y C, y la normativa de 2026 entrará en vigor de forma generalizada el 1 de enero de 2027. Uno de los indicadores clave de seguridad describe la supervisión automática...

Puntos clave: Los elementos mínimos de la CISA para 2026 sustituyeron a los criterios de referencia de la Administración Nacional de Telecomunicaciones e Información (NTIA) de 2021 el 29 de julio de 2026 y establecieron 17 campos de datos. La Oficina de Gestión y...

Resumen: ¿Qué ha pasado? Un archivo malicioso «[email protected]» llegó a npm a las 01:12 UTC del 8 de octubre de 2026. Esta vez no se trata de un «typosquat». Es el auténtico SDK de Tensorlake para TypeScript, creado por el equipo del proyecto...

¿Te acuerdas de «git blame»? En algún momento, alguien lo ejecutará en el código heredado y sacará a la luz decisiones que tomaste hace años. Se quedarán perplejos. Quizá el...

Ejecutas «npm audit» y ahí está: 14 vulnerabilidades (3 de riesgo bajo, 6 de riesgo moderado, 4 de riesgo alto y 1 crítica). Vaya, fíjate, catorce vulnerabilidades. Probablemente se trate de un proyecto que...

Puntos clave: Desde el 11 de septiembre de 2026, el artículo 14 de la CRA exige que se notifique en un plazo de 24 horas desde que se tenga conocimiento de la existencia de una vulnerabilidad que esté siendo explotada activamente en su producto. Un nivel superior...

Conclusiones clave: tanto los errores tipográficos como las «alucinaciones» de la IA proporcionan a los atacantes un nombre de paquete válido, y ninguno de los dos requiere un exploit. La procedencia demuestra de dónde procede un artefacto, no que la confirmación...

Cada instalación de npm es un acto de confianza. ¿Alguna vez te has quedado mirando fijamente tu carpeta «node_modules» y te has preguntado qué hay realmente ahí dentro? En el desarrollo de software moderno, vivimos en...

¿Alguna vez le has pedido a un modelo de lenguaje grande (LLM) que genere código y te has preguntado si realmente es seguro? Ahora que las empresas contratan a «unicornios de la IA» y herramientas como Claude o Copilot se están convirtiendo en la norma, es fácil...

Conclusiones clave: «Third Coming» y «Miasma» se aprovecharon de las rutas de publicación de CI de confianza, en lugar de utilizar tokens de mantenedor de larga duración robados. Un registro que filtre el contenido de las versiones puede detectar esas publicaciones incluso cuando...

Puntos clave: El análisis te indica qué contiene un archivo JAR, pero no si coincide con el código fuente que publica el proyecto. Una compilación manipulada con coordenadas válidas es la laguna que ni...