SecureChain para software de código abierto

Puntos clave: Un cambio de versión no es un parche, y las actualizaciones de dependencias pueden introducir cambios que podrían provocar fallos. Las actualizaciones forzadas pueden fallar de forma evidente durante la compilación o provocar regresiones más sutiles en tiempo de ejecución...

Puntos clave: Los hash del módulo Go abarcan los nombres y el contenido de los archivos, no la codificación ZIP, por lo que un archivo reconstruido de forma independiente puede coincidir exactamente. Por eso, al dirigir GOPROXY a un registro filtrado...

Resumen. Ir a la versión completa ↓ Qué: El 20 de agosto de 2026, un atacante utilizó la cuenta de crates.io de un mantenedor legítimo para publicar versiones maliciosas de arrayref 0.3.10, append-only-vec...

Puntos clave: Un proxy del módulo Go está diseñado para servir archivos, no para determinar si es seguro ejecutarlos. Un carácter de la cadena GOPROXY decide si un...

Puntos clave: Go identifica un paquete por su ubicación, en lugar de por un nombre que pertenezca a alguien, por lo que un nombre de usuario de GitHub caducado puede convertirse en un problema para la cadena de suministro en...

Puntos clave: Un repositorio PyPI privado responde a la pregunta de dónde proceden los paquetes, pero no si es seguro instalarlos. Añadir «–extra-index-url» en lugar de apuntar «–index-url» a un único índice vuelve a abrir la brecha...

Puntos clave: PHP publica las fechas de fin de vida útil con años de antelación, mientras que los paquetes de Composer no anuncian nada cuando el responsable del mantenimiento deja de estar activo. Una dependencia abandonada suele ser la razón por la que un PHP...

Puntos clave: Hades incluía ganchos de inicio .pth, por lo que la carga útil se activaba cada vez que se iniciaba Python, en lugar de una sola vez durante la instalación. Ese mismo truco ya se había incorporado a LiteLLM once semanas antes...

Conclusiones clave: Las versiones maliciosas de Axios estuvieron activas solo unas tres horas, por lo que las instalaciones realizadas antes de su detección no se beneficiaron de las defensas basadas en avisos de seguridad. El número de descargas mide la adopción, no...

Puntos clave: Entre marzo y julio de 2026 se produjeron seis campañas confirmadas contra la cadena de suministro que afectaron a npm, PyPI, los módulos de Go y Packagist. Ninguna de ellas requirió un error en el código de la aplicación de ningún usuario, solo...

Puntos clave: La mayoría de las herramientas de seguridad de la cadena de suministro de software te indican qué elementos ya se han incorporado a tu compilación, pero son mucho menos las que impiden que lleguen hasta allí desde el principio. El...