BOLETÍN DIARIO
El fallo del decodificador Brotli que provoca la ejecución remota de código en Node.js también afecta a Bun, Python y otros lenguajes de uso generalizado…
La sesión informativa de hoy trata sobre fallos generalizados en el decodificador de Brotli, una fuga en la cadena de suministro de LiteLLM y nuevas vulnerabilidades activas detectadas por CISA.
5 noticias4 min de lectura
Los riesgos en la cadena de suministro de software y las vulnerabilidades de infraestructura sin parchear dominan los avances actuales en materia de seguridad. Las organizaciones que dependen de componentes de código abierto y dispositivos empresariales se enfrentan a tareas de mantenimiento urgentes.
En primer lugar, una vulnerabilidad de corrupción de memoria en el decodificador Brotli de Google afecta a ecosistemas de software ampliamente utilizados, como Node.js, Bun, Python y Envoy. Al mismo tiempo, CISA ha añadido vulnerabilidades que se están explotando activamente en Collabora Online y Arista VeloCloud Orchestrator a su catálogo de vulnerabilidades explotadas conocidas.
Los equipos de seguridad deben auditar de inmediato los secretos expuestos en los repositorios de desarrolladores, aplicar parches de proveedores para los sistemas perimetrales que figuran en el catálogo de CISA y actualizar las dependencias de Brotli en todos los entornos.
La filtración de la clave maestra de LiteLLM permitió a los atacantes robar tokens de GitHub y secuestrar el proceso de lanzamiento.
Una clave maestra de la plataforma Agent, filtrada en un repositorio público de GitHub (LiteLLM-Labs/lite-harness) a finales de mayo de 2026, permitió a los atacantes robar tokens de GitHub. Posteriormente, el atacante utilizó el acceso robado para secuestrar el sistema de lanzamiento de LiteLLM y publicar una versión maliciosa del paquete de Python.
- Qué hacer
- Rotar las claves API expuestas y los tokens de GitHub, auditar las canalizaciones de lanzamiento de CI/CD y verificar la integridad de los paquetes LiteLLM.
CISA señala dos fallos críticos que están siendo explotados activamente en Collabora Online y Arista VeloCloud.
CISA añadió las vulnerabilidades CVE-2026-110447 en Collabora Online Built-in CODE Server y CVE-2026-114625 en Arista VeloCloud Orchestrator a su catálogo de vulnerabilidades explotadas conocidas, tras detectarse su explotación activa. Estos fallos permiten la inyección de comandos del sistema operativo y la inyección SQL, respectivamente.
- Qué hacer
- Actualice el servidor CODE integrado de Collabora Online a la versión 26.4.303 o posterior y aplique los parches para Arista VeloCloud Orchestrator.
El fallo del decodificador Brotli, causante de la ejecución remota de código en Node.js, también afecta a Bun, Python y otros programas de uso generalizado.
Un fallo de corrupción de memoria en el decodificador Brotli de Google afecta a muchos programas que descomprimen datos Brotli, entre ellos Bun, los paquetes Python Brotli y brotlicffi, y los proxies Envoy configurados para descomprimir Brotli.
- Por qué importa
- Dado que cada aplicación afectada incluye su propia copia del decodificador Brotli de Google, las organizaciones que dependen de estos entornos de ejecución y proxies deben realizar un seguimiento y aplicar las actualizaciones de cada proveedor para evitar la ejecución del código.
- Qué hacer
- Actualizar los entornos de ejecución y los paquetes afectados, incluidas las dependencias de Bun, Envoy y Python Brotli, a las versiones parcheadas.
Google afirma que los datos de Gmail y Fotos compartidos con la búsqueda mediante IA podrían utilizarse para anuncios segmentados.
Google actualizó su política de privacidad, con vigencia a partir del 16 de octubre de 2026, aclarando que los datos compartidos desde Google Fotos, Gmail y Drive con funciones de IA en las aplicaciones de Búsqueda o Gemini pueden procesarse para ofrecer anuncios personalizados.
- Por qué importa
- Los usuarios y las organizaciones que integren datos personales o del Espacio de trabajo en las funciones de Google Search y Gemini AI pueden exponer el contenido de Gmail, Fotos y Drive a la segmentación de anuncios personalizados.
- Qué hacer
- Revisa la configuración de privacidad de tu cuenta de Google para restringir el intercambio de datos entre las aplicaciones de Workspace y Search/Gemini.
Investigadores envían más de 2 millones de actualizaciones para deshabilitar remotamente el actualizador de Popcorn Time que podría alimentar una botnet.
La empresa de seguridad holandesa Eye Security llevó a cabo la Operación IXIM, que consistió en la emisión de más de dos millones de actualizaciones remotas para desactivar un actualizador en segundo plano vulnerable (Updater.exe) en la aplicación abandonada Time4Popcorn. El dominio no registrado consultado por el actualizador suponía un riesgo de ser secuestrado para una botnet a gran escala.
- Qué hacer
- Localice y elimine el software obsoleto no autorizado, como Time4Popcorn, y bloquee las conexiones a dominios de actualización no verificados.
Puntos clave
- Actualizar las implementaciones del decodificador Brotli en Node.js, Bun, Python y Envoy para corregir la vulnerabilidad de corrupción de memoria CVE-2026-111497.
- Aplique los parches necesarios a Collabora Online Built-in CODE Server (CVE-2026-110447) y Arista VeloCloud Orchestrator (CVE-2026-114625) tras las advertencias de CISA.