Ingeniero DevSecOps: 2026-09-19

1. Falla en agentes de IA permite ejecución remota sin interacción del desarrollador

   CiberSeguridad Latam, 2026-09-19. Leer, 7 min.

   Investigadores de AIR divulgaron Plugin4Shell, un fallo de ejecución remota de código sin interacción del desarrollador en cuatro agentes de codificación con IA: OpenAI Codex, Anthropic Claude Code, Google Gemini CLI y GitHub Copilot. Los agentes descargan plugins desde repositorios Git fijando el commit por SHA, pero no verifican que Git haya devuelto el commit solicitado, de modo que quien controla el repositorio puede servir una versión maliciosa conservando la apariencia de un pin revisado. El artículo precisa que no hay telemetría pública de intentos de explotación, lo que no significa que no hayan ocurrido.

   Por qué importa para este rol: Fije la versión de los agentes en sus imágenes de construcción y bloquee la descarga de plugins desde los ejecutores de integración continua. Si algún agente corrió con tokens de despliegue o de registro de artefactos, rótelos ahora en lugar de esperar a que aparezca telemetría de explotación.

2. Vulnerabilidad crítica de WSO2 permite acceso total de administrador

   elhacker.NET, 2026-09-18. Leer, 2 min.

   WSO2 reveló CVE-2026-5430, una omisión de autenticación con puntuación CVSS de 10.0 en sus productos de gestión de API, que permite a un atacante remoto tomar el control de cuentas de administrador sin requerir autenticación previa ni interacción del usuario. El aviso original de WSO2 (WSO2-2026-5328) está fechado el 3 de mayo de 2026 y no menciona explotación activa.

   Por qué importa para este rol: Averigüe hoy dónde tiene WSO2 desplegado, incluidos los entornos de prueba que ya nadie reclama, y meta la actualización en la primera ventana disponible. Una omisión de autenticación que no requiere interacción no espera a su calendario mensual de parches.

   Corrección del 2026-09-21: Una versión anterior daba por concluyente que una sesión administrativa sin inicio de sesión previo equivale a una cuenta tomada, y pedía tratar la actualización como trabajo del mismo día. Ninguna fuente valida esa regla ni ese plazo: la regla se plantea ahora como hipótesis de búsqueda y el plazo se retiró. El resumen añade la fecha del aviso original de WSO2.

Ingeniero DevSecOps