Un token de npm robado a través de un flujo de trabajo de GitHub Actions comprometió cuatro paquetes de AsyncAPI, Microsoft corrigió 570 fallas en su mayor parche mensual, el gusano Shai-Hulud sumó 23 paquetes maliciosos en PyPI y 148 paquetes de npm convirtieron navegadores en bots de DDoS, marcan la agenda de desarrollo del 15 de julio.
Treinta y siete solicitudes de incorporación de cambios (pull requests) permitieron robar un token de publicación privilegiado y colar código malicioso en cuatro paquetes con millones de descargas semanales.
El 14 de julio de 2026, un atacante explotó una vulnerabilidad de tipo pull_request_target —conocida en la jerga de seguridad como «pwn request»— en el repositorio asyncapi/generator para robar un token de publicación de npm con privilegios elevados, según reconstruyó la firma Wiz. A las 05:08 UTC el atacante abrió 37 solicitudes de incorporación de cambios contra el repositorio; una de ellas, la número 2155, contenía JavaScript ofuscado que filtró el token hacia el sitio rentry.co cuando el flujo de trabajo de GitHub Actions terminó de ejecutarse, a las 05:16 UTC. Con ese token, el atacante publicó un cambio malicioso directamente en la rama next a las 06:58 UTC —00:58 hora de Costa Rica del 14 de julio— que disparó el flujo de publicación automática y sacó a la luz las primeras tres versiones comprometidas a las 07:10 UTC, según documentó Chainguard. El ataque comprometió cinco versiones de cuatro paquetes —@asyncapi/generator, @asyncapi/generator-helpers, @asyncapi/generator-components y @asyncapi/specs—, con una descarga semanal combinada de alrededor de 2 millones según Cybersecurity News, cifra que Wiz ubica cerca de 2,9 millones si se cuenta por separado @asyncapi/specs, el paquete de mayor tracción del grupo. La carga maliciosa roba contraseñas y cookies guardadas en Chrome, Brave, Firefox y Edge, llaves SSH, tokens de npm y de GitHub, credenciales de AWS, el llavero de macOS y carteras de criptomonedas, y además acepta comandos remotos para leer y exfiltrar archivos, según el análisis técnico de Wiz. El patrón —un flujo de trabajo con pull_request_target que revisa (checkout) el código de la solicitud de incorporación en lugar de la rama base— es la misma clase de falla que en marzo de 2025 filtró secretos de más de 23.000 repositorios en el ataque a tj-actions/changed-files, según recordó The Hacker News. Los mantenedores de AsyncAPI retiraron las versiones maliciosas y publicaron las limpias @asyncapi/specs 6.11.1, @asyncapi/generator 3.3.0, @asyncapi/generator-helpers 1.1.0 y @asyncapi/generator-components 0.7.0; cualquier archivo de bloqueo de dependencias que referencie una versión posterior debe corregirse de inmediato. AsyncAPI es una herramienta de nicho —sirve para documentar APIs basadas en eventos como Kafka, MQTT o WebSockets— sin reportes de uso confirmado en empresas costarricenses al cierre de esta edición, pero cualquier equipo local que documente mensajería asíncrona con esta librería debe revisar sus archivos de bloqueo antes de instalar de nuevo.
Microsoft publicó el 14 de julio de 2026 parches para 570 vulnerabilidades, la mayor tanda mensual en la historia del programa Patch Tuesday, según confirmó BleepingComputer. El paquete incluye 59 fallas críticas —48 de ejecución remota de código, nueve de elevación de privilegios, una de omisión de seguridad y una de suplantación— y tres vulnerabilidades de día cero: CVE-2026-56155, una falla de elevación de privilegios en Active Directory Federation Services (AD FS) que Microsoft atribuyó a su propio equipo de detección y respuesta (DART), y CVE-2026-56164, una falla de autenticación faltante en SharePoint Server, ambas ya explotadas en ataques activos antes de que existiera un parche, según documentó Qualys. Una tercera falla, un método para evadir el cifrado BitLocker, se divulgó públicamente sin evidencia de explotación confirmada. El volumen del paquete de julio duplica con holgura el promedio mensual de Microsoft en años anteriores, y la propia compañía atribuyó parte del incremento a que su equipo de seguridad interno usa herramientas de análisis asistido para revisar código, según recogió la Iniciativa de Día Cero (ZDI) de Trend Micro. Entre las correcciones hay actualizaciones para Visual Studio y .NET, dos herramientas centrales en canalizaciones de desarrollo que corren sobre Windows Server, además de SQL Server, Exchange y Azure. Microsoft recomienda además activar la Interfaz de Análisis contra Software Malicioso (AMSI) en modo de análisis completo del cuerpo de las solicitudes como mitigación temporal contra la falla de SharePoint mientras se aplica el parche. Los centros de servicios compartidos de bancos, aseguradoras y multinacionales con operaciones en Costa Rica —muchos de ellos en zonas francas de Heredia, Belén y Escazú— dependen de Windows Server, SQL Server y .NET como base de sus aplicaciones internas, por lo que la prioridad de parcheo debería recaer primero en las dos fallas de día cero con explotación activa confirmada.
La campaña «Lucide Proxy», disfrazada de herramientas para saltarse el wifi filtrado de colegios, sigue sirviendo código malicioso en al menos un paquete pese a que JFrog la denunció días atrás.
JFrog Security Research documentó una campaña de 148 paquetes maliciosos en npm que se presentan como herramientas para evadir los filtros de contenido de redes wifi escolares, bajo el nombre «Lucide Proxy». Los paquetes alojan los archivos estáticos de una aplicación de proxy web disfrazada de sitio de tutorías —con nombres de fachada como «Riverbend Tutoring» o «Northstar Tutoring»— y convierten el navegador de cualquier visitante en un nodo activo de un botnet de denegación de servicio distribuido (DDoS) que usa el protocolo Wisp sobre WebSocket, según el informe de JFrog. Una primera oleada se publicó desde el 27 de mayo de 2026 bajo la cuenta terminal3airport; una segunda, el 8 de julio, bajo la cuenta eerikakirk, elevó el total a 148 paquetes. Noventa de esos despliegues resuelven hacia una sola dirección IP —92.38.177.17, alojada en la red autónoma AS199524 de G-Core Labs—, lo que sugiere una infraestructura centralizada detrás de decenas de paquetes con nombres distintos. The Hacker News verificó el 14 de julio de 2026 que la mayoría de los 148 paquetes ya había sido retirada del registro, pero que el paquete charlie-kirk seguía sirviendo dos versiones maliciosas —2.0.0 y 3.0.1— identificadas por JFrog, es decir que la limpieza del registro sigue incompleta días después de la denuncia pública: el propio caso desmiente la idea de que señalar un paquete malicioso equivale a resolverlo. npm no ha publicado una política específica para retirar de forma proactiva paquetes reportados por investigadores externos más allá de la denuncia manual, lo que explica por qué un paquete señalado sigue en línea. No hay reportes de estudiantes o instituciones educativas costarricenses afectados por esta campaña al cierre de esta edición, pero el patrón —abusar del registro de npm como red de entrega de contenido gratuita para aplicaciones que nada tienen que ver con JavaScript de servidor— es un recordatorio de que cualquier persona, no solo un desarrollador, puede terminar ejecutando este código con solo visitar un enlace.
cat /feed/seguridadjetbrains.md
CVE-2026-62422, con el puntaje máximo de severidad, permite obtener control administrativo del sistema de seguimiento de incidencias sin contraseña ni interacción de la víctima; JetBrains no halló evidencia de explotación real.
> JetBrains publicó el 14 de julio de 2026 un aviso de seguridad para CVE-2026-62422, una falla de bypass de autenticación en YouTrack, su sistema de seguimiento de incidencias y gestión ágil de proyectos, con el puntaje máximo de severidad —CVSS 10.0—, según reportaron SystemTek y CyberPress. La falla permite acceso directo a la base de datos del sistema que deriva en control administrativo completo, sin necesidad de credenciales válidas ni de que la víctima interactúe con nada, clasificada bajo la categoría CWE-306 (ausencia de autenticación en una función crítica).
> La vulnerabilidad afecta a todas las versiones de YouTrack anteriores a la 2026.1.13757, con parches retroactivos para las ramas de soporte extendido 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 y 2024.2.148429, según el detalle de Cybersecurity News. JetBrains indicó que identificó la falla en mayo de 2026 mediante un proceso de divulgación coordinada e investigación interna, y que no encontró evidencia de que se haya explotado fuera de entornos de prueba —una precisión que matiza el puntaje máximo de severidad: la falla es tan grave como es posible, pero, según la propia JetBrains, nadie la ha usado todavía contra una instalación real.
> YouTrack es una herramienta común en equipos de desarrollo ágil que ya usan otros productos de JetBrains como IntelliJ IDEA, PyCharm o WebStorm, extendidos entre estudios de software y centros de desarrollo de empresas multinacionales instaladas en Costa Rica; cualquier equipo que administre una instancia propia de YouTrack —a diferencia de la nube administrada por JetBrains— debería aplicar el parche correspondiente a su rama de soporte de inmediato.
Socket documentó el 14 de julio de 2026 que la campaña de malware autopropagable Shai-Hulud —en sus variantes más recientes Mini Shai-Hulud, Miasma y Hades— sumó 23 artefactos maliciosos nuevos en PyPI, el repositorio oficial de paquetes de Python, dirigidos en particular a bibliotecas de bioinformática y a herramientas para desarrolladores del Protocolo de Contexto de Modelo (MCP). Con esta oleada, el rastreador de Socket eleva el total acumulado de la campaña a 471 artefactos maliciosos entre los dos registros: 411 en 106 paquetes de npm y 60 en 37 paquetes de PyPI. El malware, una vez ejecutado en la máquina de un desarrollador o en un flujo de integración continua, busca credenciales de GitHub, npm, PyPI y RubyGems, secretos de JFrog, credenciales de AWS, Azure y Google Cloud, material de cuentas de servicio de Kubernetes, llaves SSH, archivos de configuración de Docker, historiales de terminal y archivos .env, según el análisis técnico de Socket. El nombre Shai-Hulud —tomado de los gusanos gigantes de la novela Dune— describe con precisión el comportamiento de la campaña desde su primera aparición en setiembre de 2025: cada oleada nueva reutiliza la infraestructura de robo de credenciales de la anterior, pero cambia de ecosistema y de gancho social para evadir las reglas de detección ya conocidas. PyPI es el registro de referencia para la comunidad científica y de bioinformática, un campo con actividad académica activa en universidades costarricenses como la Universidad de Costa Rica; no hay reportes de proyectos o instituciones ticas comprometidos por esta oleada específica al cierre de esta edición, pero cualquier laboratorio o empresa de ciencias de la vida que instale paquetes de Python de fuentes no verificadas debería revisar la lista de artefactos que mantiene Socket antes de ejecutar una instalación.
La versión 7 de actions/checkout bloquea desde junio el patrón que comprometió a AsyncAPI el 14 de julio; el refuerzo llega a todas las versiones hasta el 16 de julio.
GitHub publicó el 18 de junio de 2026 la versión 7 de actions/checkout, la acción más usada en flujos de trabajo de GitHub Actions, con un cambio que bloquea por defecto el patrón de ataque conocido como «pwn request»: ya no revisa (checkout) el código de una solicitud de incorporación de cambios que llega de una bifurcación externa cuando el flujo de trabajo se dispara con pull_request_target o workflow_run, según el changelog oficial del proyecto. Es exactamente el patrón que un atacante explotó el 14 de julio de 2026 contra el repositorio asyncapi/generator para robar un token de publicación de npm y comprometer cuatro paquetes, según reconstruyeron Wiz y The Hacker News en la historia que abre esta edición. El propio calendario de GitHub explica por qué la versión 7 no evitó el ataque a AsyncAPI: el bloqueo solo se aplica de forma automática a los flujos de trabajo que apuntan a una etiqueta mayor flotante, como actions/checkout@v4, mientras que los que fijan una versión exacta por SHA, menor o parche no reciben el cambio hasta que alguien los actualice manualmente. GitHub anunció que el 16 de julio de 2026 —dos días después del ataque a AsyncAPI— extenderá el bloqueo con carácter retroactivo a todas las versiones mayores compatibles, según documentó byteiota. Quien necesite preservar el comportamiento anterior debe activar explícitamente la bandera allow-unsafe-pr-checkout: true, un nombre elegido a propósito para que nadie la use sin darse cuenta de lo que hace. El ataque a AsyncAPI ocurrió con el bloqueo de junio ya disponible y antes del refuerzo retroactivo del 16 de julio: es la prueba en vivo de que anunciar una protección «segura por defecto» no basta si su aplicación automática llega semanas después de que la vulnerabilidad ya es de conocimiento público. GitHub Actions es la plataforma de integración continua más usada entre equipos de desarrollo costarricenses que publican paquetes en npm o distribuyen software mediante flujos automatizados; cualquier equipo local con flujos de trabajo fijados a una versión exacta de actions/checkout debería confirmar si ya recibió la actualización o si necesita aplicarla a mano.
The Register reportó el 14 de julio de 2026 que atacantes siguen explotando activamente dos fallas con el puntaje máximo de severidad —CVSS 10.0— en las extensiones iCagenda y Balbooa Forms para el gestor de contenidos Joomla, un día después de que venciera el plazo que la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) había fijado para el 13 de julio para que sus agencias civiles aplicaran el parche. La firma mySites.guru, que descubrió el ataque contra uno de sus clientes, documentó que la falla de iCagenda (CVE-2026-48939) se explotó como día cero apenas horas antes de que salieran las versiones corregidas 4.0.8 y 3.9.15, a mediados de junio. El punto de entrada en ambos casos es el mismo: la función «Enviar un evento» de iCagenda y el generador de formularios de Balbooa aceptaban archivos subidos por visitantes anónimos sin autenticación, sin protección contra falsificación de solicitudes entre sitios (CSRF) y sin verificar de forma confiable el tipo de archivo, lo que permitía subir un archivo PHP a un directorio público y ejecutarlo de forma remota, según el detalle técnico que recogió The Register. El plazo de CISA solo obliga a las agencias federales civiles de Estados Unidos; no existe un mecanismo equivalente que fuerce a actualizar a los miles de sitios de pequeñas organizaciones que corren estas extensiones fuera de ese perímetro. Joomla sigue siendo una opción común entre municipalidades, cooperativas y pequeñas empresas costarricenses que administran su sitio institucional con recursos de desarrollo limitados, el mismo perfil de organización que esta sección ya señaló el lunes como el más expuesto a este tipo de fallas; que la explotación continúe activa un día después del plazo de CISA confirma que la ventana de riesgo para esos sitios sigue abierta, y que actualizar iCagenda o Balbooa Forms —o desinstalarlas si no están en uso— sigue siendo una tarea pendiente para cualquier administrador que no lo haya hecho todavía.
— El plazo que CISA fijó para el 13 de julio venció sin que la mayoría de sitios con iCagenda o Balbooa Forms aplicara el parche.
La semana del 12 al 15 de julio de 2026 deja un patrón consistente: cada intento de blindar la cadena de suministro de software llega, una y otra vez, un paso por detrás del siguiente ataque. El martes fue el paquete jscrambler moviendo su carga maliciosa fuera del alcance del bloqueo de scripts de npm 12; el miércoles fueron Gitea, Joomla y más de 50 cuentas fantasma de GitHub; hoy la lista suma un ataque que robó un token de npm a través de un flujo de trabajo mal configurado en GitHub Actions y comprometió cuatro paquetes de AsyncAPI, una nueva oleada de 23 artefactos maliciosos del gusano Shai-Hulud en PyPI, y 148 paquetes de npm que convirtieron navegadores de estudiantes en nodos de un botnet de DDoS. El caso de AsyncAPI es el más elocuente de la semana porque muestra el desfase exacto entre la defensa y el ataque: GitHub había publicado en junio una versión de actions/checkout que bloquea por defecto el patrón «pwn request», pero el refuerzo retroactivo a todas las versiones fijadas llega hasta el 16 de julio, dos días después de que ese mismo patrón comprometiera a AsyncAPI. En paralelo, Microsoft corrigió el 14 de julio la mayor tanda mensual de parches de su historia —570 fallas, con dos días cero ya explotados—, un recordatorio de que el volumen de vulnerabilidades por corregir crece más rápido que la capacidad de los equipos de aplicarlas todas a tiempo. Para los equipos de desarrollo en Costa Rica, la lista de tareas de esta edición es concreta: fijar las versiones limpias de los paquetes de AsyncAPI en cualquier archivo de bloqueo de dependencias, confirmar si los flujos de trabajo de GitHub Actions locales ya recibieron el refuerzo de actions/checkout o necesitan actualizarse a mano, aplicar el parche de julio de Microsoft con prioridad en las fallas de día cero, y revisar cualquier instancia propia de JetBrains YouTrack o de Joomla con las extensiones iCagenda o Balbooa Forms. Ninguna de esas tareas depende de un presupuesto grande; todas dependen de que alguien las revise esta semana.