🧠 Resumen diario de ciberseguridad – 2026-06-03

Vídeo de YouTube:
https://www.youtube.com/watch?v=hPgLZikrsps

Artículo

En este episodio resumiremos el análisis que realiza Padilha del canal PadilhaSec en su canal de YouTube, en el que se aborda la dificultad de ingresar al mercado de la ciberseguridad, especialmente en roles de nivel inicial, y se propone una estrategia para superar esta barrera.

El presentador destaca una verdad poco mencionada, la dificultad de acceder a posiciones junior en ciberseguridad. Este desafío se debe a la alta demanda y la escasez de vacantes, una realidad del mercado actual.

Según el análisis, áreas clásicas de TI como desarrollo de software, infraestructura o soporte técnico, ofrecen significativamente más oportunidades laborales que la ciberseguridad. Esto crea una fila enorme de candidatos para una puerta de entrada muy estrecha.

Dentro de la propia ciberseguridad, las subáreas ultra especializadas y nicho tienen aún menos vacantes, haciendo que el sueño de una posición específica sea más difícil de alcanzar al inicio de la carrera.

Muchas personas, al intentar acceder directamente a estas posiciones soñadas, se encuentran con un muro y desisten, atribuyendo el problema a su propia capacidad. Sin embargo, el presentador enfatiza que la verdadera limitación reside en una estrategia de entrada inadecuada.

La estrategia propuesta implica adoptar un enfoque secuencial. El plan inicial debe ser flexible, permitiendo la progresión escalonada en el mercado corporativo, en lugar de enfocarse solo en la posición ideal inmediata.

El error común es querer empezar en la cima, aspirando a roles como hacker ético o cazador de recompensas de bugs desde el primer momento. Estas posiciones, aunque atractivas, son altamente competitivas y requieren experiencia.

Se recomienda considerar el ingreso a roles de seguridad operacional, como analista SOC, seguridad en la nube o cumplimiento, donde la demanda de personal es constante debido a la naturaleza 24/7 de estas operaciones.

Una vez dentro de la empresa, se pueden consolidar los fundamentos, observar la seguridad en funcionamiento real y construir una red de contactos valiosa. Esta experiencia es clave para, posteriormente, realizar una migración lateral hacia el área de ciberseguridad deseada.

Un plan C fundamental es desarrollar una base sólida en funciones generales de TI, como administración de sistemas operativos (Linux y Windows), redes, Active Directory y lógica de programación. La seguridad no se construye en el vacío, sino sobre estos pilares técnicos.

Esta experiencia práctica en roles de soporte o infraestructura permite a los profesionales comprender las vulnerabilidades reales en el día a día de una empresa, una perspectiva invaluable que pocos cursos pueden ofrecer.

En resumen, la clave para ingresar y prosperar en ciberseguridad radica en una estrategia de progresión y experiencia. No se trata de renunciar a los sueños, sino de construir un camino realista y adaptable, aprovechando las oportunidades existentes en roles de entrada de TI para consolidar conocimientos y experiencia, que luego servirán como trampolín hacia las especializaciones deseadas.

Vídeo de YouTube:
https://www.youtube.com/watch?v=CRj110oqOI8

Artículo

En este episodio, resumiremos el análisis que realiza Ton del canal Ton Does Linux en su canal de YouTube, en el que se examinan dos vulnerabilidades críticas en sistemas Linux, una de escalada de privilegios local en el kernel y otra de ejecución remota de código en Samba.

La primera vulnerabilidad es CIFSwitch, identificada como CVE-2026-31402. Se trata de un fallo de escalada de privilegios local descubierto por Asim Manizada, ingeniero de seguridad de SpaceX. Este fallo ha permanecido oculto en el subsistema CIFS del kernel de Linux desde el año 2007.

Aunque una escalada de privilegios local no es tan alarmante como un exploit remoto, ya que el atacante necesita acceso previo al sistema, su peligro radica en entornos compartidos. Servidores de alojamiento, clústeres universitarios o servidores de desarrollo, donde múltiples usuarios tienen acceso básico, son especialmente vulnerables. Una LPE convierte ese acceso básico y restringido en un compromiso total del sistema.

El subsistema CIFS del kernel requiere una clave de autenticación cuando se montan recursos compartidos de red. Para ello, activa un programa auxiliar, cifs.upcall, que se ejecuta con privilegios de root para obtener o construir el material Kerberos necesario.

El fallo crítico reside en que el subsistema CIFS del kernel no verifica que estas solicitudes de clave realmente provengan de su propio cliente CIFS. Esto permite a un usuario sin privilegios falsificar una solicitud, que el programa auxiliar con privilegios de root confía y procesa.

Al explotar esta laguna, el atacante puede forzar un cambio de espacio de nombres y desencadenar una búsqueda de servicio de nombres, cargando un módulo malicioso para ejecutar código como root. Para que un servidor sea vulnerable a CIFSwitch, necesita un kernel afectado, el paquete cifs-utils y la disponibilidad de espacios de nombres de usuario sin privilegios. Se ha confirmado la vulnerabilidad en configuraciones predeterminadas de Linux Mint 21 y 22, así como en CentOS Stream 9.

La segunda vulnerabilidad, de máxima gravedad con una puntuación CVSS de 10.0, es CVE-2026-4480. Esta falla permite la ejecución remota de código en el subsistema de impresión de Samba. Samba es ampliamente utilizado en entornos empresariales para compartir archivos e impresoras, conectando sistemas Linux y Windows.

El problema radica en cómo Samba gestiona la configuración del comando de impresión en el archivo smb.conf, particularmente cuando se utiliza el parámetro de sustitución "%J". Este parámetro representa la descripción del trabajo de impresión proporcionada por el cliente.

Samba pasa esta cadena controlada por el cliente directamente a los comandos de shell sin una correcta sanitización o escape de los metacaracteres. Esto permite a un atacante introducir comandos de shell maliciosos en la descripción del trabajo de impresión.

Lo que hace esta vulnerabilidad especialmente peligrosa es que muchos servidores de impresión Samba tienen la impresión de invitado habilitada por defecto. Esto significa que un atacante no necesita credenciales válidas en la red para explotar la falla y obtener la ejecución remota de código. El equipo de Samba ha lanzado actualizaciones de seguridad para corregir esto en las versiones 4.22.10, 4.23.8 y 4.24.3.

Como medida temporal si la aplicación de parches no es inmediata, se debe eliminar completamente la sustitución "%J" de la configuración del comando de impresión en el archivo smb.conf. Las configuraciones que utilizan "printing = cups" o "printing = iprint" no se ven afectadas por esta vulnerabilidad específica.

Un aspecto adicional que Ton señala es la reciente mitigación para la vulnerabilidad Copy-Fill LPE (CVE-2026-31431) en el kernel. Docker ha lanzado una actualización (versión 29.4.3 o posterior de Docker Engine) que añade una capa de protección, incluso si el kernel del host subyacente sigue siendo vulnerable. Esto es crucial en plataformas en la nube como Azure, donde algunos nodos de aplicaciones contenedoras aún pueden estar ejecutando el kernel 6.6 vulnerable.

En resumen, estas dos vulnerabilidades, la de escalada de privilegios local CIFSwitch y la de ejecución remota de código en Samba, representan riesgos significativos para la seguridad de los sistemas Linux. Es fundamental mantener los sistemas actualizados con los últimos parches de seguridad y revisar las configuraciones para mitigar posibles ataques.

Vídeo de YouTube:
https://www.youtube.com/watch?v=DN6fgzyNb3M

Artículo

En este episodio resumiremos el análisis que realiza Kerimong de Hixec en su canal de YouTube, en el que se examina la inteligencia de fuentes abiertas, conocida como OSINT, sus fases y diversas herramientas para llevarla a cabo.

OSINT, acrónimo de Open Source Intelligence, se define como el arte de conseguir la mayor cantidad de información pública sobre un objetivo, ya sea una persona o una empresa. Esta práctica es completamente legal, ya que se basa en la recolección y el análisis de datos que ya son de acceso público.

La clave de OSINT reside en transformar esta información pública en inteligencia útil y accionable. No se trata meramente de usar una herramienta para ver si un usuario está registrado en una red social, sino de ensamblar diferentes piezas de datos para construir un perfil completo del objetivo.

Históricamente, el OSINT surge de la inteligencia militar y gubernamental, aunque sus técnicas pueden aplicarse en diversas áreas, incluso fuera de la ciberseguridad. Es fundamental comprender que, a pesar de la profundidad de la información que se pueda obtener, todas las acciones dentro del marco del OSINT son legales, ya que se limitan a fuentes públicas.

El ciclo del OSINT se divide en seis fases principales, que pueden variar según la metodología. Comienza con la definición de requisitos, estableciendo qué se busca y para quién. Le sigue la recolección de información de redes sociales, foros, registros públicos, contenido multimedia y metadatos.

La tercera fase es el procesamiento de la información, donde se filtra el material irrelevante. Luego, en el análisis, se utiliza el pensamiento lateral para identificar patrones, relaciones o tendencias. La intuición humana es crucial en este paso.

Las últimas fases son la difusión, que implica entregar un informe claro al cliente, y la revisión, para validar que se cumplieron los objetivos. Este proceso estructurado es esencial para una investigación efectiva.

Una herramienta destacada para OSINT es Shodan, un motor de búsqueda global que rastrea activos conectados a internet, como servidores que ofrecen servicios públicos. Funciona escaneando masivamente rangos de direcciones IP para detectar puertos abiertos e indexar servicios, revelando configuraciones y posibles vulnerabilidades.

Es importante señalar que Shodan puede identificar servicios expuestos involuntariamente por empresas o individuos. Aunque Shodan ofrece una versión gratuita útil, la versión de pago permite aprovechar al máximo sus capacidades para monitorear la exposición de activos en internet.

Existen también herramientas específicas para la búsqueda inversa de imágenes, que permiten identificar dónde aparece una imagen en internet, e incluso detectar patrones faciales para encontrar a la misma persona en otras imágenes. Esto difiere de motores de búsqueda como Google Imágenes, que solo buscan coincidencias exactas de la imagen.

Herramientas avanzadas como TinEye y PimEyes permiten el reconocimiento facial y son útiles para rastrear la presencia online de una persona. PimEyes, en particular, ofrece opciones para que los usuarios monitoreen su propia imagen en la web y soliciten la eliminación de fotos de sus resultados de búsqueda.

Finalmente, plataformas como OSINT Industries centralizan la recopilación de información pública de diversas fuentes, incluyendo redes sociales, foros, registros y datos de blockchain. Estas herramientas ahorran un tiempo considerable al automatizar búsquedas que, de otra manera, serían manuales y extensas.

En resumen, el OSINT es una disciplina poderosa para recabar información pública de manera ética. Es vital ser consciente de la huella digital que dejamos y saber que existen métodos y herramientas, desde buscadores especializados hasta soluciones con inteligencia artificial, que permiten rastrear y analizar esta información, ya sea para proteger la privacidad personal o para realizar auditorías de seguridad en entornos empresariales. Fomentar la curiosidad y la formación continua en estas técnicas es crucial para comprender el panorama actual de la ciberseguridad.