En agosto saltó el aviso de que la extensión de Keepa pedía permisos de más. Reviso qué dicen hoy sus manifiestos en Chrome y Firefox, qué hay de cierto en lo que se contó, por qué el fondo del asunto (el scraping en segundo plano que Wladimir Palant destapó en 2021) sigue vigente y cómo comprobar tú mismo los permisos de cualquier extensión, con alternativas si ya no te fías.
Un fallo en el wifi de los chips de Broadcom permite a alguien que esté cerca de tu casa tomar el control del router y leer la clave del wifi, sin contraseña ni nada. Afecta al router HGU original de Movistar y O2, al Livebox Fibra de Orange y a otros modelos que siguen en millones de hogares. Te cuento qué modelos están afectados, por qué cambiar la contraseña no sirve, qué dicen las operadoras y qué haría yo mientras llega la actualización.
La misma semana que PHP2Shell, Node.js corrigió diez vulnerabilidades, una de ellas en el descompresor Brotli que permite ejecutar código, y Oracle sacó su parche trimestral con más de 1.200 fallos, 55 de ellos en Java. Te resumo qué versiones de Node necesitas, por qué hay que reconstruir los snapshots y no solo actualizar, qué pasa con Node 20 y qué mirar en Java, para que no te quedes solo con el parche de PHP.
PHP ha corregido dos fallos críticos que permiten ejecutar código en tu servidor sin iniciar sesión, y hay ataques desde antes de que saliera el parche. Te cuento qué son CVE-2026-109618 y CVE-2026-109619 sin tecnicismos, a quién afectan (Apache con mod_php, PHP-FPM, FrankenPHP...), qué versión necesitas en cada rama, cómo comprobar la tuya aunque estés en un hosting compartido y qué hacer si no puedes actualizar todavía.
¿Y si tu terminal fuese tu gestor de contraseñas? No solo la de Instagram, también la clave de tu base de datos. Y si encima fuese gratis, de código abierto y estuviese hecho por el mismo investigador que creó WireGuard. Eso es pass, el gestor de contraseñas estándar de Unix: minimalista hasta la médula, pero con un montón de extensiones para importar desde casi cualquier servicio que usaras antes, llevar el control de cambios con git, manejar códigos de un solo uso (OTP) y sincronizar con apps de Android, iOS y cualquier escritorio. Aquí te cuento qué es pass, cómo funciona, por qué a tanta gente técnica le encanta y, con honestidad, para quién es y para quién no, porque no es para todo el mundo.
Vaultwarden es una implementación ligera de Bitwarden escrita en Rust. Obtén todas las funcionalidades premium gratis: TOTP, archivos adjuntos y acceso de emergencia. Compatible con todos los clientes oficiales, cifrado del lado del cliente y tus datos en tu propio servidor.
AdGuard Home es un bloqueador de publicidad y rastreadores a nivel de red que funciona como DNS interceptivo. Protege todos los dispositivos sin instalar nada en cada uno, bloqueando publicidad, trackers, phishing y contenido adulto. Usa listas como EasyList y permite añadir tus propias para bloquear redes sociales y TikTok. Corre ligero en LXC con 512MB RAM.
CVE-2026-3854 es una vulnerabilidad crítica de ejecución remota de código en el pipeline de git push de GitHub, con una puntuación CVSS de 8.7. Descubierta por investigadores de Wiz mediante ingeniería inversa asistida por Inteligencia Artificial, permite a cualquier usuario con acceso de push inyectar campos internos a través de un carácter punto y coma mal sanitizado. GitHub.com fue parcheado en menos de 75 minutos tras la validación del reporte. Si usas GitHub Enterprise Server, actualiza ahora.
CVE-2026-31431, conocido como 'Copy Fail', es una vulnerabilidad de alta severidad en el módulo algif_aead del kernel Linux que permite escalar privilegios a root desde cualquier cuenta de usuario sin privilegios. Afecta a prácticamente todas las distribuciones Linux activas desde 2017. De momento no hay parche disponible, pero existe una mitigación inmediata que puedes aplicar en menos de un minuto.