Buenos días. En el repaso tecnológico de hoy encontrarás varias alertas de ciberseguridad que afectan directamente a desarrolladores, desde ataques a la cadena de suministro en Docker y npm hasta nuevas amenazas para macOS. También repasamos los anuncios más destacados de Google Cloud Next 2026, los nuevos agentes autónomos de OpenAI para ChatGPT y la última actualización de Apple para iPhone.
Ataque a la cadena de suministro de Checkmarx KICS compromete imágenes Docker y extensiones de VS Code
El equipo de seguridad de Checkmarx ha confirmado que atacantes lograron comprometer las imágenes oficiales de KICS (Keeping Infrastructure as Code Secure) en Docker Hub, sobrescribiendo etiquetas existentes como v2.1.20 y alpine, e introduciendo una nueva etiqueta v2.1.21 que no corresponde a ninguna versión oficial. El binario modificado incluía capacidades de recopilación y exfiltración de datos, generando informes de escaneo cifrados que se enviaban a un servidor externo. El grupo TeamPCP se ha atribuido el ataque.
El alcance del ataque se extiende también a extensiones de Visual Studio Code relacionadas con Checkmarx, en las que se inyectó código malicioso que descargaba y ejecutaba complementos remotos a través del runtime Bun sin confirmación del usuario. Cualquier organización que haya utilizado las imágenes afectadas para escanear archivos Terraform, CloudFormation o Kubernetes debería considerar comprometidos todos los secretos y credenciales expuestos durante esos escaneos.
Fuente: The Hacker News
Gusano auto-propagable secuestra paquetes npm para robar tokens de desarrolladores
Investigadores de seguridad han descubierto un gusano auto-propagable que se infiltra en paquetes npm legítimos para robar tokens de autenticación de desarrolladores. A diferencia de los ataques típicos que publican paquetes maliciosos nuevos, este gusano infecta paquetes ya existentes aprovechando los tokens robados de sus mantenedores, creando un efecto de propagación en cadena que amplifica enormemente su alcance.
El ataque es especialmente peligroso porque los paquetes comprometidos mantienen su nombre y funcionalidad original, lo que dificulta su detección. Los desarrolladores que dependan de estos paquetes podrían estar ejecutando código malicioso sin saberlo. Se recomienda revisar las dependencias, rotar tokens de npm y habilitar la autenticación en dos factores (2FA) en las cuentas de registro.
Fuente: The Hacker News
Microsoft parchea vulnerabilidad crítica en ASP.NET Core con CVSS 9.1
Microsoft ha publicado una actualización de seguridad fuera de ciclo para corregir la vulnerabilidad CVE-2026-40372 en ASP.NET Core, con una puntuación CVSS de 9.1 sobre 10. Este fallo permite a un atacante escalar privilegios en aplicaciones web construidas con este framework, lo que podría darle acceso a recursos y datos que normalmente estarían restringidos.
ASP.NET Core es uno de los frameworks web más utilizados en entornos empresariales, por lo que el impacto potencial de esta vulnerabilidad es significativo. Microsoft recomienda actualizar inmediatamente a las versiones parcheadas. La puntuación CVSS (Common Vulnerability Scoring System) es un estándar que mide la gravedad de las vulnerabilidades en una escala de 0 a 10, donde cualquier valor por encima de 9.0 se considera crítico.
Fuente: The Hacker News
OpenAI lanza workspace agents en ChatGPT: agentes autónomos para equipos
OpenAI ha presentado los workspace agents, una evolución de los GPTs personalizados que ahora funcionan como agentes autónomos alimentados por Codex. Estos agentes pueden ejecutar tareas complejas de forma continua en la nube, como preparar informes, escribir código, responder mensajes o gestionar flujos de trabajo de varios pasos, incluso cuando el usuario no está conectado.
Los workspace agents están disponibles en versión preliminar para los planes ChatGPT Business, Enterprise, Edu y Teachers, y serán gratuitos hasta el 6 de mayo de 2026, momento en que se introducirá un sistema de precios basado en créditos. Los equipos pueden crear un agente una vez y compartirlo en ChatGPT o Slack, mejorándolo con el tiempo. OpenAI también ha anunciado que en el futuro se podrán convertir los GPTs personalizados existentes en workspace agents.
Fuente: 9to5Mac
Google presenta los chips TPU 8t y TPU 8i en Cloud Next 2026 para competir con Nvidia
En el marco del Google Cloud Next 2026 celebrado en Las Vegas, Google ha presentado la octava generación de sus TPU (Tensor Processing Units) con un enfoque dual: el TPU 8t, optimizado para el entrenamiento de modelos de IA, y el TPU 8i, diseñado para inferencia de bajo coste y latencia casi nula. El TPU 8t promete un rendimiento hasta 3 veces superior por pod y puede escalar hasta 9.600 unidades en un solo superclúster con 2 petabytes de memoria compartida de alto ancho de banda.
Google también ha presentado Virgo Network, una nueva arquitectura de red a gran escala que soportará la infraestructura de IA de la próxima década. Junto a los chips, la compañía ha anunciado Workspace Intelligence, que integra comprensión contextual en tiempo real en todas las apps de Google Workspace, y mejoras en GKE (Google Kubernetes Engine) para cargas de trabajo de inferencia con arranques en frío más rápidos y la capacidad de desplegar 300 sandboxes por segundo.
Fuente: TechCrunch
Descubren dos nuevas amenazas para macOS invisibles a todos los antivirus
El equipo de investigación de Mosyle ha identificado dos nuevas muestras de malware para macOS que ningún motor antivirus detectaba en el momento de su descubrimiento: Phoenix Worm, un stager multiplataforma escrito en Go, y ShadeStager, un implante modular diseñado para el robo de credenciales. Phoenix Worm establece comunicación con servidores de mando y control (C2) y prepara los sistemas para cargas más avanzadas, mientras que ShadeStager se centra en extraer claves SSH, credenciales de proveedores cloud (AWS, Azure, GCP), configuraciones de Kubernetes y datos de autenticación de navegadores.
Lo más preocupante es que ShadeStager apunta específicamente a entornos de desarrollo y infraestructura cloud, lo que convierte a los desarrolladores en objetivos prioritarios. Ambas amenazas utilizan lenguajes compilados como Go y Rust para lograr compatibilidad multiplataforma y configuran su infraestructura C2 de forma dinámica para evadir la detección basada en firmas. Es un buen recordatorio de la importancia de cifrar los archivos sensibles en tu Mac, algo que herramientas como Encripta facilitan con cifrado AES-256.
Fuente: 9to5Mac
Apple lanza iOS 26.4.2 con correcciones de seguridad para iPhone
Apple ha publicado iOS 26.4.2 e iPadOS 26.4.2, una actualización de mantenimiento centrada en la estabilidad y la seguridad. La corrección más destacada soluciona un fallo por el que las notificaciones marcadas para eliminación podían permanecer en el dispositivo de forma inesperada, lo que suponía un riesgo de privacidad al retener datos que el usuario creía haber borrado.
Se trata de una actualización menor sin nuevas funciones. Los usuarios que esperan novedades más significativas deberán esperar a iOS 26.5, actualmente en fase beta, que traerá cifrado de extremo a extremo para mensajes RCS (Rich Communication Services), anuncios en Apple Maps y otras mejoras. La actualización está disponible desde Ajustes → General → Actualización de software.
Fuente: 9to5Mac
¿Qué noticia te ha parecido más interesante? ¡Déjanos tu opinión en los comentarios!
Últimos lanzamientos de ReviApps
Doodle Road Fury: Adictivo juego de carreras arcade con estética dibujada a mano donde esquivas obstáculos a toda velocidad.
ClipMason: Gestor de portapapeles inteligente para macOS con detección de contenido y más de 20 acciones contextuales.
Encripta: Herramienta de cifrado AES-256 para macOS con interfaz minimalista para proteger tus archivos.
FileMason: Organizador inteligente de archivos para macOS que automatiza la clasificación mediante reglas visuales.
Descubre todas mis aplicaciones
Mis últimos libros
OpenClaw: Tu Asistente Personal con IA: Guía práctica para crear tu propio asistente personal potenciado con inteligencia artificial.
Tauri 2.0: Aplicaciones de Escritorio con React y Rust: Aprende a crear aplicaciones de escritorio multiplataforma con Tauri, React y Rust desde cero.
Crea tu propia tienda online con WordPress y WooCommerce desde cero y sin saber programar: Todo lo que necesitas para montar tu tienda online paso a paso sin conocimientos técnicos.
Un saludo, y si aún no lo has hecho no olvides suscribirte a mi blog para no perderte los próximos posts :-),También puedes seguirme en Twitter en @revi_apps y no olvides que me ayudas mucho si compartes este post en las redes sociales.