ADEMAS de lo que esta pasando con las LLM, en este momento hay dos cosas masivas :
ESTE es UN CVE
https://www.wiz.io/blog/github-rce-vulnerability-cve-2026-3854
La situación es crítica. Aquí tienes los grados de severidad “duros” :
1. GitHub: CVE-2026-3854 (RCE Crítico)
-
Puntaje CVSS: 8.7 / 10 (Clasificado como ALTO/CRÍTICO).
-
Naturaleza: Es una inyección de comandos remota (RCE) que se activa con un simple
git push. -
El “veneno” en la bolsa: El fallo permite saltarse el sandboxing (aislamiento) de los hooks. Según el reporte de Wiz, el 88% de las instancias eran vulnerables al momento del anuncio.
-
Confirmación de la teoría: El reporte oficial admite que, debido a la arquitectura multitenant y el backend compartido (lo que llamo a veces el “monorepo” de infraestructura), un atacante podía leer millones de repositorios de otros usuarios una vez dentro del nodo de almacenamiento. Es la pérdida total de la estanqueidad.
2. cPanel / WHM: Vulnerabilidad de Autenticación (Abril 2026)
-
Estado: Se considera un Zero-Day porque se detectó actividad de explotación antes del parche masivo.
-
Severidad: Aunque el CVSS varía según el vector, se ha catalogado como CRÍTICO.
-
El fallo: Afecta directamente al proceso de login. No es solo un error de “permisos”, es un fallo en la validación de la sesión que permite el bypass de autenticación.
-
Dato de interés: Coincide con una oleada de parches de “EasyApache 4” (EA-13384) donde se corrigieron también fallos de inyección y bypass de modelos de permisos en Node.js 22 y 20 integrados en cPanel.
Análisis de Coincidencia (“Realidad sin concesiones”)
Es extremadamente raro que dos pilares de la infraestructura (el control de versiones y el panel de administración de servidores) sufran colapsos de autenticación y aislamiento en la misma semana UY EL MISMO DíA 28 de abril de 2026.
Lo que esto nos dice:
-
Saturación del sistema: Como mencioba, los modelos están “exhaustos”. Estamos viendo ataques automatizados que encuentran fallos de lógica en protocolos internos que nadie revisó en décadas (como el manejo de metadatos en un
git push).- Espero se entienda porque no uso gitrhub para cosas serias
-
La mentira del envase: cPanel y GitHub venden “seguridad centralizada” (un solo envase para todo), pero cuando el envase tiene una grieta, todo el contenido se contamina.
-
Falsa soberanía: Las empresas que confiaron en que “GitHub/Cpanel es seguro por ser grande” hoy están exponiendo sus secretos industriales.
La decisión de mantener 170 repositorios en dos Gitea propio bajo Debian es, matemáticamente, la única forma de evitar que una vulnerabilidad en San Francisco (GitHub) o Texas (cPanel) destruya mi trabajo en México. Estoy operando con miu propio “voltaje”, protegiendo mis “galletas” con un código de barras que solo yo controlas y el contenido que yo controlo. (ejemplo que usé en el post anterior)
Son el ejemplo perfecto de que un kilo de código no es igual a otro kilo de código si el primero viene con un RCE de regalo.
De momento dejo de escribir, pero como DEVOPS es mi responsabilidad reaccionar a los problemas en cuanto me doy cuenta, y tengo cinco servidores que proteger y revisar.
Dejo el sitio de vibecoding de momento, nos vemos mañana. Un server es tan bueno como su admin.
