Solo algunos de los incidentes de seguridad más grandes de los últimos días... y esto no se está frenando, al contrario, sigue acelerando: PHP2Shell: dos bugs críticos de RCE en el core de PHP. eMudhra: 8 certificados intermedios con llaves privadas ridículamente débiles. Un error en el script de generación de llaves produjo valores minúsculos. Total que estaban usando criptografía tipo Mickey Mouse 🐭 GitLab: integer overflow que termina en RCE. Plex Media Server: fallas que dejaron servidores expuestos al internet, convertidos en mineros de cripto y proxies para atacantes. Arista VeloCloud Orchestrator: zero-day explotado activamente. SQL injection autenticada que permite escalar privilegios. Node.js: RCE en el decodificador Brotli. NGINX: fallas críticas de heap y use-after-free. Railway: el atacante entró a los sistemas donde guardan las variables de entorno de los clientes, y en algunos casos se llevó el contenido descifrado: API keys, credenciales de bases de datos, logins de registros privados. Total que se metieron hasta la cocina! Zeabur: ~321,810 cuentas y más de 3.2 millones de registros de variables de entorno expuestos. La empresa anunció que cierra. Game over 💀 LiteLLM: Ataque a su cadena de suministro. Subieron una versión maliciosa 1.107.0 a PyPI y Docker Hub con un programa ladrón de credenciales y un backdoor de acceso remoto. Escuelas públicas de California: más de 5.7 millones de registros de estudiantes filtrados, incluyendo nombres, fechas de nacimiento, direcciones, datos demográficos y condición de discapacidad. Niños 😢 Capcom: acceso no autorizado a ~11.77 millones de registros de CAPCOM ID. Quest Diagnostics: acceso no autorizado al sistema Quanum Lab Services Manager que usan algunos clientes, con posible acceso a expedientes de pacientes. State Bank of India: registros de clientes apareciendo en la dark web. Esto no es mala suerte. Es el modelo. Cada vez que le entregamos nuestras llaves, nuestros datos y nuestra identidad a un tercero "de confianza", estamos construyendo el siguiente honeypot. Los servidores centralizados no protegen tu información: la acumulan para el próximo atacante. Los cypherpunks lo dijeron hace más de 30 años: la privacidad no se pide, se construye. Con criptografía fuerte, con código abierto que puedas auditar, con sistemas donde nadie tenga que guardar tus secretos porque nunca dejan de ser tuyos. Si no son tus llaves, no son tus datos. Encripta todo. Usa VPN. Firewall. (yo tengo doble). El único email que utilizo es ProtonMail. Confía en las matemáticas, no en las promesas. Cypherpunks use HARDCORE CRYPTOGRAPHY . 🔐 In Vires Numeris.