♱

Prompt engineering & IA aplicada. Escribo sobre mi fe, tech, ciberseguridad, mercados y libros. EN/ES.

[♱ @Imjoelt0rres]

🚨 PHP2Shell: La IA descubrió fallas críticas (desde 2012) en PHP, el motor de ~70% de las webs. Permiten tomar el control de servidores sin login. Parches salieron el 21/10. Desde entonces: millones de intentos de ataque (Cloudflare), explotaciones confirmadas, CISA las marcó como activamente usadas. Holanda, otros países y sitios grandes se desconectaron por precaución. Actualiza YA si usas PHP. La IA acelera tanto las defensas como los ataques. #PHP2Shell #Ciberseguridad

Si quieres saber más te lo cuento aquí en este resumen actualizado hoy. 👇🧵

[♱ @Imjoelt0rres]

Otras fallas relacionadas: El 23 de octubre PHP avisó de una tercera vía (CVE-2026-115560) relacionada con el progreso de subida de sesiones. Es más difícil de explotar (requiere una combinación poco habitual de configuración y código de la aplicación) y no tiene parche de emergencia todavía; se recomienda desactivar session.upload_progress.enabled hasta el próximo release regular. También se han mencionado hallazgos previos de IA en otros componentes (como cadenas de ataque en WordPress).

En resumen: la IA está acelerando tanto el descubrimiento de fallas antiguas por parte de los “buenos” como la velocidad con la que los atacantes pueden convertirlas en armas. Actualizar PHP (o desconectar lo que no se pueda parchear) es la única solución real. Si administras un sitio con PHP, revisa la versión y aplica el parche ya.

[♱ @Imjoelt0rres]

🚨 PHP2Shell: La IA descubrió fallas críticas (desde 2012) en PHP, el motor de ~70% de las webs. Permiten tomar el control de servidores sin login. Parches salieron el 21/10. Desde entonces: millones de intentos de ataque (Cloudflare), explotaciones confirmadas, CISA las marcó como activamente usadas. Holanda, otros países y sitios grandes se desconectaron por precaución. Actualiza YA si usas PHP. La IA acelera tanto las defensas como los ataques. #PHP2Shell #Ciberseguridad

Si quieres saber más te lo cuento aquí en este resumen actualizado hoy. 👇🧵

[♱ @Imjoelt0rres]

Quiénes se vieron afectados o reaccionaron:

• En los Países Bajos: el parlamento (Tweede Kamer), MijnOverheid, DigiD, hospitales, al menos 13 de 25 regiones de seguridad, municipios y otros servicios se desconectaron de forma preventiva el 21 de octubre.

• Otros países europeos (Finlandia, Alemania, Francia, Austria) y Japón (bancos y aerolíneas) tomaron medidas similares.

• Algunos servicios de Wikipedia y otros sitios grandes también se pausaron temporalmente para parchear.

La mayoría fueron medidas preventivas; no se han confirmado ampliamente compromisos graves en administraciones públicas grandes, pero el riesgo sigue alto mientras haya servidores sin actualizar (se estima que más de un millón seguían expuestos al principio).

[marcus @marcusyul]

🚨 ACABAN DE DESCUBRIR UNA MANERA PARA USAR CLAUDE CODE GRATIS

Un dev subió un repo a GitHub y ya tiene 62.800 estrellas.

Su método: redirige todo el tráfico automáticamente a 61 proveedores, muchos con modelos gratis.

Lo instalas con un solo comando.

→ +1.300M tokens gratis al mes
→ Si un modelo cae, salta a otro
→ También con Codex y Cline
→ Desde terminal, IDE o móvil

El truco: usas Claude Code, pero por dentro corre otro modelo.

Misma herramienta. Cero factura.

Os dejo el repo abajo.

[gus @igus_ai]

ESTA IA VA A HACKEAR TU WEB

Y es mejor que lo haga ella antes que otro.

Se llama Shannon, es open source y ya tiene más de 49K estrellas en GitHub.

Le pasas la URL de tu app y se pone en modo atacante:

→ busca por dónde entrar
→ lanza exploits reales para confirmar que el fallo existe
→ si no consigue explotarlo, no te lo reporta
→ y al terminar te da un informe PDF profesional + SARIF

Nada de listas infinitas de "posibles riesgos". Solo lo que de verdad se puede romper.

¿Y lo que cuesta?

Un pentest tradicional cuesta miles.

En el benchmark público, la ejecución más barata (con DeepSeek) costó 6,10 $ y aun así encontró la SQL injection crítica.

Además, puedes usar el modelo que quieras: Grok, Claude, GPT, DeepSeek o uno local.

Y como corre en GitHub Actions y GitLab CI, puedes testear la seguridad cada vez que publicas.

Enlace en el primer comentario👇

[♱ @Imjoelt0rres]

Ya se me hacía raro que no habían vulnerado algún sistema en Venezuela desde la falla PHP2shell

[Noticias Venezuela 🇻🇪 @NxVenezuela]

Hackearon Cashea, al SENIAT y Digitel. Se filtraron datos privados e historial crediticio de millones de venezolanos.

[Mario Nawfal @MarioNawfal]

IS THE INTERNET GOING TO BE LOCKED DOWN?

Some very strange pieces are starting to line up.

PM Modi warned that future wars could cripple countries without bombs ever falling, simply by taking down banks and financial systems.

In Japan, the head of GMO Internet Group raised the possibility of an internet collapse after claims of fraudulent activity hit more than 70 brokerage and FX platforms.

At the same time, G7 governments and central banks are running simulations for major AI-driven attacks on the financial system, and several of America’s biggest banks reportedly caught unauthorized AI agents trying to access customer accounts and act on their own.

Then there’s Scott Bessent talking about a “grand economic reordering,” with stablecoins and AI part of the conversation around America’s $40 trillion debt.

Maybe these are separate warnings. Maybe they aren’t.

But if a major cyberattack ever freezes banks, trading platforms and transfers at the same time, people are going to accept almost any replacement system that gets their money moving again.

Writer: Sol

[‏ًً @itsblissjanita]

Dostoievski no se equivocaba, mi peor pecado es, en el fondo, destruirme y traicionarme a mí misma por nada.

[Anna Lulis @annamlulis]

You cannot, under ANY circumstances, claim to be Christian and vote for people who support killing babies in the womb.

[♱ @Imjoelt0rres]

Etiquetar a otros de ignorantes a modo de insulto es nuestro ego hablando ignorando el hecho de que por más conocimientos que tengas tu también eres y serás ignorante toda tu vida pues nadie lo sabe todo. Todos somos ignorantes más no todos ignoramos lo mismo.

[FBI @FBI]

The FBI continues to warn about two critical security flaws in PHP, a programming language used to build many websites and online services. Attackers could exploit these vulnerabilities to break into systems, putting sensitive information and business operations at risk. Security updates are available and should be applied immediately.

If you are a business owner or website operator, check whether your systems are affected. Contact your IT support team, website developer, or hosting provider for help identifying vulnerable systems and applying the necessary updates.

The FBI urges organizations to take the following steps now:

➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated.

➡️ Immediately update affected PHP installations following the guidance on https://t.co/JFOW6jG9Ws. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP.

➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation.

➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/ZWC7Se2YdU. Those reports help us identify the actors involved and warn other organizations before they become victims.

For the latest information on these vulnerabilities (CVE-2026-109618 and CVE-2026-109619), follow PHP’s announcements on https://t.co/JFOW6jG9Ws, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.

[Cyber Security News @The_Cyber_News]

‼️ BREAKING: Oracle Issues Emergency Java Update for Critical 9.1 HTTPS Trust Vulnerability

Details: https://t.co/XZV8KY0rPW

Oracle has released an emergency Java security update to address CVE-2026-91403, a critical vulnerability affecting how Java applications trust digital certificates. Published on October 21, 2026, the alert assigns the flaw a CVSS 3.1 score of 9.1 and covers Oracle Java SE and GraalVM.

The update blocks affected intermediate certificate authority certificates linked to eMudhra. According to Oracle’s security advisory, the issue affects the Java Secure Socket Extension, or JSSE, component.

Oracle rates exploitation as low complexity, with no authentication or user interaction required. Successful attacks can expose or change sensitive data, although the risk matrix lists no availability impact.

#cybersecuritynews #vulnerability

[♱ @Imjoelt0rres]

Primero una vulnerabilidad en el lenguaje PHP , ahora agentes de IA acceden fácilmente a los bancos globales, este incidente de cyberseguridad es el perfecto Cisne Negro para establecer un reset financiero. Al cerrar los bancos se exigirán nuevas ID digitales

[Coin Bureau @coinbureau]

🚨ALARMING: Major U.S. banks are detecting UNAUTHORIZED AI agents accessing customer accounts, with some reportedly taking actions beyond users' instructions, per Axios.

Morgan Stanley, JPMorgan, Bank of America and Citi are restricting third-party AI access as security concerns grow.

The biggest risks:
- AI agents could make purchases or move funds without clear user authorization.

- Banks are struggling to distinguish human activity from AI agents acting independently.

- Some AI agents have reportedly contacted bank call centers on customers' behalf.

Banks are now moving toward READ-ONLY access, allowing AI to view financial information without making transactions.

The growing concern is that AI agents are advancing FASTER than banks can secure their systems.

[BrodaxØficial🇪🇸☦️ @BrodaxOficial]

Hackeos globales a los principales bancos del planeta...que conveniente sería que el sistema bancario global se viese destrozado por una IA, un bug, un hack o cualquier cosa del estilo, y tener que recurrir a una actualización de emergencia del sistema financiero global...no?

No tienes suficiente XRP.

[Hackmanac @H4ckmanac]

🚨Cyber Alert ‼️

🇯🇵Japan - 𝗖𝗔𝗣𝗖𝗢𝗠

Capcom confirmed a cyberattack targeting its CAPCOM ID account system, affecting 11,774,247 accounts worldwide.

The breach, detected on October 19, exposed email addresses and account metadata, including registration dates, login activity and IP addresses. Additional personal information was leaked from 43 accounts, while attackers also changed the passwords of 196 accounts without authorisation.

Threat actor: Not specified
Sector: Arts / Entertainment
Data exposure (claimed): 11,774,247 accounts
Data type: Email addresses, account metadata, IP addresses, dates of birth, gender, location and nicknames
Observed: Oct 22, 2026
Status: Confirmed
ESIX©: 6.25

Full details and impact assessment on https://t.co/eB7qgxKFAa

[DragonJAR - Seguridad Informática @DragonJAR]

Octubre es el mes de la ciberseguridad, pero hacía años que no veíamos tambalear los cimientos de internet de esta manera. Hay tanto por contar que un tuit se queda corto. Abro hilo. 🧵👇