Daniel Púa

Head of Security @Magnific · Security researcher
Breaking things to understand them. Securing things for a living.

[Daniel Púa @devploit]

working in cybersecurity nowadays:

> wake up
> read "new critical vuln just dropped"
> summon dev and SRE in the incident channel
> patch, scan, rotate secrets, redeploy
> check logs to make sure you are not already cooked
> take a deep breath and go to sleep

> wake up
> read "new critical vuln just dropped"...

WELCOME TO THE AI ERA

[NebuSec @nebusecurity]

Introducing nginx-poolslip, a fresh RCE for the the latest nginx release 1.31.0.

nginx-rift has been patched, but our security agent Vega has found a new 0 day.

We will release the full technical writeup with ASLR bypass 30 days after the patch on https://t.co/LAhOC5UHrp.

[Daniel Púa @devploit]

@b33rb4r0n

[Daniel Púa @devploit]

PHP2Shell: toolkit de investigación para CVE-2026-109618/109619. RCE pre-auth en session.upload_progress de PHP (mod_php).

5 builds verificados · 13 perfiles · labs · calibración · detección.

Solo testing autorizado.

https://t.co/jU6tLAhIDU

[Daniel Púa @devploit]

PHP2Shell: toolkit de investigación para CVE-2026-109618/109619. RCE pre-auth en session.upload_progress de PHP (mod_php).

5 builds verificados · 13 perfiles · labs · calibración · detección.

Solo testing autorizado.

https://t.co/jU6tLAhIDU

[Daniel Púa @devploit]

Hoy más que nunca...

[Daniel Púa @devploit]

Sigo esperando a que en los aeropuertos pongan una cola para viajeros asiduos y otra para personas que nacieron ayer. Gracias.

[Daniel Púa @devploit]

Esta crítica no va hacia los chavales que han participado, sino a la organización detrás de la participación.

[Daniel Púa @devploit]

El año pasado quedamos 29 de 34. Este año, 39 de 42.

Quizá va siendo hora de dejar de encargar el entrenamiento del equipo a macroempresas o al influencer de turno, y de empezar a elegir a los participantes con criterios claros y a preparar la competición en serio, no un mes antes. Si queréis buenos resultados, tenéis que dejar de depender del talento individual que os carrileó años atrás y empezar a competir de verdad. ¿No habéis aprendido nada de cómo lo hacen otros países?

Un poco de amor propio, por favor.

[INCIBE @INCIBE]

🏁 Finaliza la participación de la Selección Española en el #ECSC2026.

Gracias a los diez integrantes por su esfuerzo, dedicación y compromiso durante toda la competición, y por representar a España en #Bochum . 🇪🇸

[Daniel Púa @devploit]

Just scored a reward @intigriti https://t.co/SM5Xh7eQVV #HackWithIntigriti

[Magnific @magnific]

Magnific One

A new way to bring art direction into image generation

Unlimited in Magnific Desktop until October 15

[Daniel Púa @devploit]

En español me ha quedado gratamente sorprendido con el contenido de @gorkaelbochi. Y sin duda, aunque no esté directamente relacionado con seguridad, no puedo dejar sin mencionar aquí a mi camarada @achetronic.

[Daniel Púa @devploit]

Being technically great and being a great communicator rarely come together.

Most people are strong in one and weak in the other, which makes people who nail both genuinely rare.

[Daniel Púa @devploit]

That's why I rate @LiveOverflow and @NahamSec so much. Real depth, explained in a way that actually sticks. That combo is way harder to find than people think.

[Daniel Púa @devploit]

@juanca_mnz Na, si hoy día o tienes un patrimonio inicial grande, o está difícil. Pero como antiguamente te daban hipotecas de regalos con los bollicaos y los pisos valían 2 duros... Pues eso.

[Cantina 🪐 @cantinasecurity]

today we're releasing apex-flash-1, our first open-weights model for security research post-trained on real vulnerabilities we found and got paid for.

we are also releasing the abliterated variant for researchers who want fewer refusals in their own authorized workflows.

how we built it: https://t.co/sSIV6qKFGt

[Daniel Púa @devploit]

"La ciberseguridad es uno de esos trabajos que solo se hacen visibles cuando algo falla".

Gracias a Manuel Collado y a La Vanguardia por la entrevista.

https://t.co/IMomkclWmV

[Daniel Púa @devploit]

Didn’t expect the owner behind https://t.co/r2Hn0ncjI1 domain.

Well played, @elonmusk.

[OpenAI @OpenAI]

Introducing dots, powered by GPT-6 Astra.

Remarkably capable, always-on agents built to handle everything.

[Hackmanac @H4ckmanac]

🚨Cyber Alert ���️

🇪🇸Spain - 𝗝𝘂𝗻𝘁𝗮 𝗱𝗲 𝗔𝗻𝗱𝗮𝗹𝘂𝗰í𝗮

Meduza Locker hacking group claims to have breached Junta de Andalucía. According to the threat actor, the compromised data includes client, confidential, financial, HR, legal, marketing and technical data.

Threat actor: Meduza Locker
Sector: Gov / Mil / LE
Data exposure (claimed): Not specified
Data type: Client, confidential, financial, HR, legal, marketing and technical data, and reports
Observed: Sep 28, 2026
Status: Pending verification
ESIX©: 5.58

Full details and impact assessment on https://t.co/eB7qgxKFAa

[Daniel Púa @devploit]

With Opus 5.5, it looks like I'll finally be able to remove "don't use em-dashes" from CLAUDE.md instructions.

[Daniel Púa @devploit]

This finding takes 10 seconds to spot and can pay out hundreds of dollars.

An exposed Google Gemini API key. Used to be "informative, no impact." Not anymore.

The reason: that same key can run Gemini prompts on someone else's bill. It's not just exposed data anymore. It's free AI spend for whoever finds it. Programs are paying for that now.