Kulkan Security

Creative minds breaking your Apps. Our team of security experts will plan and execute controlled attacks and help you improve the security of your applications.

[Kulkan Security @kulkansecurity]

En el artículo, Lucas aporta su visión sobre el alcance de las fallas, por qué no pueden bloquearse desde el código de la aplicación y cómo la IA está acelerando el desarrollo de exploits.

Te invitamos a leer el artículo completo:
https://t.co/k1ihdquXbK

[Kulkan Security @kulkansecurity]

En una semana particular para el mundo de la ciberseguridad, @juanbrodersen dedicó la última edición de Dark News a PHP2Shell, y @veryhumansortof (CEO de Kulkan) colaboró aportando su mirada sobre estas vulns y su impacto en millones de sitios en todo el mundo.

Conoce más. 👇

[The PHP Foundation @ThePHPF]

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2.

PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

[Kulkan Security @kulkansecurity]

¡Visítanos en nuestro booth para participar del desafío! Además, estaremos entregando stickers (que siempre son furor en la Eko 🐉✨) y otras sorpresas…

📍 Stand 31, Ekoparty Argentina
🗓️ ¿Estarás en la conferencia? Envíanos un DM y comencemos la conversación.

[Kulkan Security @kulkansecurity]

¡Te invitamos a participar de nuestro CTF en la @ekoparty! 🔓

El primer participante en resolverlo ganará un Swag exclusivo con nuestra mochila, remera, vaso térmico y otros regalos. ¿Tendrás la destreza (y el attacker mindset) suficiente para triunfar?

Más detalles. 👇

[Kulkan Security @kulkansecurity]

Acompáñanos para conversar sobre pentesting y, además, podrás llevarte nuestros stickers 🐉 y (spoiler) un preview gratuito de iPentest, nuestra herramienta de testing con IA, entre otras sorpresas…

🗓️ ¿Estarás en Buenos Aires la semana próxima? Envíanos un DM y conversemos.

[Kulkan Security @kulkansecurity]

En Kulkan, somos sponsors de la @ekoparty 2026, la conferencia de seguridad informática más grande de LATAM. 🌎🛡️

Si estarás en el evento y te interesa conocer a un equipo de pentesters que piensan como verdaderos atacantes, ¡te esperamos en nuestro stand!

¿Nos acompañas? 👇

[Kulkan Security @kulkansecurity]

The process involved bootloader analysis, runtime memory patching, Secure Boot bypass, and custom kernel image injection. None of these steps required chip-off, JTAG, or soldering beyond the UART connection itself.

👉 Dive into the full research: https://t.co/cSN0vbc7c5

[Kulkan Security @kulkansecurity]

📝 New blog post: Matias Fumega documents the process of obtaining a root shell on a Xiaomi L09G smart speaker.

The post covers how he went from an interactive U-Boot shell to patching BL33 in Ghidra, bypassing signature verification, and booting a fully custom kernel image. 👇

[Kulkan Security @kulkansecurity]

From that starting point, Nahuel analyzed thousands of packages from PyPi, NPM, and Rust Crates at scale, uncovering how this attack class works and reporting several vulnerabilities along the way.

👉 Dive into the full research: https://t.co/Q8wYKetysp

[Kulkan Security @kulkansecurity]

📝 New blog: @nahueldsanchez_ analyzes vulnerable GitHub Actions workflows.

Looking into TeamPCP's exploitation of GitHub repositories, he found the method in one of those cases was simple, yet very effective: inject malicious code via a comment in a newly created issue. 👇

[Ekoparty | Hacking everything @ekoparty]

¡Bienvenido @kulkansecurity a la EKO Buenos Aires 2026! Gracias por acompañarnos como Vendor 🚀

🎯 Kulkan es un equipo experto en penetration testing y seguridad ofensiva. Piensan y actúan como atacantes para identificar vulnerabilidades de alto impacto, entregando assessments con contexto real, reportes orientados al cumplimiento normativo y soporte en la remediación para asegurar entornos Web, Mobile y Cloud / On-Premise.
Con +25 años de experiencia en la industria, incorpora AI en su metodología y cuenta con un modelo de 3 tiers, para que elijas la opción que mejor se adapte a tu organización.

✅ El enfoque de Kulkan incluye:
- Testing de lógica de negocio: Escenarios de ataque diseñados a medida según los casos de uso específicos de cada organización, para descubrir vulnerabilidades profundas y difíciles de detectar.
- Cumplimiento normativo: Assessments especializados para PCI DSS, SOC 2, ISO 27001 y otros estándares de Compliance.
- Testing manual: Potenciado con tecnología de vanguardia para identificar vulnerabilidades explotables más allá de las capacidades del escaneo automatizado.

📌 Conocé más >> https://t.co/bIxY3HKep4

📅 Ekoparty Buenos Aires | 7, 8 y 9 de octubre 2026
🎫 Comprá tu entrada ahora en https://t.co/sJ1zuBmjsw

[Kulkan Security @kulkansecurity]

Our team will be in Vegas connecting with security leaders and practitioners from the US and beyond, and of course, handing out free stickers to anyone lucky enough to cross our path! 🐉✨

Are you attending? Send us a DM and let's connect.

About Kulkan: https://t.co/vz4KhveAMd

[Kulkan Security @kulkansecurity]

Kulkan is heading to @BlackHatEvents and @defcon!

We bring our attacker mindset to the most influential events shaping global cybersecurity, sharing what we've learned across 25+ years in pentesting so more businesses can raise their security bar. 🛡️

Will you be there? 👇

[Kulkan Security @kulkansecurity]

The article walks through the actual vulnerability, the class of bug it belongs to, and builds a reproducible PoC that recovers the contents of small files by brute force, without ever attacking the password.

👉 Dive into the full research: https://t.co/2FO3x9QJJ4

[Kulkan Security @kulkansecurity]

📝 Our latest blog covers a vuln our team reported in pyzipper, a Python library recommended by LLMs for creating AES-encrypted Zip files.

A single-character typo in the library silently downgraded AES encryption and left a CRC32 checksum in plaintext.

How did we find it? 👇

[Kulkan Security @kulkansecurity]

Matias walked through capturing the signal with an RTL-SDR, decoding the protocol, and crafting arbitrary frames with a HackRF One.

Want to see how you can inject arbitrary readings with just an SDR, and a bit of patience bruteforcing the Device ID?

👉 https://t.co/J2aZ3Lrl6B

[Kulkan Security @kulkansecurity]

Smart devices at home are more vulnerable than you think, and Matias Fumega demonstrates it once again!

📝 In our latest blog post, he analyzes how a commercial weather station's RF protocol was decoded and how tampered data was successfully injected and read by the station. 👇

[Ekoparty | Hacking everything @ekoparty]

“Vibing w/Caution: A deep dive into a logic vulnerability introduced via incorrect operator use” by Lucas Lavarello from the @kulkansecurity team | Sponsors Track | #EKOMIAMI2026 💪✈️

-

“Vibing w/Caution: A deep dive into a logic vulnerability introduced via incorrect operator use” dictada por Lucas Lavarello del equipo de @kulkansecurity | Sponsors Track | #EKOMIAMI2026 💪✈️

[Kulkan Security @kulkansecurity]

Announcing our second talk at @ekoparty Miami! 🎙️🛡️

@veryhumansortof will break down how a single misplaced operator silently broke encryption in a library recommended by frontier LLMs, and why every SAST tool missed it.

🗓️ May 22, 1:40 PM
📍 Sponsor Track

Let's connect! 💪