Lorenzo Martínez

Director @Securizame. Ingeniero Informático. International Speaker at Security Conferences. Perito Informático Forense Colegiado #DFIR Co-Founder @secbydefault

[Lorenzo Martínez @lawwait]

Hablando con @CiberPoliES me he dado cuenta que no está documentado cómo usarlo. Es algo que tengo pendiente, pero os pongo una captura de pantalla de la charla que di en @rootedcon Prometo documentar su uso!

[Securízame @Securizame]

¡Liberamos al público Lintriage: la herramienta del DFIRer en #Linux! ¡Podéis descargarla gratis! Esperamos que se convierta en una aliada en vuestras investigaciones forenses. ¡Probadla y contadnos que os gustaría ver en futuras versiones! https://t.co/2IGKtdgoiZ #Ciberseguridad

[Lorenzo Martínez @lawwait]

@patowc He sido yo… que no lograba contactar contigo de otra forma :)

[Lorenzo Martínez @lawwait]

@BTshell https://t.co/pDJyExkzaH 2 por la noche

[Lorenzo Martínez @lawwait]

Ya se ha publicado más info de las vulnerabilidades de @php_net en https://t.co/OjKJ2iQOyM. Para mitigar mientras se publican los parches, aparte de la línea session.upload_progress hay que modificar memory_limit = -1 y poner un valor bajo a post_max_size y upload_max_filesize

[Lorenzo Martínez @lawwait]

OJO que esto puede ser muy grave. Solución rápida: Buscar y editar la línea session.upload_progress.enabled y cambiar de On a Off en php.ini / .user.ini (quitar el ; del principio de la línea). Luego reinicia el servicio web y/o php-fpm

[Lorenzo Martínez @lawwait]

@cibercapitan Y aún así por lo que he leído, no se soluciona completamente el problema.

[Lorenzo Martínez @lawwait]

@StarkPrivacy Y ofusca sus huellas dactilares… se ven los dedos lisos

[Securízame @Securizame]

Tras un ciberataque, cada evidencia cuenta. ¡Inscripciones abiertas para DFIR y Análisis Forense 2027 con @lawwait ! Aprende a investigar incidentes y saber cómo actuar frente a ellos. ¡Una formación sin igual! https://t.co/7y5kYI8X0h #CiberSeguridad #Noticia #Cursos

[Lorenzo Martínez @lawwait]

OJO que esto puede ser muy grave. Solución rápida: Buscar y editar la línea session.upload_progress.enabled y cambiar de On a Off en php.ini / .user.ini (quitar el ; del principio de la línea). Luego reinicia el servicio web y/o php-fpm

[Dark Web Intelligence @DailyDarkWeb]

⚠️ UPDATE: PRE-PATCH STOPGAP FOR TWO CRITICAL PHP RCE FLAWS (CVE-2026-109618 / CVE-2026-109619)

PHP's emergency release for two vulnerabilities, both rated CVSS v4.0 9.2, is scheduled for today, Oct 21 at 14:00 UTC (10:00 a.m. ET). PHP has published NO technical details, affected versions or fixed versions yet, and reserves the right to ship earlier if details leak or exploitation appears.

What's confirmed:
• Two critical flaws, both CVSS v4.0 9.2, patches due Oct 21 14:00 UTC
• https://t.co/f3RM1LL3h0 has withheld all technical detail until release; mainstream reporting notes the CVEs are real and may reach back to PHP 5

Unconfirmed researcher assessment (their own read of php-src, moderate confidence):
• Likely path is session.upload_progress / multipart rfc1867 handling (php_session_rfc1867_callback) — present since PHP 5.4, on by default, reachable before authentication
• A quoted post claims two heap use-after-free bugs there were recreated in a lab. Treat the root cause and the recreation claim as unverified until PHP's advisory confirms them.

⚠️ Analyst Note (stopgap you can apply now, low-risk and reversible):
• Set session.upload_progress.enabled = Off in php.ini / .user.ini, then reload PHP-FPM or your web server. By the researchers' own read this may close only one of the two likely paths.
• Tighten WAF or reverse-proxy inspection of, or rate-limit, multipart/form-data POSTs to endpoints that don't need uploads — the second likely path runs for any multipart POST regardless of the setting.
• Inventory every PHP host now and patch the moment the release lands. PHP 7.x and older are end-of-life and will NOT get a fix — plan to upgrade.
No proof-of-concept or exploit detail is being shared. No active attacks have been established.

Credit to researchers @J4ck3LSyN, @acd421 and @ArchKnight23 for the early mitigation guidance.

Primary: jackalsyn[.]com · https://t.co/f3RM1LL3h0 · arstechnica[.]com

#PHP #CVE #RCE #CyberSecurity #ThreatIntelligence #PatchNow #DDW #DarkWeb

[Lorenzo Martínez @lawwait]

@Miss_Salmonella El síndrome del impostor no tiene género... Yo lo tengo día a día con un montón de situaciones. Imagino que el comentario que ha hecho Juan del Val se lo habría hecho a cualquiera que hubiera ganado, por mera envidia supongo

[Lorenzo Martínez @lawwait]

@manabitai_hito Esto solo puede acabar de dos maneras,… y ambas son muy malas

[Lorenzo Martínez @lawwait]

@Miss_Salmonella Yo encabronado estoy un rato largo ya eh?

[Lorenzo Martínez @lawwait]

@Miss_Salmonella Creo que empezó el ministro Oscar Puente a normalizar que todo valía contra el adverso…

[Lorenzo Martínez @lawwait]

@Miss_Salmonella Fíjate cómo será la guarrada que han tenido que cerrar la estación de metro de Sol por insalubridad
https://t.co/lM7WJEVbSh

[Btcandres 285⚡ 9🌊 🔦🔑🦡🥩🐇🕳️☣️6.15🛰️🆖🆙🌋 @BtcAndres]

“ACTUALIZACIÓN: Puedo confirmar que la cadena de suministro de Ledger también está comprometida en Europa. @Ledger debería iniciar un retiro inmediato de productos para proteger a los usuarios.

Acabo de comprar un segundo dispositivo en una ubicación diferente de Mediamarkt hoy, grabé el proceso de desempaquetado y descubrí spyware una vez más (video enlazado en el segundo tuit).

El dispositivo estaba comprometido de exactamente la misma manera, presentando modificaciones idénticas (como cables adicionales y un módulo LTE). Esto indica que se trata de un problema generalizado en lugar de un incidente aislado, que potencialmente afecta el inventario de Ledger en tiendas MediaMarkt y Saturn en toda Europa (que comprende más de 1.000 tiendas en 11 países).

Mi hipótesis inicial era que estos dispositivos eran devoluciones que parecían sin abrir a los empleados y simplemente se volvieron a vender como nuevos; sin embargo, un empleado de MediaMarkt confirmó que el dispositivo que compré no era una devolución, y que los Ledger devueltos se envían directamente de vuelta al fabricante en lugar de revenderse.

Los registros de la tienda muestran que el inventario se originó en Aqipa GmbH. Aunque el CTO de Ledger no estaba seguro de si Aqipa actúa como el distribuidor directo entre Ledger y MediaMarkt, parece que es el caso. Dado que Aqipa distribuye en toda Europa, cualquier tienda minorista física que reciba existencias a través de ellos podría estar en riesgo.

Envié el primer ledger a mark y el segundo está yendo a ledger ahora, para que puedan analizarlo.
Si compraste un ledger de alguien que no sea la tienda oficial de ledger, ¡asegúrate de revisar tu dispositivo!!” h/t @0xJohannes_

[elhacker.NET @elhackernet]

GitHub duplica usuarios gracias a no programadores

GitHub duplica sus usuarios gracias a la integración de la IA y la llegada de personas no técnicas que no saben programar
https://t.co/kBykRbLYuE

[Lorenzo Martínez @lawwait]

@Capitana_espana Pinta a IA…

[Lorenzo Martínez @lawwait]

@sanchezdelreal @JoseMan49193161 Donde han mentido de forma velada y no se les ha deducido testimonio.... sin que haya pasado nada por ello.

[Lorenzo Martínez @lawwait]

@CCOO

[Lorenzo Martínez @lawwait]

@josedaze si hay algo para lo que no tengo que usar la IA, es eso :D

[Amura @AmurasAmura]

🔥🔴 Retuitealo cada día hasta las elecciones

👏👏👏 Que conozca la historia de este gobierno criminal

[Lorenzo Martínez @lawwait]

@marcvidal vi este hilo en @forocoches hace unos días https://t.co/dk8ZOEHcRn