¡Llegó el Hacknews! Android con 120 fallas críticas, GitHub con plantillas maliciosas y npm instalando malware que roba cripto.

Y si eso no te asusta, esta semana te retamos a explotar una SQLi en un entorno real (pero seguro). ¿Aceptas?

📰 Lo último de la semana

Google bajo ataque en Android ¡Actualiza!

¿Otra vez actualizar? Si señor! Y ahora es el turno de Android, pues Google corrigió 120 vulnerabilidades (incluidas dos de día cero que estaban siendo explotadas) en su parche de seguridad de septiembre 2025 y es de prioridad máxima si usas dispositivos Android en tu empresa.

Cómo protegerte: actualiza ya a nivel Android 2025-09-05 o superior, activa Google Play Protect y evita instalar apps desde fuentes no oficiales. Y por supuesto comparte esta información con tu equipo y ayuda a concientizar a tu familia que no es tan tech, pero puede estar en riesgo.

Atacantes usan Grok AI de X para distribuir malware masivamente

¿Cuánto confías en las respuestas de Grok? Un nuevo ataque, llamado "Grokking", explota el asistente de IA de X para difundir enlaces peligrosos a millones de personas. Los enlaces están ocultos en metadatos de anuncios y son amplificados por Grok, apareciendo como legítimos.

Cómo protegerte: no confíes ciegamente en respuestas de la IA, revisa cuidadosamente los enlaces y evita hacer clic en respuestas automáticas, incluso si vienen de una cuenta "oficial".

Ataque masivo en NPM: paquetes core con malware robacripto

Hiciste npm install y falló con “fetch is not defined”? No era tu código: comprometieron la cuenta de qix y publicaron versiones maliciosas de chalk, strip-ansi, color-convert, etc. El payload era un cripto-clipper que intercepta fetch/XMLHttpRequest, cambia direcciones de wallet por las del atacante (parecidas a simple vista) y secuestra transacciones si detecta billeteras como MetaMask.

Qué hacer ya

• Audita inmediatamente las dependencias de tu proyecto.

• Fija todos los paquetes afectados a sus últimas versiones seguras conocidas usando la función overrides en tu package.json.

• Después de agregar las versiones seguras, elimina node_modules y package-lock.json.

• Finalmente, ejecuta npm install para generar un archivo de bloqueo nuevo y limpio.