Resumen de seguridad — Mayo 2026
Las últimas semanas en ciberseguridad están siendo brutales. Aquí el resumen de los incidentes más relevantes en npm, GitHub, Microsoft y Linux, con el hilo común de que muchos comparten autor (TeamPCP) y todos apuntan a la infraestructura que usamos los desarrolladores todos los días.
🟥 npm — Ataque "Mini Shai-Hulud" a TanStack
Fecha: 11 de mayo de 2026, 19:20–19:26 UTC CVE: CVE-2026-45321 (crítica) Atribución: TeamPCP
Qué pasó
- 84 versiones maliciosas publicadas en 42 paquetes del namespace
@tanstack. - Incluye
@tanstack/react-routercon ~12 millones de descargas semanales. - En 48 horas, la campaña se expandió a 172 paquetes y 403 versiones maliciosas en npm y PyPI.
- El ataque encadenó tres vulnerabilidades:
- Patrón "Pwn Request" de
pull_request_target - Envenenamiento de caché de GitHub Actions
- Extracción en memoria de un token OIDC del runner
- Patrón "Pwn Request" de
- Las atestaciones SLSA Build Level 3 eran válidas. La provenance era real, los paquetes estaban envenenados.
Acción recomendada
Si instalaste cualquier @tanstack/* el 11 de mayo, rota credenciales de AWS, GCP, Kubernetes, Vault, GitHub, npm y SSH del host.
Fuentes
- TanStack — Postmortem oficial
- OpenAI — Respuesta al ataque
- Snyk — Análisis técnico
- Wiz — Mini Shai-Hulud Strikes Again
- VentureBeat — 172 paquetes comprometidos
- NHS England — Cyber Alert
- Cybernews — Cobertura del incidente
🟥 GitHub — Brecha de repos internos + CVE crítico
Incidente 1: Brecha de 3,800 repositorios internos
Fecha: Confirmado el 20 de mayo de 2026 Atribución: TeamPCP
- Un empleado de GitHub instaló una extensión maliciosa de VS Code que comprometió su máquina.
- El atacante exfiltró ~3,800 repositorios internos de GitHub.
- Por ahora no hay evidencia de impacto en datos de clientes fuera de los repos internos (investigación en curso).
- GitHub colabora con CISA en el análisis.
Incidente 2: CVE-2026-3854 — RCE con un solo git push
Fecha: Divulgado el 28 de abril de 2026 CVSS: 8.7 (crítica) Descubierto por: Wiz (usando IA)
- Un usuario autenticado podía ejecutar código arbitrario en los servidores de GitHub con un solo
git push. - Inyección de comandos en el protocolo interno: las opciones de push no se sanitizaban antes de incluirse en headers internos.
- En GitHub.com permitía RCE en nodos de almacenamiento compartido, exponiendo millones de repositorios públicos y privados.
- En GitHub Enterprise Server: compromiso total del servidor y acceso a todos los secrets.
- GitHub.com ya está parcheado. Los admins de GHES deben actualizar.
Fuentes
- Infosecurity Magazine — GitHub confirma la brecha
- Help Net Security — TeamPCP breached GitHub
- Wiz — Análisis técnico de CVE-2026-3854
- SecurityWeek — Critical GitHub Vulnerability
- The Hacker News — CVE-2026-3854 detallado
- Axipro — GitHub Breach May 2026
- Sesame Disk — Investigación de la brecha
- https://x.com/github/status/2056884788179726685
- https://x.com/akses_0x00/status/2057081567206617154
- https://opensourcemalware.com/vscode/nrwl.angular-console
- https://x.com/github/status/2056949168208552080
- https://x.com/jeffbcross/status/2057069440374894797
🟥 Microsoft — Patch Tuesday + Exchange
Patch Tuesday de mayo 2026
Fecha: 13 de mayo de 2026
- 138 vulnerabilidades parcheadas, 30 críticas.
- 48% Elevation of Privilege, 24% Remote Code Execution.
- Sin zero-days explotados en estado salvaje.
Las más serias
| CVE | Severidad | Descripción |
|---|---|---|
| CVE-2026-42826 | CVSS 10.0 | Exposición de información sensible en Azure DevOps |
| CVE-2026-41089 | CVSS 9.8 | RCE no autenticado en Windows Netlogon |
| CVE-2026-41096 | CVSS 9.8 | Heap overflow en Windows DNS Client |
| CVE-2026-41103 | CVSS 9.1 | Bypass de autenticación en plugin SSO para Jira/Confluence |
| CVE-2026-40402 | CVSS 9.3 | Elevation of Privilege en Hyper-V (escape de VM guest a host) |
| CVE-2026-42898 | Crítica | RCE en Dynamics 365 on-premises |
Incidente aparte: Exchange Server CVE-2026-42897
Fecha: Divulgado el 14 de mayo de 2026
- Vulnerabilidad XSS en Outlook Web Access (OWA) de Exchange Server.
- Un atacante envía un correo malicioso. Al abrirlo en OWA, se ejecuta JavaScript arbitrario en el navegador con la sesión del usuario.
- Afecta: Exchange Server 2016, 2019, SE (on-premises).
- NO afecta Exchange Online (Microsoft 365).
- Microsoft activó mitigación automática vía el EM Service (habilitado por defecto desde 2021).
- La mitigación NO protege a clientes usando Internet Explorer o Edge en modo IE.
Fuentes
- Cisco Talos — Snort rules y análisis
- Microsoft — Advisory de CVE-2026-42897 (Exchange)
- Tenable — Análisis de Patch Tuesday
- CrowdStrike — Patch Tuesday Analysis
- BleepingComputer — 120 flaws fixed
- The Hacker News — Microsoft Patches 138 Vulnerabilities
- Qualys — Security Update Review
🟥 Linux — 4 vulnerabilidades críticas del kernel en mayo
Mayo fue brutal para el kernel de Linux. Cuatro vulnerabilidades críticas de privilege escalation, todas permiten escalar a root.
Copy Fail (CVE-2026-31431) — La más sonada
Fecha: Divulgada el 29 de abril de 2026 | Añadida al KEV de CISA el 1 de mayo CVSS: 7.8
- Local Privilege Escalation en el subsistema criptográfico AF_ALG.
- Un usuario sin privilegios puede convertirse en root con un script de Python de 732 bytes.
- El bug llevaba 9 años escondido: introducido en cambios de 2011, 2015 y 2017.
- Afecta a todas las distros desde 2017: Ubuntu, RHEL, Debian, Fedora, Arch, Amazon Linux, SUSE.
- Devastador en contenedores y Kubernetes: permite escapar del container al host.
- Parches: Linux 6.18.22, 6.19.12, 7.0.
Dirty Frag (CVE-2026-43284 / CVE-2026-43500)
- Una semana después de Copy Fail.
- Variante con dos primitivas de escritura al page cache.
Fragnesia (CVE-2026-46300)
- En el subsistema XFRM ESP-in-TCP.
- LPE a root sin race condition (más confiable que la mayoría de exploits del kernel).
CVE-2026-46333 ("ssh-keysign-pwn")
Fecha: 15 de mayo de 2026
- Cuarta vulnerabilidad crítica del kernel del mes.
- En el subsistema ptrace.
DirtyDecrypt (CVE-2026-31635)
- PoC público liberado recientemente.
- Falta de guard COW en
rxgk_decrypt_skb.
El dato que rompe la cabeza
Estas vulnerabilidades estaban en el kernel por años y se están encontrando ahora porque la IA las detecta más rápido que los humanos. El problema: los atacantes tienen las mismas herramientas. Los kernel maintainers están proponiendo un "killswitch" de emergencia para deshabilitar funciones vulnerables en tiempo de ejecución mientras se prepara el parche.
Fuentes
- CISA — Alerta sobre CVE-2026-31431
- CISA — Known Exploited Vulnerabilities Catalog
- Red Hat — Advisory Copy Fail
- The Hacker News — Copy Fail explotado activamente
- The Hacker News — DirtyDecrypt PoC
- Cybersecurity News — Copy Fail 0-Day
- Linux Security — Fragnesia
- Linux Stans — CVE-2026-46333
- Canadian Cyber Centre — AL26-009
🧵 El hilo común
- TeamPCP está detrás de los ataques a npm (@tanstack) Y a GitHub. Es una campaña coordinada.
- Las defensas "modernas" (2FA, OIDC trusted publishing, atestaciones SLSA) no fueron suficientes. TanStack tenía todo configurado correctamente y aún así fue comprometido.
- La IA está cambiando ambos lados de la ecuación: encuentra bugs durmientes de hace años, pero los atacantes la usan también.
- En 2025 se publicaron 454,648 paquetes maliciosos en npm. Casi medio millón.
La ciberseguridad ya no es "responsabilidad del equipo de infra". Es parte del trabajo diario de cualquier dev que use npm, GitHub, VS Code o Linux. O sea, todos.