RCE

Octubre es el Mes de la Concientización en Ciberseguridad, y Citrix acaba de darles un regalo a los atacantes. Tres zero-days en NetScaler ADC y Gateway — explotados antes de que existieran parches, encadenados para obtener acceso persistente, y agregados al catálogo de Vulnerabilidades Conocidas Explotadas (KEV) de CISA en días. Si tu organización ejecuta un appliance NetScaler administrado por el cliente, esto no es teórico. Aquí está el desglose completo: qué pasó, cómo funcionó la cadena de ataque y qué necesitan saber los red teamers y defensores ahora mismo. ...

La inyección de plantillas del lado del servidor (SSTI, por sus siglas en inglés) es una de las vulnerabilidades web más peligrosas que vas a encontrar en un pentest. Un simple {{7*7}} en el campo correcto puede darte ejecución remota de código completa en un servidor de producción. Esta guía cubre todo: detección, fingerprinting, explotación, bypass de WAF y defensa, para todos los motores de plantillas principales en 2026. ¿Qué es SSTI? Los frameworks web usan motores de plantillas para renderizar contenido dinámico — Flask con Jinja2, aplicaciones PHP con Twig, aplicaciones Java con FreeMarker. Cuando la entrada del usuario se concatena directamente en una cadena de plantilla en lugar de pasarse como variable, el motor de plantillas la evalúa. Eso es SSTI. ...

La inyección de comandos es una de las clases de vulnerabilidad más peligrosas en seguridad web. No porque sea sutil — en realidad es uno de los caminos más directos hacia el compromiso total de un sistema. Inyectas un comando de shell a través de una entrada web, el servidor lo ejecuta, y de repente estás corriendo código arbitrario en la infraestructura de alguien. OWASP ha mantenido la inyección en su Top 10 por más de una década con razón. Cuando encuentras command injection, el juego cambia. No es “puedo leer un registro que no debería”. Es “este servidor es mío”. ...