Recursos
Artículos del equipo de IntruForce sobre la superficie de ataque externa, los datos expuestos y la remediación práctica.
La Superintendencia Financiera de Colombia pide a las entidades vigiladas gestionar las vulnerabilidades de sus plataformas críticas expuestas en internet y probar la continuidad frente a ciberataques, sin fijar una frecuencia. Qué dice cada numeral, qué evidencia conservar y qué se informa a la SFC.
Leer el artículo →La Circular Única de Bancos pide a las instituciones de crédito dos pruebas de penetración al año hechas por un tercero independiente, un calendario anual de escaneo de vulnerabilidades y plazos fijos para informar a la CNBV. Qué dice cada fracción y qué preguntar al proveedor.
Leer el artículo →En cuatro semanas, los atacantes cambiaron la configuración de la refrigeración en supermercados europeos, llegaron a un servicio de sangre a través de su proveedor, borraron la nube de un proveedor de hosting y tomaron el control de firewalls. Qué comparten los casos y qué revisar.
Leer el artículo →Qué exige la Ley Marco de Ciberseguridad de Chile, a quién obliga, cómo saber si su organización es operador de importancia vital y qué plazos tiene para reportar un incidente.
Leer el artículo →España aún no ha aprobado su ley de NIS2 y las Cortes están disueltas hasta las elecciones del 29 de noviembre de 2026. Qué significa para su empresa y qué puede preparar ya.
Leer el artículo →OpenVAS y Nuclei son gratuitos y pueden detectar vulnerabilidades conocidas en los sistemas que se incluyen en el análisis. Qué trabajo sigue en manos de su equipo, cuándo basta con ellos y cuándo conviene mirar una plataforma.
Leer el artículo →En 2026 se han publicado más del doble de vulnerabilidades que un año antes, y cerca de la mitad de las nuevas que usan los atacantes se confirman en una semana. Por qué una empresa debe revisar con regularidad sus sistemas accesibles desde internet, no una vez al año.
Leer el artículo →Entre el 17 y el 22 de octubre de 2026, PHP, Laravel, Node.js, GitLab y la autoridad de certificación eMudhra necesitaron correcciones. Nuestra opinión: antes de preguntar qué fallo es peor, averigüe dónde usa cada producto.
Leer el artículo →W3Techs detecta PHP en el 69,3 % de los sitios web cuyo lenguaje de servidor puede identificar. El 21 de octubre de 2026 PHP corrigió dos fallos críticos en el propio PHP. Hay que actualizar PHP y comprobar que también se han corregido los sitios antiguos o alojados por terceros.
Leer el artículo →Un dominio que se diferencia del suyo en una sola letra puede alojar una página de acceso falsa o enviar facturas en su nombre, y puede pertenecer a un tercero, fuera del alcance de sus revisiones actuales. Cómo funciona el typosquatting, por qué DMARC no lo resuelve y qué hacer si encuentra uno.
Leer el artículo →El Esquema Nacional de Seguridad también alcanza a los sistemas con los que una empresa presta servicios al sector público. Qué exige el Real Decreto 311/2022 a un proveedor, cuándo basta una autoevaluación y cuándo hace falta una certificación, y qué evidencias sirven.
Leer el artículo →Un infostealer roba datos de un equipo infectado: contraseñas guardadas, las cookies de sesión que mantienen a alguien conectado, datos de pago. A veces es una computadora que la empresa no administra, y el resultado termina en registros que otros compran y reutilizan. Cómo ocurre, qué obtiene un atacante y qué reduce el daño.
Leer el artículo →Qué revisa un especialista en una aplicación web que un escáner por sí solo no puede juzgar —control de acceso, lógica de negocio, sesiones y las API detrás de las pantallas— y cómo acordar el alcance de la prueba.
Leer el artículo →Un pentest es una prueba autorizada: especialistas intentan aprovechar las debilidades de los sistemas acordados, como lo haría un atacante. Al final, usted recibe un informe con lo que se confirmó y qué conviene corregir primero. Esta guía, escrita para quien encarga la prueba, explica los tipos, cómo se acuerda el alcance y qué debe incluir el informe, con un ejemplo de hallazgo.
Leer el artículo →Un análisis de vulnerabilidades revisa sus sistemas en busca de debilidades conocidas; un pentest comprueba si esas debilidades podrían explotarse dentro de un alcance acordado. Qué responde cada uno, dónde se detiene y cómo saber cuál necesita.
Leer el artículo →CISA incorporó CVE-2023-49105 al catálogo de vulnerabilidades explotadas conocidas (KEV): una elusión de autenticación en la API WebDAV de ownCloud mediante URLs prefirmadas. Cómo comprobar si su perímetro expone una instancia afectada y dónde suele romperse la cadena de parcheo.
Leer el artículo →CVE-2026-59310, en VMware vCenter Server, entró en el catálogo KEV de CISA el 18 de agosto de 2026. Este artículo separa dos preguntas que suelen mezclarse — si el defecto está presente y si la interfaz de gestión es alcanzable desde fuera — y explica cómo verificar la segunda.
Leer el artículo →CVE-2024-21762 figura en el catálogo CISA KEV como explotada de forma activa desde febrero de 2024. El boletín del fabricante no pudo consultarse durante esta investigación, así que esta nota se limita a lo que afirman los registros primarios, incluido por qué la formulación habitual “RCE a través de SSL-VPN” sigue sin confirmarse.
Leer el artículo →En febrero de 2025 Palo Alto Networks informó de intentos observados de encadenar CVE-2025-0108, CVE-2025-0111 y CVE-2024-9474 contra dispositivos PAN-OS cuya interfaz web de gestión era alcanzable desde redes no confiables. Lo que decide la exposición es la rama de versiones en uso y a qué interfaz está asociado el perfil de gestión.
Leer el artículo →CVE-2026-60004 está en el catálogo KEV de CISA y Gitea publicó un aviso. La comprobación externa es concreta: encontrar las instancias de Gitea que responden desde internet, establecer sus versiones reales y compararlas con los rangos afectados.
Leer el artículo →El alcance indicaba tres dominios y dos direcciones IP. Dos horas después, esa lista ya no coincidía con lo que era accesible desde internet. Así se concilia el perímetro declarado con el real, y hasta dónde llega la autoridad del equipo de pruebas.
Leer el artículo →Una prueba de penetración describe el perímetro tal como estaba el día del análisis, mientras dominios, direcciones IP y servicios siguen apareciendo entre auditorías. Qué cubre la observación continua del perímetro externo y qué solo encuentra el trabajo experto.
Leer el artículo →Dos vulnerabilidades, una ventana de mantenimiento. NIS2 no dice que lo explotado se corrige primero: pide vincular la decisión de corregir con el riesgo para sus propios servicios y poder mostrar ese razonamiento.
Leer el artículo →Las pruebas de DORA dan una imagen precisa a la fecha en que se ejecutaron; el perímetro externo sigue cambiando después de esa fecha. Qué muestra cada control, en qué se solapan y qué no decide ninguno de los dos.
Leer el artículo →Empiece ahora
Descubra sus activos externos, identifique debilidades de seguridad y compruebe si hay credenciales corporativas expuestas con un piloto gratuito de SeguriScan. Obtenga acceso a la plataforma, los hallazgos y los informes para entender qué requiere atención.