Edición de 7 de octubre de 2026, 10:15 · ventana de las 06:15 a las 10:15
El mantenedor de curl anuncia su peor fallo en años, encontrado con IA
Daniel Stenberg avisa de que uno de los CVE que curl publicará la semana que viene tiene severidad HIGH. Ars Technica titula que unos atacantes obtuvieron certificados TLS falsificados para Google. En España, Consumo abre otro expediente a una gran inmobiliaria y la CIG se suma a la huelga por la vivienda.
275kDirecciones de correo únicas expuestas en la brecha de Double Counter
25%Parte de esos correos que ya constaba en Have I Been Pwned
100 l/m2Picos de lluvia previstos en la vertiente cantábrica
Lo que importa
curl publicará la semana que viene un fallo de severidad alta encontrado con IA
nuevoSeguridad y derechosRelevante
- Daniel Stenberg anuncia que uno de los CVE de curl pendientes de publicar tiene severidad HIGH.
- Lo considera el peor fallo encontrado en curl en varios años. Añade: «Yes, found with AI».
- Todavía no se conocen el identificador, las versiones afectadas ni la descripción.
Por qué importacurl está dentro de casi cualquier imagen, SDK o pipeline, así que conviene tener hecho el inventario antes de que salga el aviso. Además, el hallazgo lo atribuye a la IA un mantenedor que ha criticado los informes basura generados con ella. Hasta que se publique el aviso, es un preaviso y no un incidente con detalles.
Unos atacantes obtienen certificados TLS falsificados para Google y otros grandes servicios
nuevoSeguridad y derechosRelevante
- Ars Technica titula que unos atacantes consiguieron certificados TLS falsificados para Google y otros servicios grandes.
- Solo se dispone del titular: no consta qué autoridad de certificación los emitió, su número ni si se han revocado.
Por qué importaSi una autoridad de certificación emitió certificados válidos para dominios ajenos, falla la confianza en la que se apoya HTTPS. Lo práctico es comprobar si los endpoints propios o los de los proveedores están afectados y vigilar los registros de Certificate Transparency. Con solo un titular no se puede medir el alcance.
Consumo abre otro expediente a una inmobiliaria y la CIG se suma a la huelga por la vivienda
nuevoEspaña y EuropaRelevante
- Consumo abre expediente a otra gran inmobiliaria por irregularidades en sus anuncios.
- El nuevo decreto obliga a publicar el precio de referencia del alquiler y si el casero es gran tenedor, aunque la zona no esté declarada tensionada.
- La CIG, primer sindicato de Galicia, se suma a la huelga general que pide el movimiento por la vivienda.
- En San Sebastián de los Reyes, Crown Real Estate amenaza con desahuciar a un inquilino.
Por qué importaLa obligación de transparencia del decreto ya se está aplicando por la vía sancionadora, y la huelga suma apoyo sindical aunque todavía no tiene fecha. Toda la cobertura procede de un solo medio, El Salto, y no se nombra a la inmobiliaria expedientada.
Bruselas estudia gravar a las tecnológicas de EE. UU. con un impuesto general a grandes empresas
nuevoEspaña y EuropaMenor
- Según fuentes del Financial Times, la Comisión Europea estudia un gravamen sobre todas las grandes empresas.
- El objetivo es no señalar a los grupos estadounidenses de servicios digitales. No hay tipo, base imponible ni calendario.
Por qué importaCon un diseño general es más difícil acusar a la UE de discriminación y se reduce el riesgo de represalias de Washington. La contrapartida es que el impuesto también recaería sobre grandes empresas europeas. Por ahora es una intención filtrada por fuentes anónimas.
Un informe señala ventas españolas de armas a Israel pese al embargo
nuevoEspaña y EuropaRelevante
- La campaña Fin al Comercio de Armas con Israel señala agujeros en la política de embargo aprobada por el Congreso.
- El Salto no da nombres de empresas ni cifras de contratos.
Por qué importaPone a prueba si el embargo aprobado por el Congreso se cumple en la práctica. Es un informe de una campaña, recogido por un solo medio, y el Gobierno aún no ha respondido.
Desacuerdo entre fuentes: El titular y el post en Mastodon hablan de «una empresa española», pero la dirección del artículo dice «dos empresas españolas».
Una vulnerabilidad de Metabase expone 275k correos de usuarios de Double Counter
nuevoSeguridad y derechosRelevante
- Have I Been Pwned atribuye la brecha de Double Counter, un servicio de protección para servidores de Discord, a una vulnerabilidad de Metabase.
- Se filtraron 275k direcciones de correo únicas y nombres de usuario de Discord. El 25% ya estaba en su base de datos.
Por qué importaUna herramienta de inteligencia de negocio autoalojada, añadida a un servicio pensado para proteger, acaba siendo el punto por el que se filtran identidades. Quien tenga instancias de Metabase expuestas a internet tiene un motivo concreto para revisarlas.
Denuncian presión desde EE. UU. a los patrocinadores de una conferencia europea sobre desinformación
nuevoMediosMenor
- Maarten Schenk afirma que «aparentemente» alguien en EE. UU. presionó a los patrocinadores por una sesión titulada «USA as a FIMI threat: acknowledge, adapt, push back».
- Como prueba enlaza el programa de la conferencia de EU DisinfoLab y capturas archivadas de dos fechas.
Por qué importaSi se confirma, sería una forma de condicionar la agenda europea sobre desinformación a través de la financiación y no de la ley. No consta quién presionó ni si la sesión cambió.
Aviso naranja por lluvias en Cantabria y Asturias; Madrid no figura en la lista
nuevoOtrosMuy relevante
- Interior activa avisos naranja en Cantabria y Asturias y amarillos en otras seis comunidades.
- Meteored prevé picos de 100 l/m2 hoy y mañana en la vertiente cantábrica.
Por qué importaEs información práctica para quien viaje al norte. Madrid no está entre las comunidades con aviso.
Para ti
Historia
Sentido
Análisis transversal
Fallos en piezas compartidas por miles de servicios
curl-cve-high-iatls-certificados-falsosdouble-counter-brecha
Esta mañana coinciden cuatro problemas en piezas que comparten muchos servicios: curl, una autoridad de certificación, Metabase y xorg-server 21.1.25 con Xwayland 24.1.14, publicados por problemas de seguridad. Ninguno llega por la prensa especializada en seguridad. Llegan por la cuenta de un mantenedor, por Have I Been Pwned y por un agregador. No hay indicios de que estén relacionados. Lo que tienen en común es el riesgo: un solo fallo en una dependencia se reparte entre miles de despliegues. Si la IA abarata encontrar fallos como el de curl, es razonable esperar más avisos graves en software antiguo y muy extendido.
Europa decide pensando en cómo reaccionará Washington
ue-gravamen-big-techdisinfolab-presion-eeuu
El impuesto que Bruselas diseña para no nombrar a las tecnológicas estadounidenses y la presión denunciada sobre los patrocinadores de DisinfoLab llegan por canales distintos: el Financial Times y un post en Bluesky. Responden a un mecanismo parecido: decisiones europeas que se ajustan por vías indirectas, el diseño de un tributo o la financiación de un foro, a la reacción que se espera de EE. UU. Ninguna fuente relaciona los dos casos, y el segundo sigue sin confirmar.
La vivienda depende de un solo medio
vivienda-huelga-consumoarmas-israel-embargo
El expediente de Consumo, la adhesión de la CIG, el desahucio y la columna que pide organizar la huelga salen de El Salto, a través de su web y de su cuenta en Mastodon. La Vanguardia Madrid, el único medio generalista madrileño en estas horas, no recoge nada sobre vivienda. Que no haya una segunda fuente no significa que la movilización no exista. Sí obliga a leerla con la reserva que corresponde a una sola fuente, igual que el informe sobre armas.
En tus timelines
Mastodon se reparte entre los avisos de seguridad del software libre y la agenda de El Salto sobre vivienda y Gaza; Bluesky trae servicio institucional y escepticismo sobre la IA como sustituta del trabajo.
La IA sirve para auditar y también genera relleno
Al anuncio de Stenberg se le opone el gesto de mcc: rechaza una herramienta prometedora al encontrar CLAUDE.md y GEMINI.md en el repositorio. En Bluesky, Ethan Mollick recuerda una etnografía de técnicos de fotocopiadoras para señalar que el trabajo real es improvisado y está poco documentado, aunque admite que la tecnología acabó con aquel empleo.
Sophie Adenot vuelve a la Tierra
La ESA retransmite hoy, hacia las 14:05 CEST, el desacople de la nave en la que Sophie Adenot regresa de la Estación Espacial Internacional.
Ruido descartado
Efemérides del 7 de octubre
La serie de entradas de Wikipedia sobre Politkóvskaya, Putin, Tutu y 1934 recuerda fechas, pero no aporta ningún hecho nuevo.
Manson en el Azkena
La polémica por el cartel no añade información nueva sobre las acusaciones.
Grab, GoTo y Transsion
Son movimientos de mercado en Asia y África sin efecto inmediato en España ni en Europa.
El hilo de Bruce Sterling sobre la «Anarchist Intelligence»
Es especulación literaria, no información.