GitLab corrige vulnerabilidad CVSS 10.0 y alertan por secuestro masivo de 1.500 paquetes npm

La comunidad global de desarrollo enfrenta una semana crítica tras el reporte de una vulnerabilidad con puntaje CVSS 10.0 en GitLab CI/CD y el hallazgo de una brecha en npm que permitió el secuestro potencial de más de 1.500 paquetes.

El ecosistema de desarrollo de software está bajo asedio. En los últimos días, se han revelado múltiples vectores de ataque que no solo apuntan al código final, sino a la infraestructura misma donde se construye el software. Desde fallos críticos en servidores de integración continua hasta campañas sofisticadas que utilizan la popularidad de la Inteligencia Artificial como señuelo para infectar máquinas de ingeniería, el panorama exige una revisión inmediata de las políticas de seguridad en DevSecOps.

GitLab CI/CD: Vulnerabilidad crítica CVE-2026-97229 con impacto total

Ejecución remota de código sin autenticación

Recientemente se ha detectado la vulnerabilidad identificada como CVE-2026-97229, la cual ha recibido la calificación máxima de severidad: 10.0 en la escala CVSS. Este fallo permite que un atacante no autenticado ejecute comandos arbitrarios directamente en el servidor de GitLab, lo que compromete la totalidad del ciclo de vida de desarrollo.

• Riesgo sistémico: Un compromiso en GitLab permite al atacante acceder a secretos, variables de entorno, credenciales de nube y runners de CI/CD.
• Acción requerida: Los equipos deben actualizar sus instancias de GitLab a la versión más reciente de forma inmediata y rotar cualquier secreto almacenado en variables de entorno que pudiera haber sido expuesto.

Secuestro masivo en npm: 1.500 paquetes y 10 millones de descargas

Una debilidad estructural en el sistema npm Trusted Publishing ha puesto en jaque la confianza del repositorio más grande del mundo. Investigadores confirmaron que era posible publicar versiones maliciosas de paquetes legítimos simplemente registrando repositorios de GitHub abandonados que coincidieran con el nombre original.

Este ataque no requería el robo de contraseñas ni tokens. Los paquetes afectados acumulaban más de 10 millones de descargas, lo que subraya la escala del problema. La peligrosidad radica en los scripts postinstall, que se ejecutan automáticamente en los equipos de los desarrolladores y en los pipelines de construcción (CI/CD) al momento de instalar la dependencia.

Campaña MALFEX y el uso de IA como señuelo

Malware oculto en librerías de Inteligencia Artificial

Paralelamente, se ha detectado la campaña denominada MALFEX, la cual distribuye paquetes maliciosos como imgdecode. Estos paquetes ocultan cargadores de shellcode en componentes nativos de Windows para comprometer estaciones de trabajo de ingenieros. Además, se han identificado 240 paquetes en npm y PyPI con nombres relacionados con servidores MCP y SDKs de IA para engañar a quienes buscan herramientas de vanguardia.

• El peligro de npx: El uso recurrente de npx -y para configurar servidores de IA facilita la ejecución automática de código no verificado cada vez que el cliente arranca.
• Auditoría de Claude Code Desktop: Anthropic corrigió recientemente la vulnerabilidad SneakPeek, donde archivos HTML maliciosos podían evadir el sandbox para robar tokens de Kubernetes y APIs.

Talento local: El caso de éxito de Permacultura Tech en Chile

En contraste con las amenazas de seguridad, el desarrollo de software en Chile muestra hitos positivos. La startup Permacultura Tech ha sido seleccionada para competir en la final mundial de emprendimiento en Portugal. Su desarrollo destaca por el uso de IA y sensores en entornos de baja conectividad para la agricultura, demostrando que la innovación local puede resolver problemas críticos de sostenibilidad mediante el procesamiento edge.

Conclusión

La seguridad en el desarrollo ya no es una opción, sino un requisito de supervivencia. La combinación de una vulnerabilidad CVSS 10.0 en GitLab y el secuestro de identidades en npm demuestra que los perímetros tradicionales han desaparecido. Los desarrolladores deben pasar de una mentalidad de confianza ciega a una de verificación continua, auditando no solo el código propio, sino cada pieza de la cadena de suministro.

¿Cómo puede ayudarte Cyberix?

En Cyberix protegemos tu ciclo de vida de desarrollo y fortalecemos tu infraestructura crítica ante estas nuevas amenazas.

• Auditoría en Ciberseguridad: Evaluación de pipelines CI/CD y hardening de instancias GitLab.
• Desarrollo de Software Seguro: Implementación de prácticas DevSecOps y gestión de dependencias.

Protege tu infraestructura de desarrollo hoy. Contacta a nuestros expertos en Cyberix.