Aníbal Rojas retweeted
La Facultad de Ciencias de la UCV y la Escuela de Computación te invitan a formar parte del Diplomado en Ciencia de Datos.
05 de noviembre de 2026
120 horas académicas
Modalidad: Mixta
Aval: Facultad de Ciencias UCV
inscribete: [email protected]
Prompt para Codex: "Perform a security audit of my network and connected devices and report back to me" y descubrí que estos venerables altavoces Sony SRS-X99 (cuyo form factor y calidad del sonido amo) tiene un servidor web lighttpd versión 1.4.35 del 2014; que yo recuerdo haber usado hace años adelante de Ruby on Rails via FastCGI.
Confieso que me causó añoranza descubrir que me acompaña cada vez que escucho música desde la pandemia ☺️
Por otra parte, la última actualización de firmware por parte de Sony para el X99 fue del 2021 y ni de vaina va a haber más, lo que en principio no debería ser un problema ya que lighttpd es uno de esos softwares de otra época, pequeño, rápido, confiable y seguro.
Pero obvio que le tuve que hacer un curl a la vaina, y escarbando por ahí ya no me sentí tan tranquilo 😅 No tanto por este caso en particular sino porque si bien yo intento mantener "la casa" con un IQ tan bajo como sea posible, con dispositivos brutos; pero es muy difícil que sea cero y nuestras casas están llenas de dispositivos de los que sabemos poco desde el punto de vista de seguridad.
Y por cierto, este Lunes a las 7:00 PM hora de Colombia, vamos a tener aquí en vivo otro episodio del podcast sobre el impacto de la IA en el Desarrollo de Software CON FOCO EN CIBERSEGURIDAD, para agregarlo en tu calendario o ver los episodios anteriores ocorres.com/
Ustedes si se sienten cómodos con que sus agentes tengan browser_use o computer_use, después de esta semana? Aun no hay reportado ningún exploit exitoso de php2shell ni sus variantes o primos, pero es que esto apenas empieza y solo se va a poner peor antes de mejorar.
Aníbal Rojas retweeted
Replying to @GergelyOrosz
Most open-source maintainers who were downstream of Mythos reports could feel the tsunami coming.
The issue is that, within this "maybe six to 12 months" window, there was (and still is) a lot of critical infrastructure that does not have access to the tools needed to protect itself. For example, there is a massive number of PHP servers on the internet. How proactive were all parties (maintainers, AI labs, etc.) in getting ahead of these issues?
I do have access to Mythos reports today, but not directly, and we had to jump through several hoops to get them. On the other hand, I understand that it's not the labs' responsibility to protect everyone, but this gives me "call an ambulance, but not for me" vibes.
Also, now that open source models have caught up, are they willing to relax the cybersecurity blocks on the models they consider equivalent to the open source ones?
N̶a̶t̶u̶r̶e̶ Software is healing... And yes, high fever, convulsions, explosive diarrhea and itchiness are part of the healing process. Will the AI c̶u̶r̶e̶ shock treatment be worse than the disease?
Actualicé mi Samsung S26 e gusta el form factor pequeño) a One UI 9.0, está actualización tiene cosas chéveres (montones de features que integran AI), PERO hasta el momento lo más impresionante es la velocidad. Va como el doble de rápido,
Plot twist, I must confess that I didn't see that coming...
The weirdest thing just happened to me: I was flying from Sydney to Los Angeles when my plane crashed, and I got stuck on a mysterious desert island with a bunch of attractive strangers, and we heard some weird noises coming from the jungle, so we trekked inland to investigate and came across this bunker with six numbers engraved on the outside, so we opened the hatch and found this crazy Scottish guy inside who’s been there for years, and every couple of hours an alarm goes off in the bunker and he has to type those same six numbers into a computer to make the alarm stop ringing, and he says if he doesn’t type them in on time it the world will end, so I asked him what was going on and he looked me dead in the eyes and said:
“These would make great private keys for a Certificate Authority.”
Esto. Leer, tomar un curso no se comparan con usar un LLM para aprender porque exigen trabajo enfocado, no hay recompensa en el corto plazo, hay que tener constancia y perseverar. Solo eso hace una diferencia gigantesca.
Aníbal Rojas retweeted
Programador que se respete juega a las torres de Hanoi con los discos del gimnasio
Aníbal Rojas retweeted
Hola @Iberia y @OCU No aspiraba ayer cuando escribí un simple desahogo de la "golfada" que intentaron hacernos en la T4 de Madrid la repercusión que ha tenido. Que lo diga yo carece de importancia, pero que tantas personas denuncien lo mismo aprovechando mi historia, con casos hasta de niños autistas o gente con problemas de movilidad a los que cobráis un asiento que luego no dais y ni siquiera reembolsáis, os debería hacer pensar. El problema es que tenéis impunidad y os saltáis un contrato como os da la gana porque vivís en la alegalidad. Y luego, nadie se mete en un abogado para denunciaros, lo que implica perder dinero y muchas horas, para recuperar ese dinero. Si yo compro on line un pantalón marón de la talla 32 , no me puedes mandar a casa uno negro o de la talla 36 aduciendo que no hay otro o te has quedado sin el primero. Vosotros sí lo hacéis y por lo visto en este mensaje repetidamente a miles de personas. Antes, hace años, no se cobraba por los asientos de un avión. Si una compañía aérea no puede garantizar que una compra de un determinado espacio de asiento, esencial para mucha gente para hacer previamente la adquisición, se haga, pues volver a cómo era antes donde los asientos se reservaban al llegar al check in o al primero que lo hacía on line. Pero las compañías visteis que eso era un negocio, que la gente paga por ello, y la solución fue empezar a vender algo que resulta que no está garantizado que lo podáis entregar como os dicen cientos de personas. Y eso os coloca como un negocio que sabe que puede incumplir su contrato, y encima intenta o dificulta devolver el dinero tras hacerlo. No mandéis mensajes a los que levantamos la voz, leer lo que os denuncia tanta gente y actuar para que no se repita.
Luego, lo de que intentarais echar de un avión a dos personas con la tarjeta de embarque ya sacada, en la cola para subir y con las maletas en la bodega, mintiendo sobre que no habíamos llegado y luego al entrar se descubriera que es que habíais colocado a dos azafatas en sus asientos que imagino iban de traslado a NY, entiendo que al tener todos los datos sobre hora y vuelo debería hacer que alguien asuma su responsabilidad.
Aníbal Rojas retweeted
Si puede hacer, no realice.
Si puede poner, no coloque.
Si puede abrir, no aperture.
Si puede recibir, no recepcione.
Si puede hablar, no interlocute.
Aníbal Rojas retweeted
#22Oct reunión hoy en Caracas con Richard Branson. Conversamos sobre la situación de Venezuela y particularmente sobre los presos políticos.
Seguimos
@richardbranson
@alfredoromero @HimiobSantome
Aníbal Rojas retweeted
La seguridad de @BanCoppel es un chiste.
Una tarjeta bloqueada desde su app, que necesita CVV dinámico, que nunca ha sido usada físicamente en ningún lugar y aún así recibe un cargo desconocido repentinamente.
Aníbal Rojas retweeted
He migrado El Chigüire Literario de WordPress a páginas estáticas. Más de 860 posts y más de 6000 comentarios en 20 años. Los URLs siguen funcionales, los resultados de los buscadores funcionan sin ningún cambio. Naturalmente, no más comentarios nuevos, todo esto lo explico.
Justo HOY al circo le crecieron los enanos, Railway comprometido:
"Todos los deployments han sido pausados mientras investigamos. Hasta que los builds sean reiniciados, nuestros usuarios no podrán hacer deployment de nuevas versiones. Nos disculpamos por este inconveniente."
An urgent notice from the Railway team
blog.railway.com/p/security-…
#ÚLTIMAHORA Venezuela vuelve a ocupar el último lugar del Índice mundial de Estado de Derecho buff.ly/UXldmn6
"Es que en mi máquina no corro ningún servidor, no tengo PHP instalado, ni uso certificados emitidos por una empresa de la India..." Y adicionalmente tienes la seguridad de que nunca vas a visitar un servidor comprometido por estas vulnerabilidades?
Aníbal Rojas retweeted
No se puede usar Pebble en 2026
El Pebble en 2026…
cc @fmontes
"Internet no se mantiene unida con código, sino con los servidores que todo el mundo está asustado de apagar"
Y sí, infraestructura como código and shit, pero hay un montón de servidores por ahí dejados a la mano de dios.
De hecho, una vez a mi me pagaron horas de consultoría a ver si lograba ubicar físicamente un servidor en un data center, porque literalmente nadie lo encontraba, y yo había trabajado hace unos años directamente en esa máquina.
Security called me at 6:12 AM today.
"Patch every PHP server immediately."
I asked what happened.
"Two critical vulnerabilities. Remote code execution. No authentication required."
Cool.
How many PHP servers do we have?
According to inventory: 12
According to reality:
Nobody knows.
We found one running WordPress.
Three running old internal tools.
One under someone's desk.
Two inside vendor appliances.
A forgotten employee directory from 2016.
And a server named:
PHP-OLD-DO-NOT-TOUCH
Naturally, that one runs payroll exports.
Then we found a PHP 5.6 box.
I asked who owned it.
The documentation said:
BRIAN.
Brian left in 2019.
We called Brian.
He said:
"Oh wow, that's still running?"
Excellent.
By 8 AM, leadership joined the incident call.
CEO:
"Can hackers actually get in?"
Security:
"Potentially yes."
CEO:
"Without a password?"
Security:
"Yes."
CEO:
"Then why do WE need passwords?"
Not the lesson.
Finance asked if we could wait until the weekend to patch because downtime affects revenue.
Security explained that the alternative was letting strangers execute code on our servers.
Finance asked for a cost comparison.
At 9:17, someone suggested temporarily taking the vulnerable websites offline.
Marketing refused.
"Our campaign is live."
So for the next hour, the company officially decided maintaining a landing page for 20% off webinar registration was more important than preventing remote server takeover.
We finally patched everything we could find.
Then our scanner discovered another PHP server.
Hostname:
TEMP-PHP-2014
Uptime:
4,512 days.
Nobody knows what it does.
Nobody owns it.
Nobody can shut it down.
But every time we block network access, the warehouse stops printing shipping labels.
Security has classified it as critical infrastructure.
It is running PHP 5.4.
The vulnerability has existed longer than half our employees.
The emergency patch took four hours.
Finding out what PHP actually runs took eleven.
The internet isn't held together with code.
It's held together with servers everyone is afraid to turn off.























