Director @Securizame. Ingeniero Informático. International Speaker at Security Conferences. Perito Informático Forense Colegiado #DFIR Co-Founder @secbydefault
/home/securizame
Joined January 2010
- Tweets39.4K
- Following1.8K
- Followers20.4K
- Likes21.2K
Pinned Tweet
Hablando con @CiberPoliES me he dado cuenta que no está documentado cómo usarlo. Es algo que tengo pendiente, pero os pongo una captura de pantalla de la charla que di en @rootedcon Prometo documentar su uso!
¡Liberamos al público Lintriage: la herramienta del DFIRer en #Linux! ¡Podéis descargarla gratis! Esperamos que se convierta en una aliada en vuestras investigaciones forenses. ¡Probadla y contadnos que os gustaría ver en futuras versiones! securizame.com/lintriage-la-… #Ciberseguridad
Lorenzo Martínez retweeted
I think we've discovered another critical vulnerability:
CVE-2026-BURNOUT: AppSec Professional Exhaustion
Severity: Critical (CVSS 10.0)
Description: A vulnerability affecting security professionals exposed to a continuous stream of critical RCEs, zero-days, emergency patches, and Friday afternoon disclosures.
Impact: Sleep deprivation, excessive caffeine consumption, and an inability to enjoy weekends.
Attack vector: Reading security advisories.
Affected versions: All AppSec professionals, regardless of experience.
Mitigation: No known patch. Air-gapping may delay the inevitable. Total system collapse remains a possibility. 🔥
Ya se ha publicado más info de las vulnerabilidades de @php_net en php.net/. Para mitigar mientras se publican los parches, aparte de la línea session.upload_progress hay que modificar memory_limit = -1 y poner un valor bajo a post_max_size y upload_max_filesize
Lorenzo Martínez retweeted
Tras un ciberataque, cada evidencia cuenta. ¡Inscripciones abiertas para DFIR y Análisis Forense 2027 con @lawwait ! Aprende a investigar incidentes y saber cómo actuar frente a ellos. ¡Una formación sin igual! securizame.com/analisis-fore… #CiberSeguridad #Noticia #Cursos
OJO que esto puede ser muy grave. Solución rápida: Buscar y editar la línea session.upload_progress.enabled y cambiar de On a Off en php.ini / .user.ini (quitar el ; del principio de la línea). Luego reinicia el servicio web y/o php-fpm
⚠️ UPDATE: PRE-PATCH STOPGAP FOR TWO CRITICAL PHP RCE FLAWS (CVE-2026-109618 / CVE-2026-109619)
PHP's emergency release for two vulnerabilities, both rated CVSS v4.0 9.2, is scheduled for today, Oct 21 at 14:00 UTC (10:00 a.m. ET). PHP has published NO technical details, affected versions or fixed versions yet, and reserves the right to ship earlier if details leak or exploitation appears.
What's confirmed:
• Two critical flaws, both CVSS v4.0 9.2, patches due Oct 21 14:00 UTC
• php.net has withheld all technical detail until release; mainstream reporting notes the CVEs are real and may reach back to PHP 5
Unconfirmed researcher assessment (their own read of php-src, moderate confidence):
• Likely path is session.upload_progress / multipart rfc1867 handling (php_session_rfc1867_callback) — present since PHP 5.4, on by default, reachable before authentication
• A quoted post claims two heap use-after-free bugs there were recreated in a lab. Treat the root cause and the recreation claim as unverified until PHP's advisory confirms them.
⚠️ Analyst Note (stopgap you can apply now, low-risk and reversible):
• Set session.upload_progress.enabled = Off in php.ini / .user.ini, then reload PHP-FPM or your web server. By the researchers' own read this may close only one of the two likely paths.
• Tighten WAF or reverse-proxy inspection of, or rate-limit, multipart/form-data POSTs to endpoints that don't need uploads — the second likely path runs for any multipart POST regardless of the setting.
• Inventory every PHP host now and patch the moment the release lands. PHP 7.x and older are end-of-life and will NOT get a fix — plan to upgrade.
No proof-of-concept or exploit detail is being shared. No active attacks have been established.
Credit to researchers @J4ck3LSyN, @acd421 and @ArchKnight23 for the early mitigation guidance.
Primary: jackalsyn[.]com · php.net · arstechnica[.]com
#PHP #CVE #RCE #CyberSecurity #ThreatIntelligence #PatchNow #DDW #DarkWeb
Lorenzo Martínez retweeted
“ACTUALIZACIÓN: Puedo confirmar que la cadena de suministro de Ledger también está comprometida en Europa. @Ledger debería iniciar un retiro inmediato de productos para proteger a los usuarios.
Acabo de comprar un segundo dispositivo en una ubicación diferente de Mediamarkt hoy, grabé el proceso de desempaquetado y descubrí spyware una vez más (video enlazado en el segundo tuit).
El dispositivo estaba comprometido de exactamente la misma manera, presentando modificaciones idénticas (como cables adicionales y un módulo LTE). Esto indica que se trata de un problema generalizado en lugar de un incidente aislado, que potencialmente afecta el inventario de Ledger en tiendas MediaMarkt y Saturn en toda Europa (que comprende más de 1.000 tiendas en 11 países).
Mi hipótesis inicial era que estos dispositivos eran devoluciones que parecían sin abrir a los empleados y simplemente se volvieron a vender como nuevos; sin embargo, un empleado de MediaMarkt confirmó que el dispositivo que compré no era una devolución, y que los Ledger devueltos se envían directamente de vuelta al fabricante en lugar de revenderse.
Los registros de la tienda muestran que el inventario se originó en Aqipa GmbH. Aunque el CTO de Ledger no estaba seguro de si Aqipa actúa como el distribuidor directo entre Ledger y MediaMarkt, parece que es el caso. Dado que Aqipa distribuye en toda Europa, cualquier tienda minorista física que reciba existencias a través de ellos podría estar en riesgo.
Envié el primer ledger a mark y el segundo está yendo a ledger ahora, para que puedan analizarlo.
Si compraste un ledger de alguien que no sea la tienda oficial de ledger, ¡asegúrate de revisar tu dispositivo!!” h/t @0xJohannes_
Lorenzo Martínez retweeted
GitHub duplica usuarios gracias a no programadores
GitHub duplica sus usuarios gracias a la integración de la IA y la llegada de personas no técnicas que no saben programar
blog.elhacker.net/2026/10/gi…
Lorenzo Martínez retweeted
I got hacked at 3:59 AM without clicking anything. My voicemail handed the attacker my Telegram login code.
Here is exactly how it worked, so it doesn't happen to you.
3:54 AM. My phone rings about ten times in a row, No Caller ID. That was not harassment. It was the attack: keep my line busy.
Meanwhile, the attacker asks Telegram to log in with my number and picks "send the code by phone call". My line is busy, so Telegram's robot call lands on my voicemail and reads the code out loud to it.
Carrier voicemail can often be reached remotely, with a default PIN or a spoofed caller ID. He listens to the message. At 3:59 he is in.
Fortunately, the attack was noisy. The calls woke me up. At 4 AM I only wanted to go back to sleep, but I had the presence of mind to check my notifications. Telegram was showing a new login from a device I didn't know. That check is what saved me: I ended his session within minutes. If I had rolled over, the next day would have been a mess.
In those few minutes he had already typed /balance, then /start on every old wallet bot he could find in my chats. He was hunting for funds tied to my Telegram. The bots were long dead and nothing was lost. He still had time to set his own 2FA password on my account.
What would have stopped it:
Telegram two-step verification, with a recovery email. With a password on the account, the code alone is useless.
Your voicemail. Change the PIN, block remote access, or turn it off (##002# cancels call forwarding on most carriers).
Same for WhatsApp and any service that can send a code by voice call.
No seeds, keys or passwords in Saved Messages. Ever.
A burst of masked calls at night is a signal, not a nuisance. Check your notifications and your active sessions.
I have been building in crypto for more than ten years and I had never thought about my voicemail. Check yours today.
Lorenzo Martínez retweeted
Mire @isabelrguez
El no tiene ningún cacao y lo explica para tontos... y sin mentir 👇🏼
Lorenzo Martínez retweeted
Presentamos Decoys, nuestro nuevo servicio de detección temprana de amenazas.
Desplegamos señuelos en tu infraestructura para detectar actividad sospechosa. El atacante cree que ha encontrado un objetivo, en realidad, acaba de delatarse. Descubre Decoys: securizame.com/decoys-detect…
Lorenzo Martínez retweeted
Detienen al ex número dos de la embajada venezolana con 50 kilos de coca en Barajas.
Lo cuenta Antonio Rodríguez (@antonioRG9).
theobjective.com/espana/poli…
Lorenzo Martínez retweeted
¡No podemos celebrar una HoneyCON sin @lawwait! Con su ponencia Memorias de un perito forense XII+I.
#HoneyCON26 #Guadalajara
Lorenzo Martínez retweeted
'Yo no he sido' y 'Yo no he tocado nada' las dos frases más repetidas en un incidente de seguridad y que dan para muchasssss historias como las que cuenta siempre @lawwait En #HoneyCON26 entretenida con su volumen XII+I de un perito forense @Honey_SEC #HoneyCON
Lorenzo Martínez retweeted
¡Gracias a todos los asistentes a la charla de Lorenzo Martínez @lawwait "Memorias de un perito Informático forense Vol XII+I" en la @Honey_SEC! Y enhorabuena a la organización del evento. #Ciberseguridad #Noticia
Lorenzo Martínez retweeted
Hoy a las 19:20 no os perdáis "Memorias de un perito informático forense Vol. XII+I" con @lawwait en el evento @Honey_SEC ¡Allí nos vemos! honeysec.info/ #CiberSeguridad #Noticia #Internet #Tecnología
Habían tardado en aparecer los primeros phishings relacionados con el robo de datos de tarjetas de @elcorteingles Pues ya están aquí… OJO con hacer click en un enlace de estos correos (bueno, y de cualquier otro)
Lorenzo Martínez retweeted
The executives said the boardroom Wi-Fi “feels slow.”
Speed test: 487 Mbps.
Apparently 487 Mbps has bad energy.
So I created a new network:
EXECUTIVE_PRIORITY_5G
Same access points.
Same internet connection.
Same VLAN.
I just gave it a more expensive name.
Connected the CEO.
He opened a website and immediately said:
“Oh wow, this is way faster.”
By lunch, five VPs had asked for access.
I told them executive bandwidth is limited and I can only approve users with a genuine business requirement.
They are now competing for access to Wi-Fi they already had.
Performance is unchanged.
Satisfaction is through the roof.
Lorenzo Martínez retweeted
#EXCLUSIVA El Censo Electoral admite ahora que inscribía a los nacionalizados en provincias sin pedir pruebas de su arraigo
Solo desde 2023 ha repartido por provincias a más de 400.000 nuevos votantes sin ningún documento ni comprobación que justifique ese reparto.
Por @beaparera
elconfidencial.com/espana/20…
Lorenzo Martínez retweeted
🚨 OJO A ESTO.
El ministerio de Albares envía 300.000 € públicos la semana pasada a un ONG nicaragüense dedicada a HACER SURF en un paraje paradisíaco. TOLA (NICARAGUA)
¿Alguien está preparando sus vacaciones?
Lorenzo Martínez retweeted
The 1995 cult film "Hackers" was released 31 years ago today. HackersDay.com
#Hackers #HackersDay #HackersMovie #HackThePlanet
