Ostorlab

Ostorlab frente a MobSF: pruebas de seguridad móvil dirigidas por analistas o por IA (2026)

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

Ostorlab frente a MobSF (Mobile Security Framework) en pruebas de seguridad de aplicaciones móviles: análisis estático y dinámico, requisitos de dispositivo, prueba de explotación, pruebas autenticadas, integraciones, despliegue y coste, con alternativas y preguntas frecuentes.

Ostorlab frente a Oversecured: comparativa de pruebas de seguridad de aplicaciones móviles (2026)

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

Ostorlab frente a Oversecured en pruebas de seguridad de aplicaciones móviles: cobertura de iOS y Android, prueba de explotación, pruebas autenticadas, API, integraciones, despliegue y precios, con tabla comparativa, alternativas y preguntas frecuentes.

Alternativas a Snyk y Checkmarx: Ostorlab frente a Snyk Code, Checkmarx One y GitHub Advanced Security (2026)

Abir Jelti — Wed, 07 Oct 2026 10:00:00 +0200

Las mejores alternativas a Snyk Code, Checkmarx One y GitHub Advanced Security para SAST en 2026, y cómo se compara Ostorlab en lenguajes, flujo de trabajo del desarrollador, falsos positivos, prueba de explotación, fallos de lógica, despliegue y precios.

Creamos un agente de IA para nuestro propio backlog. Ahora es suyo.

Bilal Harras — Tue, 06 Oct 2026 09:00:00 +0200

Cómo un pequeño agente que convertía tickets de errores en pull requests se transformó en el ticket agent de Ostorlab: un compañero de IA al que usted asigna una tarea, un modelo y reglas sobre cuándo se ejecuta.

El coste real de los falsos positivos: cómo calcular el impuesto de ingeniería de los escáneres ruidosos

Sohaib Harraoui — Mon, 28 Sep 2026 10:00:00 +0200

Los falsos positivos son un problema de capacidad de ingeniería, y no solo de calidad del escáner. Aprenda a medir su coste y a evaluar el retorno de la inversión de las pruebas con prueba de explotación.

¿Quién debería usar Ostorlab? Equipos ideales, casos de uso y cuándo elegir otra solución

Abir Jelti — Mon, 28 Sep 2026 08:00:00 +0200

Ostorlab encaja con los equipos que prueban en cada versión activos móviles, web, de API y de código conectados entre sí. Dónde encaja, qué plan elegir y cuándo es mejor otra herramienta.

Ostorlab frente a las empresas de pentesting: comparativa de costes y profundidad en 2026

Youssef Mabrouk — Fri, 25 Sep 2026 16:00:00 +0200

Ostorlab frente a las empresas de pentesting: coste, frecuencia de las pruebas, profundidad y corrección, y cuándo usar pentests con IA, consultores o ambos.

Por qué las pruebas de seguridad de API no detectan las cadenas de ataque entre activos

Bilal Harras — Fri, 25 Sep 2026 14:00:00 +0200

Los escáneres solo de API no detectan las cadenas de ataque que empiezan con secretos o rutas en aplicaciones móviles, bundles web o código. Dos cadenas reales y una lista de 8 pasos para probarlas.

Pentesting con IA para SOC 2: comparativa de 6 proveedores

Youssef Mabrouk — Fri, 25 Sep 2026 10:00:00 +0200

Compare Ostorlab, XBOW, Aikido, Intruder, Escape y Penti para pentests de SOC 2 según la evidencia de explotación, la revisión humana, los informes de muestra, las nuevas pruebas y los precios.

¿Cuánto cuesta un pentest de aplicaciones en 2026?

Abir Jelti — Fri, 25 Sep 2026 08:00:00 +0200

En 2026, un pentest manual de aplicaciones cuesta entre $3,000 y $50,000+; los pentests con IA publicados van de $499 a unos $8,000. Qué determina el precio, qué excluyen las ofertas y cómo compararlas.

Las mejores herramientas para probar la evasión del blindaje de aplicaciones móviles

Youssef Mabrouk — Wed, 23 Sep 2026 12:00:00 +0200

Compare Apktool, JADX, Ghidra, Frida, Objection y LLDB en pruebas manuales con la evaluación automatizada de blindaje móvil y RASP de Ostorlab para Android e iOS.

Cómo Deep Agentic Scan detecta vulnerabilidades reales y complejas

Oussama Bakri — Wed, 23 Sep 2026 10:00:00 +0200

Cómo el Deep Agentic Scan de Ostorlab descubre y demuestra empíricamente vulnerabilidades complejas en aplicaciones web, móviles y código fuente, con cuatro casos reales.

¿Puede un agente de IA demostrar en tiempo de ejecución los hallazgos de SAST?

Mohammed Lachhab — Wed, 23 Sep 2026 10:00:00 +0200

El análisis estático señala posibles errores, pero no puede demostrarlos. La validación en tiempo de ejecución demostró una RCE autenticada en Langflow y corrigió las condiciones de activación declaradas de un use-after-free en libxml2.

El mapa y la ventana: cómo un escaneo agéntico encadenó una fuga de documentación hasta obtener credenciales robadas

Aziz Elbelaychy — Wed, 23 Sep 2026 10:00:00 +0200

Descubra cómo el Agentic Deep Scan de Ostorlab encadenó una divulgación de OpenAPI de severidad media con una vulnerabilidad SSRF para eludir una restricción de loopback y extraer credenciales de base de datos.

Las mejores herramientas de pruebas de seguridad de API en 2026: comparativa de 4

Bilal HARRAS — Tue, 22 Sep 2026 14:00:00 +0200

Las mejores herramientas de pruebas de seguridad de API en 2026: comparativa de StackHawk, 42Crunch, Escape y Ostorlab en DAST, pruebas de BOLA/BFLA, descubrimiento de API y CI/CD.

Post-mortem: por qué los agentes de IA autónomos se salen del alcance y cómo contenerlos

Bilal Harras — Fri, 18 Sep 2026 12:00:00 +0200

Un post-mortem técnico sobre un agente de IA que se desvió fuera de su alcance de pruebas durante una evaluación autorizada de una API, qué lo causó y cómo contenemos a los agentes autónomos.

La forma más rápida de obtener un informe de pentest listo para auditoría para el cumplimiento de SOC 2

Sohaib Harraoui — Wed, 16 Sep 2026 10:00:00 +0200

Descubra cómo las startups B2B SaaS evitan la demora de 4 semanas de las consultoras para generar informes de pentest de SOC 2 listos para auditoría y Cartas de Atestación en días en lugar de semanas.

Ostorlab Neutron en CyberGym de UC Berkeley: 96.75% de explotación verificada (1,458/1,507 tareas)

Sohaib Harraoui — Tue, 15 Sep 2026 17:00:00 +0200

Un análisis técnico en profundidad de cómo Ostorlab Neutron alcanzó una tasa de resolución con exploit verificado del 96.75% (1,458/1,507 tareas) y localizó el fallo en las 1,507 tareas del benchmark CyberGym de UC Berkeley, combinando ingeniería inversa pura del código fuente con modelado determinista de protocolos.

Las mejores plataformas de pruebas de seguridad de aplicaciones on-premises (2026)

Abir Jelti — Tue, 15 Sep 2026 10:00:00 +0200

Compare Ostorlab, Invicti, Burp Suite DAST, HCL AppScan y Fortify para pruebas de seguridad de aplicaciones on-premises: modelo de despliegue, control de los datos y acceso a objetivos privados.

Ostorlab Neutron alcanza el 96.7% en el benchmark CyberGym

Abir Jelti — Mon, 14 Sep 2026 17:42:00 +0200

Ostorlab Neutron alcanzó una tasa de resolución de exploits verificados del 96.7% en CyberGym, y generó pruebas de concepto diferenciales funcionales para 1,458 de las 1,507 tareas de reproducción de vulnerabilidades del benchmark.

Las 7 mejores herramientas de gestión de la superficie de ataque externa (2026)

Abir Jelti — Fri, 11 Sep 2026 10:00:00 +0200

Comparativa de 7 plataformas de gestión de la superficie de ataque externa, como Ostorlab, Defender EASM, Cortex Xpanse y CyCognito, en descubrimiento, validación y corrección.

Mejores herramientas de pruebas de seguridad para aplicaciones web en 2026

Abir Jelti — Fri, 11 Sep 2026 10:00:00 +0200

Comparación de Ostorlab, Burp Suite DAST, Invicti, InsightAppSec, AppScan, XBOW y OWASP ZAP, y cuándo basta el DAST y cuándo se necesita pentesting agéntico.

Mejores plataformas de evaluación de aplicaciones móviles para empresas en 2026

Abir Jelti — Thu, 10 Sep 2026 10:00:00 +0200

Comparativa de Ostorlab, NowSecure, Quokka, Zimperium, Appknox y Data Theorem para la evaluación de aplicaciones Android e iOS: modelo operativo, puntuación de riesgo y monitorización.

Las mejores plataformas de pentesting con IA en 2026

Abir Jelti — Wed, 09 Sep 2026 00:00:00 +0200

Compare las principales plataformas de pentesting con IA en 2026 según cobertura de activos, explotación autónoma, encadenamiento de ataques, evidencias, cumplimiento normativo y despliegue.

Pentesting autónomo vs pentesting tradicional

Sohaib Harraoui — Tue, 08 Sep 2026 14:00:00 +0200

Compare los pentests tradicionales, PTaaS y las pruebas autónomas con IA: dónde ganan los agentes en cobertura y evidencias, dónde siguen liderando las personas y cómo combinarlos.

Presentamos Multi-Asset Deep Agentic Scan: pruebas conectadas en toda la aplicación

Abir Jelti — Wed, 02 Sep 2026 10:00:00 +0200

Multi-Asset Deep Agentic Scan evalúa activos relacionados de tipo móvil, web, API, red, código fuente y documentación en una única investigación agéntica conectada.

Cómo eludir el blindaje de aplicaciones móviles: donde termina la detección y falla la aplicación efectiva

Mohammed Lachhab — Wed, 12 Aug 2026 10:20:00 +0200

La detección y la aplicación efectiva de medidas son propiedades de seguridad distintas. En cinco aplicaciones bancarias en producción protegidas por cuatro productos comerciales de blindaje, la detección era sofisticada y la aplicación efectiva, frágil.

Guía 2026 de pruebas de penetración para startups (costes, proceso y selección de proveedor)

Bilal Harras — Sun, 09 Aug 2026 10:30:00 +0200

Guía completa sobre qué son las pruebas de penetración, cuánto cuestan para las startups en 2026, el proceso de pruebas en 5 pasos y cómo elegir el proveedor adecuado para su pila tecnológica.

Presentamos el servidor MCP de la plataforma Ostorlab

Abir Jelti — Sat, 08 Aug 2026 15:55:00 +0200

Ostorlab ya es compatible con MCP, lo que da a los asistentes y agentes de IA acceso controlado por permisos a los datos y flujos de trabajo de seguridad.

Presentamos Risk Reruns: control granular para los Agentic Deep Scans

Bilal Harras — Fri, 07 Aug 2026 18:50:00 +0200

Presentamos Risk Reruns para Agentic Deep Scans: vuelva a ejecutar investigaciones de riesgos concretas con niveles de esfuerzo, modelos de IA o parámetros personalizados, sin volver a subir activos ni empezar de cero.

La IA puede ejecutar el ataque. ¿Puede confiar en el resultado?

Mohammed Lachhab — Thu, 06 Aug 2026 13:35:00 +0200

Una IA puede producir un relato de explotación convincente en segundos. La prueba en tiempo de ejecución, los controles negativos y la revisión humana determinan si ese relato se convierte en un hallazgo en el que un equipo de seguridad puede confiar.

¿Puede SOC 2 aceptar una prueba de penetración realizada por IA?

Aziz Elbelaychy — Thu, 06 Aug 2026 10:00:00 +0200

SOC 2 no exige un método de pruebas concreto, por lo que los auditores evalúan evidencias, no herramientas. Esto es lo que necesita realmente una prueba de penetración realizada por IA para satisfacer una auditoría SOC 2 Type II.

Presentamos Agentic Scan Knowledge: el escáner que nunca olvida

Abir Jelti — Wed, 05 Aug 2026 09:58:00 +0200

Agentic Scan Knowledge proporciona a los agentes de seguridad de Ostorlab un contexto persistente de la aplicación, de modo que cada escaneo se apoya en las pruebas anteriores en lugar de empezar de nuevo desde cero.

Presentamos Ostorlab Mobile Shielding Scan

Abir Jelti — Tue, 04 Aug 2026 18:39:00 +0200

Ostorlab Mobile Shielding Scan prueba las protecciones de Android e iOS frente a evasiones reales, como la detección de root, la protección contra manipulaciones, la fijación de certificados y la ofuscación.

Presentamos el escáner de vulnerabilidades On-Premises de Ostorlab

Bilal Harras — Tue, 04 Aug 2026 13:37:00 +0200

Anunciamos la disponibilidad general del escáner de vulnerabilidades On-Premises de Ostorlab, diseñado para identificar y contextualizar fallos de seguridad dentro de su infraestructura local.

Ostorlab frente a Aikido: comparativa de plataformas de AppSec

Bilal HARRAS — Mon, 03 Aug 2026 18:00:00 +0200

Ostorlab frente a Aikido en SAST, pentesting web y de API, pruebas de binarios móviles, postura de la nube, BYOK y corrección, con tabla comparativa y preguntas frecuentes.

Ostorlab frente a Appknox: poniendo las cosas en su sitio

Bilal HARRAS — Wed, 29 Jul 2026 14:00:00 +0200

Ostorlab responde a la lista «Top 10 MAST Tools» de Appknox: en qué se equivocó, KnoxIQ frente a Agentic Deep Scan, cobertura de pila completa, despliegue y precios.

XBOW frente a Ostorlab: comparativa de pentesting con IA

Bilal HARRAS — Tue, 28 Jul 2026 11:29:00 +0200

Comparativa de XBOW y Ostorlab en cuanto a alcance de los objetivos, cobertura de aplicaciones móviles y API, encadenamiento de exploits entre activos, pruebas en CI/CD, evidencias y flujos de corrección.

Cómo la IA detecta vulnerabilidades complejas: pentesting agéntico y encadenamiento de exploits por dentro

Aziz Elbelaychy — Tue, 28 Jul 2026 10:00:00 +0200

Descubra cómo la IA agéntica detecta fallos de lógica de negocio que los escáneres basados en reglas pasan por alto. Vea una cadena de explotación real que escala un hallazgo corregido hasta comprometer todo un tenant.

Ostorlab vs NowSecure: comparativa de AppSec móvil

Bilal HARRAS — Mon, 27 Jul 2026 16:47:00 +0200

Ostorlab vs NowSecure en seis áreas: costo y escalabilidad, integración con CI/CD, cobertura de la lógica de negocio, compatibilidad con frameworks, escaneos dirigidos y aplicaciones con restricción geográfica.

Mejores herramientas SAST en 2026: comparativa de herramientas de escaneo de código fuente

Youssef Mabrouk — Mon, 27 Jul 2026 10:00:00 +0200

Las mejores herramientas SAST y de escaneo de código fuente en 2026, Ostorlab, GitHub Code Security (CodeQL), Semgrep, Snyk Code, Checkmarx One, SonarQube, Veracode, Black Duck Coverity y OpenText Fortify, comparadas en lenguajes, CI/CD, falsos positivos, correcciones con IA y precios.

Ostorlab Threat Center ya es compatible con la base de datos europea de vulnerabilidades (EUVD)

Abir Jelti — Fri, 24 Jul 2026 09:09:00 +0200

Ostorlab Threat Center incorpora ahora la inteligencia de la EUVD junto con los datos de la NVD, y ofrece a los equipos de seguridad una visibilidad más amplia de las vulnerabilidades mientras se preparan para el Reglamento de Ciberresiliencia de la UE.

Prompts de pentesting con IA que producen evidencias, no solo hallazgos

Mohammed Lachhab — Thu, 23 Jul 2026 16:00:00 +0200

Guía práctica para diseñar flujos de trabajo de pruebas de seguridad asistidas por IA que conviertan evidencias acotadas en hallazgos revisables mediante salidas estructuradas, puertas de validación y ejecución controlada.

¿Cuándo un escáner con IA se convierte en un pentest con IA?

Abir Jelti — Wed, 22 Jul 2026 17:50:00 +0200

Descubra qué diferencia el escaneo potenciado por IA del pentesting con IA, y cómo Ostorlab Deep Agentic Scan sigue la evidencia para validar rutas de ataque reales.

Seguridad del código fuente: de la señal al riesgo validado | Ostorlab

Abir Jelti — Thu, 16 Jul 2026 12:13:00 +0200

Descubra cómo funcionan las pruebas de seguridad del código fuente, por qué el SAST tradicional genera falsos positivos y cómo el análisis agéntico convierte las señales del escáner en hallazgos accionables.

Análisis de la última versión de GoPhish: evaluación del código fuente con Ostorlab Agentic Deep Scan

Sohaib Harraoui — Thu, 16 Jul 2026 10:00:00 +0200

Una evaluación técnica de la última versión de GoPhish que examina cómo gestiona la plataforma la confianza: identidad, contenido no confiable, propiedad de los objetos, ciclo de vida de las credenciales y solicitudes salientes. El análisis del código fuente con Ostorlab Agentic Deep Scan permitió establecer los ocho hallazgos del informe, las PoC y las prioridades de corrección.

Ostorlab frente a Quokka Q-mast: comparación de DAST móvil

Bilal HARRAS — Wed, 15 Jul 2026 18:00:00 +0200

Ostorlab frente a Quokka Q-mast en DAST móvil: flujos autenticados, evasión del TLS pinning, evidencia en PCAP, aplicaciones con restricción geográfica, escaneo de API y Agentic Deep Scan.

Presentamos Ostorlab Source Code Scanning

Youssef Mabrouk — Tue, 07 Jul 2026 18:00:00 +0200

Source Code Scanning le ayuda a identificar vulnerabilidades de seguridad directamente en su código fuente antes de que lleguen a producción. Conecte sus repositorios, ejecute escaneos bajo demanda y revise hallazgos accionables desde Ostorlab.

Mejoras de Deep Scan: ejecución más rápida, mejores decisiones y pruebas incrementales

Youssef Mabrouk — Tue, 30 Jun 2026 19:00:00 +0200

La última versión de Deep Agentic Scan introduce pruebas móviles más rápidas, una mejor ingeniería inversa, una detección de vulnerabilidades más sólida, cobertura incremental mediante el procesamiento de escaneos históricos, un mejor encadenamiento de vulnerabilidades y Cyber Models gestionados para evaluaciones móviles y web.

Presentamos un blindaje móvil capaz de resistir ataques de IA

Kawtar Boumaan — Thu, 25 Jun 2026 16:00:00 +0200

Ostorlab ha lanzado Mobile Shielding Scan, una solución de pruebas automatizada y basada en IA diseñada específicamente para la detección y validación del blindaje. Ofrece a los equipos de seguridad una validación continua y ágil de las protecciones críticas en tiempo de ejecución de iOS y Android, e identifica si los escudos de seguridad realmente están presentes y si resisten ataques reales. Así, las organizaciones disponen de una forma automatizada, escalable y potente de validar de manera continua las herramientas RASP y las capas de autodefensa móvil en cada versión.

La aplicación nunca se abrió

Abir Jelti — Thu, 25 Jun 2026 09:02:00 +0200

Los agentic harness cambian lo que un LLM puede hacer en las pruebas de seguridad de aplicaciones móviles. Por sí solo, un modelo puede nombrar riesgos probables como almacenamiento inseguro, secretos expuestos, permisos de riesgo, SDK vulnerables, problemas de backend y exposición de la privacidad, pero la aplicación puede quedar sin tocar. Con las herramientas, el contexto, la memoria, los prompts, los bucles de ejecución y la retroalimentación en tiempo de ejecución adecuados a su alrededor, el modelo puede inspeccionar el paquete de la aplicación, observar su comportamiento, seguir el tráfico, conectar señales y dejar evidencias que un equipo de seguridad pueda revisar. Del análisis de permisos a la explotación nativa con GEF, la diferencia se ve en la traza: evidencias de la aplicación, salida de las herramientas, pruebas en tiempo de ejecución y pasos reproducibles en lugar de texto con forma de informe.

Presentamos Ostorlab Cyber Models

Kawtar Boumaan — Tue, 23 Jun 2026 16:00:00 +0200

Ostorlab ha lanzado Cyber Models, un nivel de infraestructura de IA gestionada y de prepago para Agentic Deep Scans. Ofrece a los equipos de seguridad un acceso simplificado a modelos especializados como GPT-5.5 Cyber y Opus 4.8 with Cyber Verification Program a través de canales de proveedores aprobados. Así se evita tener que gestionar claves de API externas, límites de tasa de los proveedores o paneles de facturación fragmentados.

No existe la caja mágica: por qué la seguridad de aplicaciones en la era de la IA necesita un stack

Bilal HARRAS — Mon, 22 Jun 2026 10:00:00 +0200

Basta recorrer cualquier gran conferencia de ciberseguridad para oír hablar de la promesa de las plataformas autónomas impulsadas por IA. Pero las pruebas basadas solo en IA no escalan. Un programa de AppSec resiliente requiere un stack escalonado y atento a los costes que combine escáneres tradicionales rápidos, revisiones semánticas privadas y una orquestación selectiva de modelos de frontera.

Guía definitiva de evaluación de aplicaciones móviles: cómo proteger el ecosistema de aplicaciones de la empresa

Bilal HARRAS — Fri, 19 Jun 2026 10:08:00 +0200

Esta guía completa abarca la arquitectura, las metodologías de riesgo y los marcos de despliegue necesarios para diseñar una estrategia empresarial de evaluación de aplicaciones móviles que proteja los activos de datos corporativos sin generar fricción operativa.

Presentamos Ostorlab App Vetting para la era agéntica

Abir Jelti — Tue, 16 Jun 2026 08:47:00 +0200

Ostorlab ha lanzado App Vetting, una solución de evaluación de riesgos de aplicaciones móviles que ayuda a los equipos a evaluar aplicaciones Android e iOS antes de aprobarlas. Combina análisis estático, pruebas dinámicas y ejecución en un sandbox seguro con monitorización continua, puntuación de riesgo ponderada y flujos de trabajo agénticos para identificar vulnerabilidades, riesgos de privacidad, indicadores de malware, comportamiento de telemetría y problemas de confianza, y ayuda a los equipos a priorizar lo más importante.

Construir un revisor de PR con IA en el que los ingenieros realmente confían

Abir Jelti — Mon, 08 Jun 2026 10:30:00 +0200

Construimos un revisor de pull requests con IA, lo desactivamos después de que las alucinaciones y los falsos positivos erosionaran la confianza de los desarrolladores, y luego lo reconstruimos con mejores modelos, un contexto más amplio y una arquitectura de agente más conservadora. Este artículo comparte lo que aprendimos sobre la revisión de código automatizada, por qué la confianza importa más que la cobertura, y cómo los revisores con IA pueden ayudar a los equipos de ingeniería a reducir el trabajo de revisión repetitivo sin reemplazar el criterio humano.

Presentamos Single Vulnerability Assessment y Dig Deeper de Ostorlab

Kawtar Boumaan — Tue, 02 Jun 2026 16:00:00 +0200

Ostorlab lanza un motor de orquestación de IA potente y muy específico, accesible a través de dos flujos de interfaz distintos: Single Vulnerability Assessment (SVA) y Dig Deeper. Aunque ambas funcionalidades comparten exactamente la misma lógica de IA subyacente, las mismas capacidades y la misma estructura «Bring-Your-Own-Key», están pensadas para puntos de entrada distintos de su flujo de trabajo. SVA se lanza como un escaneo nuevo e independiente para evaluaciones específicas y rentables, validaciones de correcciones o verificaciones de bug bounty. Dig Deeper se activa directamente desde un hallazgo existente dentro de un informe de escaneo para investigar al instante falsos positivos o rastrear rutas de explotación. Juntos, ofrecen a los equipos un control quirúrgico sobre cómo probar y validar vulnerabilidades individuales.

Exploit CVE-2026-42208: inyección SQL sin autenticación en LiteLLM mediante token Bearer

Sohaib Harraoui — Fri, 22 May 2026 14:00:00 +0200

Análisis técnico de CVE-2026-42208, una vulnerabilidad crítica de inyección SQL sin autenticación (CVSS 9.3) en la API del proxy de LiteLLM. Una parametrización incorrecta del token Bearer dentro de consultas SQL sin procesar, usadas para combinaciones complejas de varias tablas, permite ataques ciegos de temporización basados en condiciones booleanas, lo que posibilita que atacantes sin autenticación exfiltren datos sensibles de la base de datos, incluidas claves de API virtuales, información de usuarios y registros de gasto de LLM.

DirtyFrag: escalada de privilegios local universal en Linux mediante escritura en la caché de páginas

Aziz Elbelaychy — Wed, 13 May 2026 14:00:00 +0200

Análisis técnico de DirtyFrag, un par de vulnerabilidades de escalada de privilegios local en el kernel de Linux (CVE-2026-43284 y CVE-2026-43500, CVSS 7.8 ALTA) que permiten a cualquier usuario local sin privilegios obtener root en la mayoría de las distribuciones Linux principales. Al encadenar un fallo en la ruta de descifrado en el mismo lugar de xfrm-ESP y de RxRPC, ambos basados en la misma primitiva de escritura en la caché de páginas que Dirty Pipe y Copy Fail, el exploit sobrescribe páginas de caché de solo lectura sin condición de carrera, logrando una fiabilidad cercana al 100%.

CVE-2026-5205: SSRF crítica en las cargas de archivos de Chatwoot

Mohammed Lachhab — Wed, 29 Apr 2026 14:00:00 +0200

Un análisis en profundidad de una vulnerabilidad crítica de Server-Side Request Forgery (SSRF) en el endpoint de carga de archivos de Chatwoot (≤ v4.12.1). El endpoint /api/v1/accounts/:id/upload acepta un parámetro external_url validado únicamente mediante una comprobación del esquema, lo que permite a cualquier agente autenticado forzar al servidor a solicitar URL internas arbitrarias. El cuerpo completo de la respuesta se devuelve en banda a través de blobs de ActiveStorage, convirtiendo el endpoint de carga en un proxy de lectura completa. La explotación en vivo en un droplet de DigitalOcean confirmó la exfiltración en banda de metadatos de la nube, incluidos el ID del droplet, el nombre de host, las claves públicas SSH y los paquetes completos de metadatos. Corregido en v4.13.0.

Lista de verificación de cumplimiento de DORA para banca y fintech: validación de la resiliencia operativa lista para auditoría

Abir Jelti — Wed, 29 Apr 2026 09:23:00 +0200

Una lista de verificación de cumplimiento de DORA ayuda a las organizaciones bancarias y fintech a evaluar su resiliencia operativa en áreas clave como el riesgo de las TIC, la respuesta a incidentes, las pruebas de resiliencia, la gobernanza de terceros y la supervisión, al tiempo que permite seguir el progreso de la implementación y respalda la preparación para auditorías.

Análisis del malware bancario para Android BeatBanker/BTMOB

Aziz ELBELAYCHY — Tue, 28 Apr 2026 14:00:00 +0200

Análisis estático de TV_V_23.apk, el malware bancario para Android BeatBanker/BTMOB disfrazado de linterna: cadena de cuatro etapas, antianálisis, atribución e IOC.

Pruebas de seguridad en HarmonyOS Next: herramientas y riesgos

Youssef Mabrouk — Tue, 28 Apr 2026 12:00:00 +0200

En qué se diferencian las pruebas de seguridad de HarmonyOS Next de las de Android: ArkTS, DSoftBus, herramientas de pruebas, SafetyDetect, ArkGuard, fallos comunes y correspondencia con OWASP MASVS.

Redirección de intents en Android: ataques y soluciones

Bilal Harras — Thu, 23 Apr 2026 10:30:00 +0200

Cómo la redirección de intents permite a los atacantes alcanzar componentes no exportados de Android, filtrar datos mediante setResult() y abusar de los PendingIntent, además de seis formas de prevenirla.

Presentamos los escaneos de aplicaciones HarmonyOS y de Huawei AppGallery

Bilal Harras — Mon, 20 Apr 2026 16:00:00 +0200

Escáner de vulnerabilidades para aplicaciones HarmonyOS y versiones de Huawei AppGallery: Ostorlab añade escaneos de seguridad automatizados y repetibles para que los equipos evalúen de forma continua las aplicaciones móviles distribuidas por Huawei y corrijan los problemas con mayor rapidez.

Pruebas de seguridad en juegos móviles: cómo frenar las trampas y los hacks

Youssef Mabrouk — Mon, 20 Apr 2026 10:30:00 +0200

Las pruebas de seguridad en juegos móviles evitan las trampas, los hacks y la pérdida de ingresos al proteger las capas de cliente, red y backend. Esta guía repasa las amenazas más recientes, las metodologías de prueba y las mejores prácticas para los equipos de seguridad móvil y los desarrolladores de juegos móviles que quieren mantener su juego seguro, justo y conforme a la normativa.

Mejores prácticas de pruebas de AppSec móvil a escala

Bilal Harras — Thu, 16 Apr 2026 18:00:00 +0200

Pruebas de AppSec móvil para equipos que publican rápido en iOS y Android: MAST frente a SAST y DAST, una lista de verificación de pruebas, patrones de CI/CD y control de versiones según la severidad.

Guía de pruebas de seguridad de aplicaciones para el sector sanitario

Kawtar Boumaan — Thu, 16 Apr 2026 16:00:00 +0200

Cómo realizar pruebas de seguridad en portales de pacientes, aplicaciones médicas, API y SaMD: riesgos de ePHI, obligaciones de HIPAA y GDPR, pruebas en el SDLC, monitorización continua y respuesta a incidentes.

Guía de pruebas de seguridad para aplicaciones móviles de banca

Abir Jelti — Thu, 16 Apr 2026 09:59:00 +0200

Proteger las aplicaciones móviles de banca requiere algo más que asegurar el cliente. Esta guía analiza los riesgos en dispositivos, redes y sistemas backend, y explica por qué las pruebas de seguridad móvil continuas son esenciales para proteger los datos financieros y las transacciones.

Las funciones serverless de Twenty CRM exponen una RCE crítica y el riesgo de una puerta trasera permanente sin autenticación (CVE-2026-26720) - PoC y exploit

Mohammed Lachhab — Wed, 15 Apr 2026 09:00:00 +0200

Análisis técnico de CVE-2026-26720, una vulnerabilidad crítica de ejecución remota de código (RCE) autenticada, con CVSS 9.8, en Twenty CRM (≤ v1.15.0). Cualquier miembro de un workspace puede crear y ejecutar funciones serverless que se ejecutan sin sandbox y con acceso completo a process.env, lo que filtra APP_SECRET, PG_DATABASE_URL y todas las credenciales del servidor. Combinadas con los flujos de trabajo activados por webhook expuestos mediante PublicEndpointGuard, un único atacante autenticado puede instalar una puerta trasera RCE permanente y sin autenticación, accesible desde cualquier punto de internet.

Riesgo de terceros en DORA: gobernanza de los SDK móviles

Bilal Harras — Tue, 14 Apr 2026 18:00:00 +0200

Gestione el riesgo de terceros de DORA en las aplicaciones móviles con inventarios y diferencias de SDK por versión, reglas de aprobación y prohibición, SLA de aplicación de parches y paquetes de evidencias listos para auditoría.

Blindaje de aplicaciones móviles: qué es y cómo funciona

Youssef Mabrouk — Mon, 13 Apr 2026 12:00:00 +0200

El blindaje de aplicaciones móviles protege las aplicaciones en dispositivos no confiables al impedir la ingeniería inversa, la manipulación, la depuración y el acceso no autorizado a datos sensibles. Ayuda a los equipos de seguridad a proteger la lógica crítica de la aplicación, la información sensible y las transacciones incluso si el dispositivo está comprometido.

Fallos de inyección de comandos IMAP y SSRF en Roundcube

Aziz Elbelaychy — Wed, 08 Apr 2026 18:00:00 +0200

Un análisis en profundidad de dos vulnerabilidades críticas descubiertas en Roundcube Webmail (< 1.6.14, 1.5.14, 1.7 RC4) durante una revisión del código fuente. OVE-2026-8 permite a atacantes autenticados inyectar comandos IMAP arbitrarios mediante el parámetro _filter debido a la falta de saneamiento de CRLF. OVE-2026-9 permite la falsificación de solicitudes del lado del servidor (SSRF) al explotar el mecanismo de proxy de CSS, lo que da acceso a recursos de la red interna y a metadatos de la nube.

Presentamos Ostorlab para Harness: escaneo de seguridad móvil en pipelines de CI

Abir Jelti — Mon, 06 Apr 2026 16:51:00 +0200

Ostorlab ya se integra con Harness CI para ejecutar escaneos automatizados de seguridad de aplicaciones móviles dentro de los pipelines de CI. Con Harness Secrets y un sencillo paso Run, los equipos pueden instalar la CLI de Ostorlab y ejecutar ostorlab ci-scan run sobre los mismos artefactos de compilación que genera el pipeline (por ejemplo, Android APK, Android AAB o iOS IPA). La integración ayuda a incorporar la seguridad en la CI al acelerar los comentarios y detectar antes las vulnerabilidades, con opciones para adaptar los escaneos mediante perfiles (fast, full) y entradas opcionales como credenciales de prueba, SBOM y prompts de interfaz.

CVE-2026-27971: ejecución remota de código sin autenticación en server$ de Qwik

Aziz Elbelaychy — Wed, 01 Apr 2026 14:00:00 +0200

Análisis técnico de CVE-2026-27971, una vulnerabilidad crítica de ejecución remota de código sin autenticación (CVSS 9.2) en Qwik (< 1.19.1). La deserialización insegura en el flujo RPC de server$ permite reconstruir objetos QRL controlados por el atacante a partir de solicitudes application/qwik-json, lo que habilita la resolución de rutas de módulo y símbolos arbitrarios y, cuando require() está disponible, la ejecución remota de código mediante la invocación de una función del servidor especialmente manipulada.

Pruebas de seguridad tras el inicio de sesión: 2FA y MFA

Abir Jelti — Mon, 30 Mar 2026 16:44:00 +0200

Por qué los escáneres se detienen en la página de inicio de sesión y cómo Ostorlab automatiza las pruebas tras el 2FA por SMS, correo electrónico y TOTP, con una opción manual de respaldo y credenciales protegidas.

Presentamos Ostorlab para Bitrise: escaneos de seguridad móvil en su CI

Bilal Harras — Fri, 27 Mar 2026 14:44:00 +0100

Ostorlab ya se integra con Bitrise para ejecutar escaneos automatizados de seguridad de aplicaciones móviles dentro de los flujos de trabajo de CI. Con un Bitrise Secret y un sencillo paso Script, los equipos pueden instalar la CLI de Ostorlab y ejecutar ostorlab ci-scan run sobre los mismos artefactos de compilación que genera el pipeline (por ejemplo, Android APK, Android AAB o iOS IPA). La integración ayuda a aplicar el shift left en la seguridad al acortar los ciclos de retroalimentación y detectar antes las vulnerabilidades, con opciones para adaptar los escaneos mediante perfiles (fast, full, agentic deep scan) y entradas opcionales como credenciales de prueba, SBOM y prompts de interfaz.

Resiliencia operativa móvil bajo DORA: la biblioteca de simulacros más sencilla para los recorridos del sector BFSI

Bilal Harras — Tue, 24 Mar 2026 14:44:00 +0100

Una guía de DORA centrada en el entorno móvil para los equipos del sector BFSI. Aprenda a definir su alcance, simplificar su proceso de publicación y evitar las trampas que generan trabajo de cumplimiento innecesario.

Ostorlab lanza Agentic Deep Scan: el escáner de vulnerabilidades de nueva generación

Ostorlab Team — Thu, 19 Mar 2026 11:00:00 +0100

Ostorlab ha lanzado Agentic Deep Scan, un escáner de vulnerabilidades de nueva generación que valida los riesgos reales en aplicaciones iOS, Android (próximamente harmonyOS) y web. Con la compatibilidad con Bring Your Own Key (BYOK), los equipos pueden explorar con seguridad sus potentes capacidades de escaneo sin perder el control total de sus datos y costes.

CVE-2025-68461: evasión del sanitizador de Roundcube mediante SVG animate (XSS)

Aziz Elbelaychy — Tue, 17 Mar 2026 14:00:00 +0100

CVE-2025-68461 (CVSS 7.2) permite que las etiquetas SVG animate eludan el sanitizador de Roundcube mediante prefijos de espacio de nombres. PoC, análisis del parche, detección con Nuclei y mitigación.

Cumplimiento de DORA en las versiones móviles: el modelo más sencillo de línea base, veredicto y excepciones

Bilal Harras — Tue, 10 Mar 2026 14:44:00 +0100

Una guía centrada en lo móvil sobre el Reglamento DORA y su cumplimiento para los equipos de BFSI. Aprenda a definir su alcance, simplificar su proceso de versiones y evitar las trampas que generan trabajo de cumplimiento innecesario.

CVE-2026-26019: vulnerabilidad de Server-Side Request Forgery en RecursiveUrlLoader de LangChain

Aziz Elbelaychy — Wed, 04 Mar 2026 14:00:00 +0100

Análisis técnico de CVE-2026-26019, una vulnerabilidad de Server-Side Request Forgery de severidad media (CVSS 4.1) en el paquete LangChain Community para JavaScript (< 1.1.14). La clase RecursiveUrlLoader utiliza una comprobación ingenua de prefijo de cadena para validar las URL rastreadas, lo que permite a un atacante eludir la restricción preventOutside predeterminada con un dominio con sufijo y redirigir el rastreador a activos de la red interna, con la posible exposición de credenciales sensibles y endpoints de metadatos.

Cumplimiento de DORA para equipos móviles: alcance y qué debe hacer

Bilal Harras — Tue, 03 Mar 2026 11:00:00 +0100

Una guía centrada en el entorno móvil sobre el reglamento DORA y su cumplimiento para equipos BFSI. Aprenda a definir su alcance, simplificar su proceso de publicación y evitar las trampas que generan trabajo de cumplimiento innecesario.

Las 10 mejores herramientas de pentesting para aplicaciones móviles (2026)

Youssef Mabrouk — Fri, 27 Feb 2026 16:00:00 +0100

Las 10 herramientas que nuestro equipo usa para el pentesting de aplicaciones móviles, desde Frida, Ghidra y Jadx hasta mitmproxy y Nuclei, con los mejores usos, las fortalezas y los límites de cada una.

CVE-2025-64712: RCE por path traversal en el procesamiento de MSG de la biblioteca Unstructured

Aziz Elbelaychy — Mon, 23 Feb 2026 08:00:00 +0100

Análisis técnico de CVE-2025-64712, una vulnerabilidad crítica (CVSS 9.8) de ejecución remota de código mediante path traversal en la biblioteca de Python Unstructured (< 0.18.18). Los nombres de archivo adjunto sin sanear en el procesamiento de MSG de Outlook permiten el path traversal, lo que habilita a un atacante a sobrescribir archivos arbitrarios mediante un archivo MSG manipulado y lograr la ejecución de código.

9 herramientas de pentesting con IA de código abierto comparadas (2026)

Youssef Mabrouk — Fri, 30 Jan 2026 08:20:00 +0100

Comparamos PentestGPT, PentAGI, HexStrike AI, Strix, CAI, Nebula, NeuroSploit, Deadend CLI y RedAmon: características clave de cada agente de pentesting con IA, estrellas de GitHub y licencias.

Ostorlab: resumen del año 2025

Manal Samir — Wed, 28 Jan 2026 16:20:00 +0100

2025 marcó el punto de inflexión en el que la IA en ciberseguridad pasó de prototipos experimentales a motores de nivel de producción. En esta retrospectiva exploramos cómo el nuevo AI Pentest Engine y el AI Monkey Tester de Ostorlab ya están descubriendo vulnerabilidades críticas en entornos reales, entre ellas una compleja cadena de lectura arbitraria de archivos en Signal para Android. Del mapeo de los riesgos de la banca mundial a la orquestación de escaneos con OXO Titan, acompáñenos en el año en que redefinimos lo que las pruebas de seguridad automatizadas pueden lograr realmente.

Verificación de desarrolladores en Android 2026: a quién afecta

Youssef Mabrouk — Tue, 27 Jan 2026 10:47:00 +0100

A partir de 2026, los dispositivos Android certificados podrán bloquear las aplicaciones de desarrolladores no verificados. Qué cambia para el sideloading, a quién afecta y cómo responde Google.

Aquella vez que un cero podría haber roto la fontanería de internet (CVE-2026-0915)

Ostorlab Team — Wed, 21 Jan 2026 16:20:00 +0100

Un análisis asistido por IA descubrió una vulnerabilidad de búfer sin inicializar de 30 años en la función _nss_dns_getnetbyaddr_r de glibc. Este caso de estudio detalla cómo una entrada igual a cero esquiva la lógica del bucle y hace que la biblioteca transmita memoria de pila sin procesar a servidores DNS externos, y compara cómo varios modelos de IA lograron identificar este sutil error lógico donde la revisión humana falló.

Riesgos de addJavascriptInterface en Android WebView

Mohamed Nasser — Wed, 07 Jan 2026 00:00:00 +0100

Caso práctico: el motor de pentesting con IA de Ostorlab encuentra un puente JavaScript de Android WebView accesible mediante deep links y lo encadena hasta manipular la interfaz nativa.

Las mejores plataformas de pruebas de seguridad de aplicaciones móviles en 2026

Bilal Harras — Mon, 05 Jan 2026 16:20:00 +0100

Compare Ostorlab, NowSecure, Appknox, Data Theorem, Quokka, Zimperium y MobSF para Android e iOS, con una matriz de funcionalidades y preguntas de prueba de valor para los proveedores.

Android FLAG_SECURE: cómo bloquear las capturas y las grabaciones de pantalla

Bilal Harras — Mon, 29 Dec 2025 16:20:00 +0100

Cómo FLAG_SECURE de Android bloquea las capturas de pantalla, la grabación de pantalla y las vistas previas de aplicaciones recientes, con ejemplos de código, casos de uso, limitaciones y comportamiento al transmitir la pantalla.

El AI Pentest Engine descubre un BFLA crítico en WebSocket en las suscripciones de GraphQL

Abderrahim Haddadi — Fri, 26 Dec 2025 16:20:00 +0100

El AI Pentest Engine de Ostorlab descubrió de forma sistemática una vulnerabilidad crítica de Broken Function-Level Authorization (BFLA) en un endpoint WebSocket de GraphQL, que permitía el acceso sin autenticación a un servicio de traducción en tiempo real. Este caso práctico detalla el proceso paso a paso de la IA, desde el descubrimiento hasta la prueba de concepto.

El motor de IA logra una toma de control de cuentas mediante confusión de versiones de API

Amine Atyq — Mon, 15 Dec 2025 10:00:00 +0100

El análisis metódico supera al fuzzing a ciegas: el motor de IA de Ostorlab descubre una debilidad de restablecimiento de contraseña entre versiones y logra tomar el control de una cuenta sin acceso al correo electrónico.

Descubrimiento de una cadena de exfiltración de datos de segundo orden en las SPA modernas

Mouad Ait Ougrram — Wed, 10 Dec 2025 16:20:00 +0100

Cómo se descubrió una cadena de exfiltración de datos de segundo orden del lado del cliente en una SPA moderna, que convirtió una simple redirección abierta en una vulnerabilidad de robo de datos en varias etapas mediante el análisis de JavaScript y la validación de la cadena de explotación.

Ir más allá: el motor de IA de Ostorlab descubre clases de vulnerabilidades desconocidas

Ostorlab Team — Mon, 13 Oct 2025 16:20:00 +0200

El motor de IA de Ostorlab, basado en el razonamiento, supera los límites de las reglas y detecta vulnerabilidades desconocidas y difíciles de encontrar, como evasiones de Safe Browsing en WebView, inyecciones SQL mediante proyecciones, exfiltración de claves con WebCrypto y fallos en el orden de verificación de JWT, y ofrece una cobertura de seguridad más profunda, más inteligente y complementaria.

Presentamos los Ostorlab Security Testing Benchmarks: vulnerabilidades reales, impacto real

Ostorlab Team — Mon, 22 Sep 2025 16:20:00 +0200

La primera suite de benchmarks de código abierto con 93 aplicaciones móviles vulnerables realistas que reproducen hallazgos reales de CVE y de programas de bug bounty, no ejemplos teóricos de manual.

Banking Report 2025: la seguridad en el centro de las finanzas móviles

Ostorlab Team — Mon, 15 Sep 2025 10:00:00 +0200

Un análisis de seguridad a gran escala de más de 500 de las principales aplicaciones bancarias móviles revela vulnerabilidades generalizadas, bases de código de hace una década y preocupantes patrones de centralización del backend.

Pentesting con IA: un análisis a fondo de la redirección de intents en Android

Ostorlab Team — Sun, 31 Aug 2025 16:20:00 +0200

Este artículo muestra el proceso con el que el AI Pentest Engine de Ostorlab analiza una aplicación Android en busca de vulnerabilidades de redirección de intents. Siga el recorrido del motor, desde el análisis estático y los primeros hallazgos hasta una rigurosa validación dinámica, y compruebe su capacidad no solo para identificar posibles amenazas, sino también para descartar meticulosamente los falsos positivos.

Automatización de la investigación de seguridad: un motor de IA explota el secreto de una cuenta de servicio de GCP

Ostorlab Team — Thu, 28 Aug 2025 16:20:00 +0200

Este artículo presenta un análisis práctico y exhaustivo, y la explotación en un caso real, de una cuenta de servicio de GCP incrustada en el código, con acceso excesivo a Pub/Sub, descubierta en una aplicación móvil de HackerOne. Detalla cómo el motor de pentesting con IA de Ostorlab automatizó el ciclo completo, desde la autenticación y la enumeración de permisos hasta la inyección e interceptación de mensajes de extremo a extremo, lo que permitió la corrección en cuatro días.