Publicado el 25/06/2026 | Autor: 3dpoder

Cordyceps CI/CD expone 300 repositorios a ataques en cadena de suministro

Una vulnerabilidad en la herramienta Cordyceps CI/CD ha comprometido más de 300 repositorios en GitHub, abriendo la puerta a ciberdelincuentes para modificar códigos y distribuir malware. Esto afecta directamente la seguridad de aplicaciones y servicios digitales que usamos a diario, poniendo en riesgo datos personales y la integridad del software.

Cordyceps CI/CD pipeline attack scene, compromised GitHub repository interface showing code injection during automated build process, malware payloads flowing through deployment chain into multiple application servers, broken security padlock icons on repository nodes, red alert lines connecting 300+ compromised repos, technical cybersecurity visualization, cinematic dark mode interface with glowing red attack vectors, server racks in background with cascading failure indicators, photorealistic engineering render, dramatic blue and red lighting, ultra-detailed code blocks and network topology diagrams

Fallo en automatización de desarrollo permite inyección de código malicioso 🛡️

La brecha de seguridad en Cordyceps permite a atacantes inyectar código malicioso durante las etapas de integración y despliegue continuo. Al comprometer la cadena de suministro de software, los ciberdelincuentes pueden alterar el código fuente sin ser detectados, propagando malware a través de actualizaciones legítimas. Este tipo de ataque, conocido como supply chain attack, aprovecha la confianza en herramientas automatizadas para infectar múltiples proyectos simultáneamente, afectando tanto a desarrolladores como a usuarios finales.

Cordyceps: el hongo que infecta repositorios y no pide permiso 🍄

Parece que el nombre Cordyceps no era solo una referencia a hongos de videojuegos, sino una profecía autocumplida. Ahora resulta que, mientras los desarrolladores dormían, su herramienta favorita de CI/CD estaba tomando el control de sus repositorios. Lo peor es que nadie pidió opinión a los usuarios: un día actualizas tu app y al siguiente te preguntas por qué tu teléfono insiste en minar criptomonedas. Menos mal que confiamos ciegamente en la automatización.