Una noche revuelta en Soto del Real Estamos a finales de octubre y las primeras mandarinas del economato vienen todavía prietas, con la piel verdosa pegada a la pulpa y un punto ácido. Koldo lleva un rato peleándose con ella. Ha tardado diez minutos en pelar la suya con las uñas, sacando la cáscara a tiras pequeñas y dejándolas sobre un Kleenex que había usado antes para sonarse los mocos. —¿Quieres un gajo? —me pregunta. —No, gracias. Empieza el programa y, tras unos chascarrillos de Broncano, aparece él. La tele es una Engel barata y le saca la piel ligeramente verdosa, aunque se le ve bien. Más delgado que la última vez que nos vimos. Yo también he perdido peso. Trae una caja enorme. Le regala a Broncano un tablero de ajedrez de cincuenta centímetros. «Es un juego que va de cargarse al rey», dicen entre risitas. No sé si lo ha elegido por algo, pero desde aquí parece un recado. Todos al servicio del rey. Y si para salvar a la reina hay que sacrificar un peón, se sacrifica. Entre los regalos y las bromas, Pedro explica que los informáticos de Moncloa le han dado un consejo para proteger el móvil: apagarlo cinco minutos al día. Koldo levanta la cabeza y presta atención. En septiembre se apuntó a un curso de informática de esos que ofrecen en la prisión. Hace ocho días vino el abogado con lo de la nulidad. Nos la han desestimado. Me explicó el amparo, los plazos, lo que quedaba por hacer. Yo le miraba una pelusa que llevaba en la manga de la chaqueta. Estuve a punto de quitársela, pero me pareció un gesto demasiado íntimo y me quedé con la mano sobre la mesa. Amparo. Tenía una tía que se llamaba así. De niño me pelaba la fruta y me decía que tragara con cuidado. Debería haberla escuchado mejor. La entrevista lleva un rato cuando Broncano pregunta por los errores y se hace el silencio en el teatro. Reconozco lo que hace Pedro antes de contestar. Ese pequeño movimiento hacia delante. La cara se le recoge un poco. Frunce el ceño y pone esa cara de viuda doliente bajo la lluvia. La primera vez que la vi la estaba ensayando frente al espejo durante las primarias de 2016. —Los casos de corrupción que he sufrido… «He sufrido». Me llevo la lengua a la muela de atrás, donde se me queda atrapada la comida. —…con José Luis Ábalos… Ahí estoy. Mi nombre sale del altavoz pequeño, atraviesa la celda y se queda entre los dos. Hacía mucho que no se lo oía decir. —…esa ha sido una decepción para mí doble. Aplausos. Broncano le pregunta que si no se olía nada. Que si nunca me vio mandar algún «gif guarrete» en el grupo de WhatsApp del ministerio. Pedro niega con la cabeza, compungido. Dice que no, que crees conocer a la gente y de repente se desvela una cara que te deja helado. Cierro los ojos un instante y espero el pinchazo en el pecho. Espero la bilis de otros meses, el impulso de gritarle al televisor que era él quien reenviaba los memes del negro de WhatsApp, que era él quien me mandó a la pista de Barajas para que no le salpicara la mierda de lo de Delcy. Pero no viene nada. El programa sigue. Habla de un revólver que le regaló Erdogan; dejan caer como quien no quiere la cosa que lo de Zapatero pinta feo. Ya ni a José Luis respeta. Por primera vez no veo a un amigo que me traicionó, sino a un pobre hombre atrapado en un barco que se hunde. Soltando lastre y tirando por la borda a todo el que alguna vez le sujetó la escalera con tal de seguir a flote unos momentos más. Me levanto y apago el televisor mientras Koldo se limita a llevarse el gajo a la boca. Miro los que le quedan en la mano. —Anda, dame uno. —Está ácida, jefe. —No importa. Me ofrece el más limpio. Me lo meto en la boca. Está ácido de cojones. —Venga, a dormir, que mañana nos despiertan a las 7. Me tumbo boca arriba y cierro los ojos. Se hace el silencio durante un minuto largo. De pronto, escucho a Koldo trastear entre las tripas de su colchón. Saca a tientas el Alcatel de contrabando que guardamos envuelto en un calcetín sucio para hablar con el abogado. —¿Qué haces, animal? —le susurro—. ¿Quieres que entren los funcionarios y nos la líen? En la oscuridad de la celda, la pantallita azul ilumina un segundo su cara de boxeador retirado antes de fundirse a negro con la musiquilla de apagado. —Tranquilo, jefe. —me dice guardándolo otra vez bajo la espuma del colchón— Solo lo estoy apagando cinco minutos, como ha dicho el míster. No vaya a ser que nos entre un virus de esos y nos jodan la vida.

💙🤍❤️ "Le chef-d'œuvre le plus abouti du capitalisme contemporain n'est ni l'iPhone, ni la start-up licorne, ni même le milliardaire visionnaire. Non. Son produit phare, son bijou anthropologique, sa plus belle réussite, c'est le pauvre de droite. Une véritable prouesse sociale, dépouillé matériellement, mais riche en certitudes contre ses propres intérêts. On l'a façonné avec soin. On lui a expliqué que ses problèmes venaient toujours d'en bas ou d'à côté, l'immigré, l'assisté, le fonctionnaire, le chômeur, jamais du haut. On lui a appris à hair l'impôt tout en survivant grâce aux services publics. À défendre les héritiers tout en n'ayant rien à transmettre. À applaudir ceux qui l'écrasent, pourvu qu'ils parlent fort et promettent l'ordre. Le pauvre de droite est une créature fascinante, il vote contre lui-même avec ferveur, persuadé qu'un jour, peut-être, il sera du bon côté de la barrière. Il confond la brutalité avec le courage, l'autoritarisme avec la protection, l'injustice avec le mérite. On lui vend la peur en kit, l'identité en solde, la colère en vrac par abonnement mensuel. À l'aube de ce monde nouveau, les monstres ne surgissent pas des marges : ils montent des urnes, des plateaux télé, des slogans simplistes. Ils prospèrent sur la misère organisée et la lucidité sabotée. Le capitalisme n'a pas seulement produit de la pauvreté ; il a réussi bien pire : la rendre docile, obéissante, hargneuse, et reconnaissante. Un chef-d'œuvre je vous dis !" Maximino Fernández

El historial de versiones del documento. 214 revisiones. Cuatro horas y media de escritura repartidas en tres días, con sus borrados, sus frases a medias y sus pausas. El profesor lo miró y me dijo que el sistema de detección es muy fiable. Le pregunté qué margen de error tiene. No lo sabía. Le pregunté quién había validado ese 97 %. Tampoco. No denuncié a nadie. Presenté la revisión de la calificación por escrito y adjunté el historial. Se la corrigieron a la semana siguiente. Lo que me preocupa no es el cero. Es que a mi hija le dijeron delante de la clase que había hecho trampas, y la prueba de que no era así la tenía yo en una pestaña del navegador. Están usando una máquina para acusar a adolescentes sin saber cómo funciona la máquina.

I'll be the first to admit I'm mediocre at exploit development, but I am in contact with enough extremely talented exploit developers to say this for certain: Anyone claiming they were "easily" able to generate a working php2shell exploit with AI is either: a) a world-class exploit developer with an extreme case of imposter syndrome. b) currently looking at some very confident-sounding but wrong LLM output. I'm rather certain it's the latter based on the number of AI-hallucinated exploits I've seen posted on GitHub. Threat actors are also blasting my honeypot network with "php2shell" exploits that not only don't work, but aren't even within 10,000 miles of anything to do with how the exploit actually works. I've seen the same technique from the attached image in multiple alleged "php2shell exploits", including one on GitHub with over 100 stars. Problem is, it's not php2shell, nor is it even a vulnerability at all. It's a technique known as "session poisoning", which can be leveraged to exploit local file inclusion (LFI) vulnerabilities in PHP apps (not PHP itself). The only thing it has in common with CVE-2026-109618/CVE-2026-109619 is they both use the "PHP_SESSION_UPLOAD_PROGRESS" feature. And mitigation advice for both issues reference setting "session.upload_progress.enabled" to "Off". People are shoving loose details of the vulnerability into LLMs, the LLMs are keying in on the "PHP_SESSION_UPLOAD_PROGRESS" string, then generating session poisoning code that has nothing to do with the actual CVE. And because the people doing this have absolutely no idea what they're doing, they're confident enough to post their "proof of concept exploit" to GitHub and share it on social media. So if you see people talking about "session poisoning + LFI" it's likely their LLM hallucinated an exploit based on a 2018 blog by Orange Tsai talking about a local file inclusion attack vector. What's even worse is that "security researchers" are then using LLMs to triage these exploitation attempts, falling victim to the same hallucinations, then confirming there is ongoing mass-exploitation (there currently isn't). The actual real exploit is very difficult to exploit, and so far I've not seen anyone successfully get it working on more than a handful of PHP version with highly-specific configurations. LLMs are useful tools in the hands of skilled professionals, but for others, they're often just a Dunning-Kruger accelerator.

Disponibilizar modelos sin censura para empresas bajo un acuerdo y dejando la responsabilidad legal clara es posible. Lo hacemos. Disponibilizarlos para el público general es muy complejo. Ya que por mucho que explícitamente delegues la responsabilidad al usuario y le obligues a aceptar ciertos términos y condiciones. Al menos en EU, la plataforma es responsable también de lo que ocurra en su sistema. Sé que la mayoría, espero, sois personas con dos dedos de frente y entendéis todas las cosas buenas que pueden aportar este tipo de modelos en especial en temas de ciberseguridad y en algunos campos de investigación. Sin embargo, el problema está en quien ya sea por desconocimiento de la legislación o por curiosidad mal encausada o por simple maldad podrían hacer con modelos sin censura. No creo ni que haga falta poner ejemplos. Es un tema interesante pero también bastante peliagudo para entrar en debate incluso. Ya que mientras más mejoren los modelos abiertos y estos además sean más pequeños y eficientes de correr. Más fácil será tener acceso a estos modelos. Es una bomba que tiene puesta la cuenta atrás. Toda esta oleada de vulnerabilidades, herramientas decompiladas, suplantaciones de identidad, falsificaciones…. son solo la punta del iceberg. - pero Cristian, esto ya existía antes de la IA. Si, pero es que antes hasta un script kiddie tenía algo de conocimiento para hacer cosas. Ahora estamos apunto de entrar en un momento donde -casi- cualquier fulano con un poco de mala baba va a tener un experto en muchas cosas a mano y sin ningún tipo de pudor ni moral. Vivo muy pegado a diferentes empresas de ciberseguridad de diferentes ámbitos y cada conversación que tengo con ellos me hace querer ponerme el gorrito de aluminio y desenchufarme de la red. Obviamente no es realista esto pero hay que ver la forma de fortalecer en general cualquier parte no solo de nuestras aplicaciones sino de toda la cadena. Empezando por las mismas personas. Y no hablo ya solo a nivel empresarial con trabajadores sino incluso personal con familia y amigos. Tiempos convulsos nos esperan.

El BOE del Kit Digital (@Redpuntoes) exigía 12 meses de hosting, SEO básico y 0 menciones a "seguridad". Hoy con #PHP2Shell hay ~115.500 webs sin parche cuyo consejo oficial es apagarlas @INCIBE 💀 yeswelab.com/experimentos/ph…

An unprecedented day in my history with PHP. Some bumps along the way, but really proud of the @laravel team for working through the night ensuring all of our products and customers had patches available to them and, when possible, applied automatically. Given the advancement of agents, it's quite possible this won't be the last time this happens, and it's likely PHP won't be the only language that goes through this. We built some solid muscle today to do even better next time. Onward. 🫡

❗️ php2shell is a very serious vulnerability affecting MOST OF THE WEB. Our GLM 5.3 Abliterated was able to reproduce the exact vulnerability in 30 minutes. While waiting the official PHP fix, we recommend to turn off session.upload_progress.enabled in the php.ini settings. Should help mitigate some of the dangers although not all.