Noticias de KW49.2025 – 92 es la mitad de 99

PUBLICIDAD: "¡Tu presentación podría estar aquí!" ??

Artículo 1

Plex termina el acceso remoto gratuito: Qué cambia para los usuarios

A partir de esta semana, Plex está aplicando sus nuevas políticas que pondrán fin al acceso remoto gratuito a los servidores de medios personales.

Los cambios afectarán inicialmente a los usuarios de Roku antes de extenderse a todas las demás plataformas en 2026.

¿Qué está cambiando en términos concretos?

Anteriormente, los usuarios fuera de la red del propietario de un servidor podían acceder a su biblioteca multimedia de forma gratuita. Las nuevas reglas anunciadas en marzo Requiere el propietario del servidor Suscripción a Plex Pass (a partir de 7 dólares al mes), o los usuarios externos deben tener sus propios Pase de Plex O el más favorable Pase de reloj remoto (a partir de $ 2 por mes).

Las nuevas normas entraron oficialmente en vigor el 29 de abril. Según una publicación reciente en el foro de un empleado de Plex, la implementación comienza esta semana con la aplicación Roku OS. Todas las demás aplicaciones de Plex TV como Fire TV, Apple TV y Android TV, así como clientes de terceros, seguirán en 2026.

Antecedentes del cambio

Plex justificó las medidas con el aumento de los costos para el soporte de numerosos dispositivos y códecs. La compañía también planea financiar nuevas características, incluida la integración con Common Sense Media, una aplicación de administración de servidores mejorada y una API abierta para integraciones de servidores.

La compañía está bajo una creciente presión económica: En enero de 2024, según TechCrunch, Plex estaba cerca de la rentabilidad y recaudó $ 40 millones en fondos (después de ya $ 50 millones en 2021). Las nuevas obligaciones de suscripción tienen por objeto aumentar los ingresos y permitir a los inversores generar rendimientos.

Reacciones y alternativas

El desarrollo podría molestar a los usuarios de mucho tiempo que utilizan principalmente Plex como servidor de medios y no tienen interés en suscripciones, canales de transmisión o alquiler de películas. Curiosamente, Plex 2023 anunció que desde 2022, más personas han estado utilizando el servicio de transmisión en línea que las características del servidor de medios, una indicación de que la compañía ha cambiado sus prioridades.

Para los usuarios que buscan una solución centrada en el alojamiento de medios, las alternativas como jellyfin son cada vez más atractivas. Estos ofrecen características similares sin la creciente comercialización que Plex ha experimentado en los últimos años.

conclusión

Los cambios en Plex marcan otro paso en la transformación de la compañía de un proveedor de servidores de medios puros a un servicio de transmisión integral. Si esta estrategia funcionará a largo plazo dependerá de cuántos usuarios leales retenga la compañía o cuántos cambien a alternativas de código abierto.

Artículo 2

El historial médico electrónico (ePA): Entre la seguridad de los datos y la implementación irregular

El historial médico electrónico (ePA) ocupa un lugar central en la digitalización del sistema sanitario alemán. Promete una mejor visión general de su propio historial médico, tratamientos más eficientes y menos papeleo.

Pero si bien los beneficios son claros, los problemas Seguridad, vulnerabilidades de seguridad e introducción seguir planteando preguntas a los asegurados y a los prestadores de servicios.

Altos estándares de seguridad: El pilar de la ePA

La seguridad de los datos sanitarios sensibles en la ePA máxima prioridad. Los requisitos legales son estrictos y se han tomado amplias medidas para proteger los datos:

Cifrado: Todos los datos de la ePA se almacenan cifrados y la comunicación se cifra de extremo a extremo dentro de la Infraestructura telemática (IT), Una red cerrada y segura.
Almacenamiento descentralizado: Los datos se almacenan en servidores seguros en Centros de datos en Alemania, que se gestionan por cuenta de las cajas del seguro de enfermedad.
Acceso estrictamente regulado: Solo los propios asegurados o las personas autorizadas por ellos (por ejemplo, médicos, farmacéuticos) pueden ver el contenido. El Seguro de salud tener sin acceso sobre el contenido médico.
Registro: Cualquier acceso a la ePA será registrado Puede ser rastreado por el asegurado.
Procedimiento de exclusión voluntaria: Desde el inicio a nivel nacional, las personas legalmente aseguradas reciben automáticamente un ePA, pero pueden objeto en cualquier momento (exclusión voluntaria).

Vulnerabilidades: La prueba de dureza realizada por expertos en TI

A pesar de las altas precauciones de seguridad, hubo informes sobre Posibles lagunas de seguridad.

Crítica de CCC: Expertos en seguridad informática, como el Club de Computadoras del Caos (CCC), En varias ocasiones se han señalado deficiencias. Entre ellos figuraban, entre otros, los siguientes: Procesos de producción Tarjetas sanitarias y la posibilidad de utilizarlas en determinados escenarios Acceso no autorizado generar, por ejemplo, mediante certificados electrónicos sustitutivos.
Respuesta coherente: El responsable gemática (Agencia Nacional de Medicina Digital) reaccionó inmediatamente a esta información y declaró que había debilidades correspondientes. cerrado. Los ministros de Sanidad también reconocieron las lagunas poco después del lanzamiento, pero al mismo tiempo agradecieron a gematik la rápida respuesta.
Riesgo residual: Como con cualquier sistema digital, No 100% de seguridad garantizado. Los expertos advierten que además de los ataques directos a la ePA, el Sistemas de TI en consultorios y hospitales debe ser visto como un posible punto de ataque para la ruta más rápida a los datos del paciente.

Introducción de Holprige: Desafíos técnicos y organizativos

La introducción a nivel nacional de la ePA no estuvo exenta de obstáculos. La complejidad del proyecto y el gran número de actores involucrados llevaron a Problemas técnicos y organizativos:

Retrasos técnicos: Las fases de prueba se iniciaron varias veces por Problemas técnicos acompañado. Así, por ejemplo, las prácticas tenían que depender de actualizaciones mantener sus sistemas de gestión de la práctica. Además, la publicación de los archivos en algunas cajas registradoras se retrasó por Aprobaciones de BSI (Oficina Federal de Seguridad de la Información).
Falta de transparencia y comunicación: Los médicos, pero también las organizaciones de consumidores, criticaron el Falta de transparencia y comunicación Seguro de salud y gemática. Esto se refería principalmente a la información sobre el procedimiento de exclusión voluntaria y las solicitudes realmente disponibles desde el principio (por ejemplo, pasaporte de vacunación).
Obstáculos de usabilidad: Para los asegurados, el Acceso a la aplicación ePA Los requisitos de autenticación complejos (eGK, PIN, ID de salud) se perciben como complicados. Además, las personas sin un dispositivo terminal adecuado o con conocimientos técnicos insuficientes están excluidas del uso independiente.
Uso inicial: La aceptación es baja hasta ahora: Según los informes, en el pasado sólo uno pequeño porcentaje la aplicación ePA de la persona asegurada de forma regular.

A pesar de estos desafíos, la Agencia Digital está trabajando arduamente para abordar los problemas encontrados y mejorar continuamente la fiabilidad técnica de las ePA con el fin de aprovechar todo su potencial como el corazón digital de la asistencia sanitaria.

Este video muestra cómo se protegen los datos en el registro de salud electrónico:

Artículo 3

Nuevo registro DDoS: Aisuru botnet ataca a 29,7 terabits por segundo

La botnet Aisuru está creciendo rápidamente y estableciendo nuevos registros DDoS. Ahora, Cloudflare ha evitado un ataque a 29,7 terabits por segundo sin precedentes. Y la botnet se alquila, es decir, por unos pocos cientos de dólares, teóricamente cualquiera puede paralizar el Internet de regiones enteras.

El nuevo récord en números

Cloudflare en su informe trimestral para el tercer trimestre de 2025 Documenta un nuevo registro DDoS que la compañía afirma haber evitado con éxito:

29,7 terabits por segundo (Tbps) Tasa de datos
14,1 mil millones de paquetes por segundo (pps)

¿La fuente? Una vez más esto Botnet de Aisuru, que este año es responsable de numerosos ataques hipervolumétricos, lo que significa que son posibles ataques con tasas de datos de más de un Tbps y más de mil millones de pps.

La botnet está creciendo explosivamente

Cloudflare estima que el número de dispositivos infiltrados utilizados por Aisuru en todo el mundo es de alrededor de uno a cuatro millones. Para la comparación:

Microsoft registró recientemente un ataque con 15,72 Tbps de unos 500.000 dispositivos
Unas semanas antes, los investigadores habían atribuido un tamaño de unos 300.000 dispositivos a la botnet.

El crecimiento es masivo. Del segundo al tercer trimestre de 2025, la cantidad de ataques DDoS hipervolumétricos por parte de Aisuru aumentó en un enorme 54 por ciento. Solo en el tercer trimestre, hubo 1.304 ataques de este tipo. Desde principios de 2025, ha habido un total de 2.867.

Botnet-as-a-Service: La democratización del caos

Esto es lo que es realmente preocupante: Aisuru aparentemente se alquila al menos parcialmente. Cloudflare advierte:

«Potencialmente, cualquier nación entera puede hundirse en el caos cerrando las redes troncales y sobrecargando las conexiones a Internet, interrumpiendo a millones de usuarios e interrumpiendo el acceso a los servicios esenciales, todo por unos pocos cientos a unos pocos miles de dólares».

En otras palabras: Por el precio de un portátil usado, ahora puede comprar ataques masivos de infraestructura. Esto ya no es ciencia ficción, sino realidad.

Los ataques DDoS generalmente explotan

La botnet Aisuru Es sólo la punta del iceberg. Los totales son alarmantes:

Comparación interanual:

2023: 14 millones de ataques DDoS
2024: 21,3 millones de ataques DDoS
2025 (solo Q1-Q3): 36,2 millones de ataques DDoS, ya 70% ¡Más que en todo el año 2024!

Tercer trimestre de 2025:

8,3 millones de ataques DDoS
Esto es aproximadamente equivalente a 3.780 ataques de sobrecarga por hora
15% Crecimiento en comparación con el segundo trimestre

La tendencia es claramente al alza, tanto interanual como intertrimestral.

¿De dónde vinieron los ataques?

Los países con los ataques DDoS más observados son Indonesia, Tailandia, Bangladesh, Ecuador, Rusia y Vietnam.

¿Quién es atacado más a menudo?

Los principales objetivos de los atacantes son China, Turquía, Alemania (¡en 3er lugar!), Brasil, EE.UU. y Rusia

Sectores afectados:

Principalmente TI, telecomunicaciones, juegos de azar y juegos de azar

¿Qué significa esto para ti?

Si trabaja en una de las industrias afectadas u opera una infraestructura en línea crítica, debe revisar urgentemente sus protecciones DDoS. Los ataques no solo son cada vez más frecuentes, sino también más masivos.

Cloudflare tiene en una entrada de blog separada Los detalles sobre su estrategia de defensa definitivamente valen la pena leer si tiene que lidiar con el tema.

conclusión

La botnet de Aisuru muestra de manera impresionante hacia dónde va el viaje: Botnets cada vez más grandes, ataques cada vez más masivos, acceso cada vez más fácil para los atacantes. La combinación de rápido crecimiento y disponibilidad como servicio de alquiler hace de Aisuru una seria amenaza para la infraestructura crítica en todo el mundo.

Con 3.780 ataques por hora solo en Cloudflare, queda claro: Los ataques DDoS ya no son un fenómeno periférico, sino un problema masivo y creciente para Internet.

Artículo 4

Un tribunal suizo suspende la vigilancia masiva de los servicios de inteligencia

Un veredicto histórico de Suiza: El Tribunal Administrativo Federal ha declarado inconstitucional la vigilancia nacional por parte del Servicio Federal de Inteligencia (NDB). Activistas de derechos civiles se quejaron y lo hicieron bien.

¿Qué hace el servicio secreto suizo?

El NDB bucea todas las telecomunicaciones transfronterizas; En otras palabras, todas las llamadas, correos electrónicos y mensajes que cruzan la frontera suiza. Todo está automatizado: Se recopilan enormes flujos de datos y se buscan términos de búsqueda. Una vigilancia masiva clásica, como ya lo ha llamado el Tribunal Federal Suizo.

Oficialmente, se trata de «inteligencia estratégica de telecomunicaciones» para obtener información sobre acontecimientos relacionados con la seguridad en el extranjero. En la práctica, esto significa: búsqueda en red independiente de sospechas a gran escala. El NDB incluso ha reconocido esto.

¿Quién se quejó?

La asociación Digitale Gesellschaft y varios particulares, entre ellos periodistas y un abogado. Su argumento: El monitoreo no iniciado también recopila y posiblemente evalúa sus datos, y esto viola sus derechos fundamentales.

¿Qué dice la corte?

El Tribunal Administrativo Federal se posicionó claramente el 19 de noviembre: La práctica actual no es compatible con la Constitución Federal de Suiza ni con el Convenio Europeo de Derechos Humanos. La razón principal: No existe una protección adecuada contra los abusos.

Las críticas específicas:

Falta de control: No se garantiza que el NDB solo procese datos significativos y correctos.

No hay reglas especiales para la comunicación sensible: La ley no protege las fuentes periodísticas o las comunicaciones particularmente sensibles, como entre abogado y cliente.

Falta de supervisión: No existe un control suficientemente eficaz de la recopilación de información.

Ausencia de recursos efectivos: Los afectados no pueden defenderse eficazmente después.

El tribunal se guió por los estrictos requisitos del Tribunal Europeo de Derechos Humanos, que pidió salvaguardias de extremo a extremo contra el abuso en su fallo contra el Reino Unido (Big Brother Watch).

Período de gracia de cinco años

En realidad, el reconocimiento de radio y cable tendría que ser descontinuado inmediatamente. Sin embargo, el tribunal otorga generosamente a la legislatura cinco años para remediar las deficiencias. Exposición de motivos: La aclaración es importante para la recopilación de información del NDB, y ya está en marcha una revisión legal.

El anuncio claro: Si no se establece un estado legalmente compatible para 2030, se debe detener el monitoreo. La sentencia aún puede ser apelada ante el Tribunal Federal.

Activistas por los derechos civiles aplauden

La Sociedad Digital celebra el veredicto como una decisión histórica. Su opinión: La vigilancia masiva es una invasión tan grave de la libertad que tendría que detenerse de inmediato. Los errores legales son demasiado graves para mantener la práctica.

¿Y en Alemania?

¿Te resulta familiar la situación? No es de extrañar: El NDB suizo es más comparable a una combinación del Servicio Federal de Inteligencia alemán (BND) y la Oficina para la Protección de la Constitución (BfV).

En Alemania, el Tribunal Constitucional Federal también declaró inconstitucional la aspiradora de datos BND después de las revelaciones de Snowden. Sin embargo, el Bundestag consideró que la herramienta era indispensable y solo reformó las condiciones de uso. Como siempre, con algunas reglas nuevas.

Artículo 5

Vulnerabilidad crítica en la reacción (CVSS 10/10) Parche ahora!

Atención, todos los desarrolladores de React: Una vulnerabilidad crítica amenaza la biblioteca JavaScript y ciertas aplicaciones creadas con ella. Los atacantes pueden ejecutar código malicioso y hacerse cargo de los sistemas por completo. Las buenas noticias: Las actualizaciones de seguridad están disponibles. Los malos: Realmente deberías instalarlos de inmediato.

¿Qué tan crítica es la situación?

Muy crítico. La vulnerabilidad (CVE-2025-55182) tiene la puntuación CVSS 10 sobre 10, es decir, la calificación más alta. Por lo tanto, se clasifica como «crítico». Un investigador de seguridad ya ha denominado la brecha «React2Shell», aludiendo a la famosa brecha Log4j. Eso por sí solo demuestra lo serio que es el asunto. Según investigadores de seguridad de Wizz y Aikido la brecha se basa en una «desserialización incierta» en el protocolo de vuelo del marco de React.

¿Qué se ve afectado?

La brecha está en los componentes de React Server. En concreto, los siguientes componentes de las versiones 19.0, 19.1.0, 19.1.1 y 19.2.0 de React son vulnerables:

react-server-dom-webpack
react-server-dom-parcel
react-server-dom-turbopack

Atención: ¡Incluso las aplicaciones sin funciones de servidor están en riesgo!

Aquí es donde se pone realmente desagradable: Según los desarrolladores, es probable que las aplicaciones que no utilizan activamente las funciones del servidor React también sean vulnerables. Solo poder usarlos es suficiente para un ataque potencial. Esto significa: Incluso si no usa estas funciones, aún puede estar en riesgo.

Otros marcos afectados

Los siguientes frameworks y bundlers de React también son vulnerables:

siguiente
Enrutador de reacción
waku
@parcel/rsc
@vitejs/plugin-rsc
rwsdk

Para estos casos, los desarrolladores quieren entregar actualizaciones de seguridad. ¡Mantén los ojos abiertos!

Las versiones parcheadas

Los desarrolladores de React solucionaron el problema de seguridad en las siguientes versiones:

Reacciona 19.0.1
Reacciona 19.1.2
Reacción 19.2.1

Si está utilizando una de las versiones vulnerables, ¡actualice inmediatamente a la versión parcheada correspondiente!

¿Cómo funciona un ataque?

Los ataques son posibles de forma remota sin autenticación. Eso lo hace particularmente peligroso. En el desarrollo de aplicaciones, los atacantes pueden manipular las solicitudes HTTP en el contexto de la comunicación entre clientes y servidores y, en última instancia, ejecutar código malicioso.

Los detalles técnicos completos de la vulnerabilidad serán publicados por los desarrolladores en una fecha posterior. Probablemente esperen hasta que la mayoría de los sistemas estén parcheados.

¿Es inminente un ataque?

Esa es la gran pregunta. Un investigador de seguridad tiene Publicó un misterioso valor de hash en X/Twitter. La conexión a una prueba de concepto Exploit (PoC) es obvia, pero los investigadores de seguridad de Tenable dicen que actualmente no hay evidencia de un PoC funcional para instancias con configuraciones estándar.

No obstante: No confíes en él. Una vez que los detalles técnicos son públicos, los atacantes no tardarán mucho en desarrollar exploits de trabajo.

¿Qué tienes que hacer ahora?

Comprueba tu versión de React
¿Utiliza 19.0, 19.1.0, 19.1.1 o 19.2.0?

Actualizado inmediatamente a 19.0.1, 19.1.2 o 19.2.1

Comprueba tus frameworks
¿Utiliza el siguiente enrutador de reacción u otras herramientas afectadas?
Esperando las actualizaciones anunciadas

Informa a tu equipo
Asegúrese de que todos los desarrolladores lo sepan

Supervisa las alertas
Puede encontrar más información sobre el proceso de actualización en la advertencia oficial

conclusión

Con una puntuación CVSS de 10/10, esta no es una brecha que deba colocar en el banco largo. La combinación de gravedad crítica, falta de autenticación para los ataques y el hecho de que incluso las aplicaciones sin funciones activas del servidor pueden verse afectadas hace que el asunto sea explosivo.

Así que: ¡Paquetea ahora, no mañana!

Artículo 6

¡Ubuntu Pro ya está disponible para Windows! Enterprise Linux cumple con WSL

Canonical trae Ubuntu Pro al subsistema Windows para Linux (WSL). La versión Enterprise promete 15 años de actualizaciones y se puede administrar de forma centralizada a través de las herramientas de administración de Microsoft. Ahora está disponible en Microsoft Store.

¿Qué es Ubuntu Pro para WSL?

Ubuntu Pro es la versión empresarial de Ubuntu con todo lo que los departamentos de TI corporativos quieren: ciclos de mantenimiento más largos, soporte profesional y características de seguridad avanzadas. Ahora todo el asunto también está disponible para el subsistema de Windows para Linux.

Ahora puede instalar Ubuntu Pro desde Microsoft Store. Si estás interesado en la experimentación, también encontrarás versiones beta y el código fuente en GitHub.

15 años de actualizaciones de seguridad: Este es el trato

El corazón de Ubuntu Pro: Canonical promete hasta 15 años de parches de seguridad CVE para paquetes de repositorios de Ubuntu. Esto significa: Según el fabricante, su WSL se convierte en un software empresarial totalmente compatible, que también debe cumplir con estrictos requisitos de seguridad y cumplimiento.

El mantenimiento de seguridad ampliado (ESM) proporciona parches continuos para las vulnerabilidades de seguridad. No solo para el sistema operativo en sí, sino también para cadenas de herramientas de desarrolladores populares como Python, Go y Rust. Como administrador, puede controlar las actualizaciones de acuerdo con sus propias pautas.

¿Por qué es esto importante?

El subsistema de Windows para Linux es muy conveniente: Puede usar las herramientas de Linux de forma nativa en Windows sin tener que configurar máquinas virtuales o arranque dual. WSL 2 incluso ofrece un rendimiento de GPU casi nativo en cooperación con Nvidia, lo que significa que sus aplicaciones acceden directamente a los controladores de GPU del host de Windows.

Pero: Según Canonical, la falta de soporte empresarial ha sido un obstáculo para muchos departamentos de TI hasta el momento. Ubuntu Pro cambiará eso.

Administración central con paisaje

Particularmente interesante para clientes corporativos: Integración con Landscape, la herramienta de gestión de sistemas de Canonical para Ubuntu. La función de gestión WSL se encuentra actualmente en fase beta.

Como administrador, puede usarlo para monitorear todas las instancias de WSL que se implementan después de configurar Ubuntu Pro. El paisaje muestra qué hosts de Windows cumplen con las políticas de implementación y configuración de WSL y cuáles no.

Integración perfecta con Microsoft

Ubuntu Pro para WSL encaja perfectamente en las infraestructuras de Microsoft existentes:

Formato del paquete MSIX: Se adapta perfectamente a los flujos de trabajo de su empresa
Microsoft Intune: Instalación y configuración basadas en la nube
Directorio Activo: Gestión de políticas de grupo
Opción de alojamiento interno: Para empresas con estrictas reglas de firewall, puede alojar imágenes de Ubuntu internamente y administrarlas de forma centralizada

Apoyo y costes

Canonical ofrece varios modelos de soporte. La variante «Ubuntu Pro + Support» incluye soporte telefónico y de tickets si no puede seguir adelante.

Las Buenas Nuevas para los Usuarios Privados: Ubuntu Pro está disponible de forma gratuita. Las empresas pueden comprar suscripciones comerciales directamente de Canonical.

¿Para quién vale la pena?

Ubuntu Pro para WSL está dirigido principalmente a:

Desarrolladores en empresas, que quieren usar herramientas de Linux en Windows
Administradores de TI, que debe gestionar y proteger de forma centralizada las instancias de WSL
Empresas con estrictos requisitos de cumplimiento, que necesitan largos períodos de apoyo
Todos aquellos que confían en el rendimiento de la GPU Al mismo tiempo, quieren apoyo empresarial.

En resumen: Si utiliza WSL en un entorno profesional y valora la seguridad, el soporte y la gestión centralizada, Ubuntu Pro podría ser justo lo que necesita.

Artículo 7

Proxmox Datacenter Manager v 1.0 Finalmente gestión centralizada para su infraestructura Proxmox

Buenas noticias para todos los administradores de Proxmox: Proxmox Server Solutions GmbH Administrador del centro de datos 1.0 Esta es la primera versión de lanzamiento de una herramienta que muchos de ustedes han estado esperando. Con él, finalmente puede administrar todas sus instancias de entorno virtual (VE) de Proxmox, servidores de copia de seguridad, clústeres y nodos de forma centralizada a través de una sola consola web. ¡No más molestos saltos de ida y vuelta entre diferentes interfaces!

¿Qué hace el Datacenter Manager por usted?

En su esencia, es una cuestión de sinopsis consolidada Obtenga su infraestructura completa de Proxmox. El panel central le muestra de un vistazo el estado y el rendimiento de todos los sistemas conectados, incluidos los KPI importantes, como la CPU, la RAM y el uso de E/S de almacenamiento. Práctico: Gracias a la caché local, el último estado conocido permanece disponible sin conexión si algo no está disponible.

Son particularmente geniales Vistas personalizadas con RBAC: Puede crear paneles basados en roles que solo muestren sistemas o recursos específicos. Perfecto para entornos de múltiples inquilinos donde diferentes equipos deben tener diferentes áreas a la vista sin obtener acceso directo a los hosts subyacentes.

Gestión multicluster y migración en vivo

Un verdadero punto culminante es este Función de migración en vivo entre clústeres. Esto le permite mover máquinas virtuales entre diferentes clústeres sin tiempo de inactividad; súper conveniente para la distribución de carga o el trabajo de mantenimiento sin tiempo de inactividad.

La plataforma también trae Funciones SDN centralizadas con soporte de EVPN con. Puede configurar zonas EVPN y VNets a través de múltiples controles remotos en una interfaz, reduciendo significativamente la complejidad en entornos más grandes.

Además, deberá: Gestión centralizada de actualizaciones: Vea dónde están disponibles las actualizaciones de un vistazo y distribuya los parches para Proxmox VE y Backup Server directamente desde la consola central. Además: Acceso de shell unificado a todos los sistemas remotos desde una sola consola.

Base técnica: Debian 13.2 «Trixie»

Como de costumbre, Proxmox también instala Datacenter Manager 1.0 (y el servidor de copia de seguridad paralelo 4.1) Debian GNU/Linux «Trixie» 13.2 como fundación. A bordo: Linux kernel 6.17.2 y OpenZFS 2.3.4. Las actualizaciones se ejecutan convenientemente a través de la WebGUI o a través de apt en el terminal.

¡No olvides la seguridad!

Una nota importante: El Datacenter Manager es, por supuesto, un objetivo atractivo como punto de entrada central. Si esto se ve comprometido, no solo se verán afectados sus nodos y clústeres, sino también, en el peor de los casos, las copias de seguridad. Proxmox recomienda encarecidamente:

Bloquea el tráfico entrante innecesario a Datacenter Manager
Cifra las copias de seguridad incluso en el lado del cliente
Utiliza una VPN segura para acceder a través de redes inseguras

Las buenas noticias: El Administrador del centro de datos se pone en contacto con las instancias de VE y del servidor de copia de seguridad (no al revés). Esto hace que sea más fácil de asegurar. Proxmox también está trabajando en otras medidas de seguridad para futuras versiones.

En otras noticias: Proxmox Backup Server 4.1 también lanzado

Paralelamente, también hay una actualización para el Proxmox Backup Server versión 4.1. Las innovaciones más importantes:

Límites de ancho de banda basados en el usuario: Ahora puede ajustar qué usuarios o servicios obtienen más ancho de banda para copias de seguridad y restauraciones
Hilos configurables para verificación: Ajuste el número de hilos para lecturas y cálculo de suma de comprobación a su hardware, ya que esto acelera significativamente las verificaciones
Límites de ancho de banda S3: El soporte S3 introducido en la versión 4.0 se ha mejorado con limitación de ancho de banda, perfecto para entornos compartidos

Precios y disponibilidad

Como usted sabe de Proxmox, todo está bajo el GNU AGPLv3 y es utilizable de forma gratuita. Las descargas están disponibles gratuitamente. Si desea el repositorio empresarial y el soporte, paga 540 euros netos por año por el servidor de respaldo para el acceso repo, costos de soporte entre 1080 y 4320 euros por año, dependiendo del nivel.

Importante para el Administrador del centro de datos: Solo obtendrá acceso al repositorio y soporte de Enterprise si al menos el 80 por ciento de sus sistemas remotos configurados tienen una suscripción básica válida o superior.

conclusión: Con Datacenter Manager 1.0, Proxmox está dando un gran paso hacia la gestión lista para la empresa de infraestructuras más grandes. Si ejecuta varios clústeres de Proxmox, ¡debería revisar la herramienta!

Artículo 8

Windows 11 25H2: Microsoft lanza actualización automática para usuarios 24H2

Microsoft continúa girando en la rueda de despliegue: Desde anoche, la compañía ha estado distribuyendo Actualización de Windows 11 25H2 (también conocida como «Actualización 2025») ahora se conecta automáticamente a ordenadores que ejecutan Windows 11 24H2. Así que si usted es uno de los afectados, su PC podría querer actualizar a la nueva versión por sí mismo pronto.

¿Quién recibe la actualización automática?

En primer lugar, sólo el Ediciones Home y Pro de Windows 11 24H2, el no gestionado por un departamento de TI Estas son típicamente computadoras privadas y compañías más pequeñas sin administración centralizada. Microsoft utiliza un proceso de despliegue basado en el aprendizaje automático para la distribución, que comprueba si su dispositivo está «listo» para la actualización.

Las buenas noticias: No tienes que hacer nada activo. Microsoft escribe en las notas de salud de la versión de Windows que la actualización viene automáticamente si su sistema es elegible para ella. Sin embargo, puede configurar el tiempo de reinicio usted mismo o posponer la actualización por completo si no encaja.

Así es como controlas la actualización

Si desea controlar el despliegue automático, tiene varias opciones:

El tiempo de reinicio afecta: Configure su "Tiempo de uso" en la configuración de Windows. A continuación, Windows evita los reinicios durante estos tiempos.

Aplazar la actualización: Vaya a "Inicio" → "Configuración" → "Actualización de Windows" y use la opción "Actualizaciones de suspensión". Esto le permitirá retrasar la instalación.

Las primeras aves pueden actualizarse inmediatamente

Quién tiene la opción en la configuración de actualización de Windows «Recibir las últimas actualizaciones a medida que estén disponibles» activado, se vuelve aún más rápido. Para estos usuarios, la distribución también comienza en todos los dispositivos adecuados.

¿Quieres comprobar por ti mismo si el tuyo está listo? Simplemente vaya a "Configuración" → "Actualización de Windows" y haga clic en "Buscar actualizaciones". Cuando su computadora esté lista, verá la opción de descargar e instalar Windows 11 25H2.

Contexto: Los usuarios de 23H2 ya están en él

Para la clasificación: Hace unas tres semanas, Microsoft ya había anunciado la actualización automática de Windows 11 23H2 a 25H2 comenzó. Sin embargo, esto tenía un fondo diferente, porque la versión 23H2 ha llegado a su final de servicio y, por lo tanto, debe actualizarse.

Los usuarios de 24H2 ahora están preocupados por el despliegue «normal» de la nueva versión, no por una actualización forzada debido al final del soporte.

Artículo 9

Brecha crítica de Grafana con CVSS 10.0: Robo de identidad y derechos de administración posibles

Atención, todos los usuarios de Grafana Enterprise: ¡Hay una vulnerabilidad extremadamente crítica con la máxima puntuación CVSS posible de 10.0!

La vulnerabilidad CVE-2025-41115 permite a los atacantes secuestrar identidades de usuario e incluso obtener derechos de administración bajo ciertas condiciones. Grafana ya ha proporcionado actualizaciones, debe instalar esto lo antes posible.

Antecedentes: ¿Qué es Grafana?

Para aquellos que no conocen Grafana: Es una herramienta popular para visualizar y analizar datos. Esto le permite crear paneles interactivos, definir alarmas y monitorear toda su infraestructura y aplicaciones. Grafana está disponible como una versión de código abierto y como una versión empresarial con características mejoradas.

¿Cuál es el problema?

La brecha está en Grafana Enterprise en las versiones 12.0.0 a 12.2.1. Si ha habilitado SCIM (System for Cross-domain Identity Management), los atacantes pueden crear un usuario con un ID externo numérico. Grafana asigna incorrectamente este ID SCIM externo a un ID de usuario interno e interpreta los valores numéricos como ID de usuario interno.

En el peor de los casos, esto significa: Un atacante podría crear un nuevo usuario, que luego se trata como una cuenta interna existente -> incluyendo cuenta de administrador. El resultado: Robo de identidad, expansión de derechos y acceso completo a su instancia de Grafana.

¿Quién se ve afectado?

El punto débil solo te afecta si ambos se cumplen estas condiciones:

La bandera característica «habilitarSCIM» se establece en «verdadero»
La opción de configuración «user_sync_enabled» en el bloque «[auth.scim]» también se establece en «true»

Las buenas noticias: Si no usa SCIM, no es vulnerable. Y aún mejor: El La edición de código abierto Grafana OSS no se ve afectada. Ofertas gestionadas también Amazon Gestionó Grafana y Azure administrada Grafana ya están asegurados. Grafana ha coordinado directamente con AWS y Microsoft.

¿Qué tienes que hacer?

Grafana ha anunciado el Enterprise versión 12.3 Al mismo tiempo, se lanzaron tres versiones parcheadas:

Grafana Enterprise 12.2.1
Grafana Enterprise 12.1.3
Grafana Enterprise 12.0.6

Las tres versiones resuelven la vulnerabilidad crítica CVE-2025-41115. Si está utilizando una versión afectada y ha activado SCIM, debe inmediatamente Actualización a una de las versiones parcheadas.

La derivación de Sun-Tsu esta semana se ocupa de las vulnerabilidades.
«El lugar de menor preparación es la puerta de entrada del enemigo. Protege a los más débiles, porque ellos determinan la fuerza de tus muros».

Significado: Debilidades en el Cadena de suministro (Riesgo de terceros) y Usuarios finales (Ingeniería social, phishing) son los principales vectores de ataque y requieren el más alto nivel de atención.