Pinned Tweet
working in cybersecurity nowadays:
> wake up
> read "new critical vuln just dropped"
> summon dev and SRE in the incident channel
> patch, scan, rotate secrets, redeploy
> check logs to make sure you are not already cooked
> take a deep breath and go to sleep
> wake up
> read "new critical vuln just dropped"...
WELCOME TO THE AI ERA
> wake up
> read "new critical vuln just dropped"
> summon dev and SRE in the incident channel
> patch, scan, rotate secrets, redeploy
> check logs to make sure you are not already cooked
> take a deep breath and go to sleep
> wake up
> read "new critical vuln just dropped"...
WELCOME TO THE AI ERA
Introducing nginx-poolslip, a fresh RCE for the the latest nginx release 1.31.0.
nginx-rift has been patched, but our security agent Vega has found a new 0 day.
We will release the full technical writeup with ASLR bypass 30 days after the patch on nebusec.ai.
21
211
2,345
161,567
Daniel Púa retweeted
human-in-the-loop
└ human-on-the-loop
└ human-near-the-loop
└ human-cc'd-on-the-loop
└ human-legally-liable-for-the-loop
└ human-on-the-loop
└ human-near-the-loop
└ human-cc'd-on-the-loop
└ human-legally-liable-for-the-loop
123
723
8,959
261,401
Me encanta que en USA te vengan las kcal e incluso los gramos de proteína. Esto no estaría mal ponerlo también en España 🙄
1
0
1
407
Thanks @element_hq for adding me to your Security Hall of Fame 💚
Found a way to create files at arbitrary paths in Element Android (matrix-android-sdk2).
CVE-2026-93406 / GHSA-fr74-76wm-x6pp
Advisory: github.com/matrix-org/mat…
Hall of Fame: element.io/en/security/se…
Found a way to create files at arbitrary paths in Element Android (matrix-android-sdk2).
CVE-2026-93406 / GHSA-fr74-76wm-x6pp
Advisory: github.com/matrix-org/mat…
Hall of Fame: element.io/en/security/se…
1
1
8
637
Daniel Púa retweeted
The danger of HTTP2Shell is very real. The libbrotli 🥦vulnerability affects a wide range of software, patch now (CVE-2026-111497)
We've achieved unauth RCE in Docker's official WordPress image abusing the well known /xmlrpc.php endpoint, we call it the pingback of hell :)
We've achieved unauth RCE in Docker's official WordPress image abusing the well known /xmlrpc.php endpoint, we call it the pingback of hell :)
16
107
621
68,978
PHP2Shell update 🚀
13 → 56 perfiles.
5 → 30 con RCE.
Gracias a las aportaciones de la comunidad por ampliar la colección. Nuevos: stage-3 vessel 8.5.0–8.5.10, Debian 13/apxs2 y nginx+PHP-FPM.
github.com/devploit/php2s…
13 → 56 perfiles.
5 → 30 con RCE.
Gracias a las aportaciones de la comunidad por ampliar la colección. Nuevos: stage-3 vessel 8.5.0–8.5.10, Debian 13/apxs2 y nginx+PHP-FPM.
github.com/devploit/php2s…
6
95
469
26,044
Daniel Púa retweeted
[⚙️] github.com/9bie/php2shell…
[⚙️] github.com/devploit/php2s…
the closest things we've got to a PoC right now [// not total AI slop + malware-free, wow]; both are nice research material to play around with!
[⚙️] github.com/devploit/php2s…
the closest things we've got to a PoC right now [// not total AI slop + malware-free, wow]; both are nice research material to play around with!
0
1
4
220
Grand Theft Autotype 🔊
Introducing CVE-2026-106378: Chrome GPU Sandbox Escape to full Remote Command Execution using synthetic keyboard injection
By combining it with common GPU bugs, it becomes a full chain. Binance DevOps was most likely pwnd with a zeroday chain affecting the browser 😬
0
1
8
1,060
Daniel Púa retweeted
me a month ago: bro using public wifis is completely fine in 2026, everything uses TLS, stop being paranoid
eMudhra: 4
me: well,
eMudhra: 4
me: well,
18
175
4,709
94,508
Daniel Púa retweeted
I forgot how addictive vulnerability research can be. And combining it with LLMs is such an insane dopamine lever.
Somebody send help, please 🫣
Somebody send help, please 🫣
11
7
165
8,482
Thanks @TenableSecurity for the mention! They used my php2shell PoC to reproduce CVE-2026-109618/109619 on several PHP 8.4/8.5 setups and wrote up why the exploit is so build-dependent: heap offsets, worker reuse, and why version checks lie. Great read.
tenable.com/blog/php2shell…
tenable.com/blog/php2shell…
4
28
131
6,218
La semana que viene cierro una etapa: dejo Málaga y me mudo a San Francisco.
Sigo siendo Head of Security en @magnific, solo cambia la oficina (y el huso horario).
Málaga, te voy a echar de menos. SF, a ver qué me tienes preparado.
Sigo siendo Head of Security en @magnific, solo cambia la oficina (y el huso horario).
Málaga, te voy a echar de menos. SF, a ver qué me tienes preparado.
13
0
85
5,305
Daniel Púa retweeted
me uno a los que reescriben autofirma. Aquí tenéis una versión en línea de comandos. Especialmente útil si lo usas como skill en Claude / Chatgpt, solo le tienes que dar el pdf y le pides que te lo firme. Encuentra dónde poner la firma visible automáticamente github.com/e98cuenc/firma…
8
13
135
8,119
Daniel Púa retweeted
PHP2Shell: toolkit de investigación para CVE-2026-109618/109619. RCE pre-auth en session.upload_progress de PHP (mod_php).
5 builds verificados · 13 perfiles · labs · calibración · detección.
Solo testing autorizado.
github.com/devploit/php2s…
5 builds verificados · 13 perfiles · labs · calibración · detección.
Solo testing autorizado.
github.com/devploit/php2s…
1
12
44
5,722
PHP2Shell: toolkit de investigación para CVE-2026-109618/109619. RCE pre-auth en session.upload_progress de PHP (mod_php).
5 builds verificados · 13 perfiles · labs · calibración · detección.
Solo testing autorizado.
github.com/devploit/php2s…
5 builds verificados · 13 perfiles · labs · calibración · detección.
Solo testing autorizado.
github.com/devploit/php2s…
1
12
44
5,722
Sigo esperando a que en los aeropuertos pongan una cola para viajeros asiduos y otra para personas que nacieron ayer. Gracias.
0
0
2
386
El año pasado quedamos 29 de 34. Este año, 39 de 42.
Quizá va siendo hora de dejar de encargar el entrenamiento del equipo a macroempresas o al influencer de turno, y de empezar a elegir a los participantes con criterios claros y a preparar la competición en serio, no un mes antes. Si queréis buenos resultados, tenéis que dejar de depender del talento individual que os carrileó años atrás y empezar a competir de verdad. ¿No habéis aprendido nada de cómo lo hacen otros países?
Un poco de amor propio, por favor.
Quizá va siendo hora de dejar de encargar el entrenamiento del equipo a macroempresas o al influencer de turno, y de empezar a elegir a los participantes con criterios claros y a preparar la competición en serio, no un mes antes. Si queréis buenos resultados, tenéis que dejar de depender del talento individual que os carrileó años atrás y empezar a competir de verdad. ¿No habéis aprendido nada de cómo lo hacen otros países?
Un poco de amor propio, por favor.
🏁 Finaliza la participación de la Selección Española en el #ECSC2026.
Gracias a los diez integrantes por su esfuerzo, dedicación y compromiso durante toda la competición, y por representar a España en #Bochum . 🇪🇸
9
24
102
5,003