CVE-2026-80521: escape de contenedor a root vía AF_UNIX sin parche
Introducción Un equipo de SRE despliega un microservicio en un pod de Kubernetes con seccomp en modo RuntimeDefault, cgroups limitados y namespaces de red y PID aislados. El pod no…
Elastic Beanstalk Cluster Mode: EKS compartido, costos ocultos y límites de aislamiento
Introducción Equipos que administran portfolios de diez, veinte o más aplicaciones internas enfrentan un dilema recurrente en AWS: operar un clúster EKS propio por aplicación escala en costos de control…
ChainScript RAT usa contratos Polygon para rotar C2 y evadir takedowns
Introducción El operador de ChainScript no necesita reconstruir ni redistribuir el binario del implant cuando los analistas bloquean una IP de comando y control. En su lugar, actualiza un smart…
Kubernetes 1.37 «Garhwal»: métricas estables, kubelet rootless y mTLS nativo
Introducción Un cluster de Kubernetes que corre kubelet como root en el host tiene, en el mejor de los casos, una barrera de contenedores entre un exploit en el espacio…
Lyft migró su flota de streaming a Apache Flink Kubernetes Operator
Introducción Cuando un equipo de streaming opera cientos de jobs de Apache Flink sobre Kubernetes con un operador artesanal, cada upgrade de Flink se convierte en una apuesta: si el…
Kubernetes v1.37: endurecimiento de volúmenes con bind mounts y permisos emptyDir
Introducción Un contenedor con readOnlyRootFilesystem: true puede parecer blindado, pero esa protección se evapora en el instante en que el pod monta un emptyDir sin flags de seguridad. El proceso…
Kubernetes v1.37: Memory QoS pasa a Beta y se activa por defecto
Introducción Un cluster de Kubernetes corriendo v1.36 en producción puede pasar a v1.37 sin que nadie toque un archivo de configuración, y sin embargo, el kubelet de cada nodo ahora…
Kubernetes v1.37: Native Histograms de métricas pasan a Beta
Introducción Si tenés un cluster de Kubernetes con Prometheus scrapeando métricas de latencia del API server, sabés exactamente cuál es el problema: cada componente emite una familia de series temporales…
Kubernetes v1.37: Preemption del Scheduler para In-Place Pod Resize
Introducción Cuando un Pod en ejecución solicita un incremento de CPU o memoria y el nodo no tiene headroom suficiente, el Kubelet marca la operación como Deferred y el Pod…
Kubernetes v1.37: Scheduling jerárquico y gang scheduling en Beta
Introducción Ejecutar un job de entrenamiento distribuido en Kubernetes siempre implicó un trade-off incómodo: o reservás recursos de forma estática (desperdiciando capacidad cuando el job no corre) o confiás en…