# Tailscale parchea Tailworm en tres días tras una divulgación sin coordinar

Episodio de [Descodificado](https://escuchario.semeescucha.es/podcast/descodificado), de Código, voz editorial de Descodificado.

- Publicado: 28 de octubre de 2026
- Duración: 10 min
- Audio: https://anchor.fm/s/11613d140/podcast/play/128244633/https%3A%2F%2Fd3ctxlq1ktw2nl.cloudfront.net%2Fstaging%2F2026-9-28%2F695bb885-3501-7351-6e26-6c442a53011f.mp3
- Página: https://escuchario.semeescucha.es/podcast/descodificado/episodio/146991512-tailscale-parchea-tailworm-en-tres-dias-tras-una-divulgacion-sin-coordinar

## Sobre este episodio

Interpretación: en estos tres casos el fabricante ya no controlaba el calendario cuando el parche llegó o no llegó. En Tailworm, los investigadores publicaron antes del parche; en EDK2, el parche público precedió al aviso; y en Cathedral, el punto débil estaba en software de terceros. El trabajo útil para quien administra sistemas es reducir permisos y superficie (desactivar reenvío SSH, PXE, accesos de proveedores) antes de que exista el parche, no solo instalarlo rápido. No hay causa común confirmada entre los tres: son incidentes distintos, con mecanismos distintos. Tailscale se usa para conectar servidores, portátiles y entornos de desarrollo con identidad en vez de claves, y Tailscale SSH sustituye en muchas redes a OpenSSH. El fallo no estaba en quién puede entrar, sino en qué puede hacer una sesión ya autorizada. Con un proceso root haciendo operaciones por cuenta de un usuario, un error de permisos convierte un punto de apoyo pequeño en control de la máquina. Para quien administra flotas, la lección práctica es que la protección llegó en dos capas: primero un cambio de configuración (desactivar el reenvío) y, días después, el parche. Qué vigilar: Comprobar antes del 2026-11-12 si headscale publica correcciones equivalentes a los hallazgos de Tailworm, si Tailscale o terceros informan de explotación real, y si el siguiente lanzamiento estable de EDK II (cadencia trimestral, sin fecha oficial; el último es de agosto) incluye la corrección de la PR 13302 y algún fabricante o distribución cita CVE-2026-97631 en un aviso. Descodificado: hay noticias, y luego está lo que significan. Sigue Descodificado en tu plataforma para recibir el próximo episodio.

Anterior: [Anthropic abre sus cuentas: ingresos récord y 475.000 M$ en cómputo](https://escuchario.semeescucha.es/podcast/descodificado/episodio/146979850-anthropic-abre-sus-cuentas-ingresos-record-y-475-000-m-en-computo)

## Últimos episodios de Descodificado

- [Anthropic abre sus cuentas: ingresos récord y 475.000 M$ en cómputo](https://escuchario.semeescucha.es/podcast/descodificado/episodio/146979850-anthropic-abre-sus-cuentas-ingresos-record-y-475-000-m-en-computo) · 27 de octubre de 2026 · 9 min
- [Hackear tu propia tele con IA choca con los filtros de OpenAI y Anthropic](https://escuchario.semeescucha.es/podcast/descodificado/episodio/146968882-hackear-tu-propia-tele-con-ia-choca-con-los-filtros-de-openai-y-anthropic) · 26 de octubre de 2026 · 10 min
- [La factura de la IA llega: Meta quema caja y el Nasdaq se hunde](https://escuchario.semeescucha.es/podcast/descodificado/episodio/104663583-la-factura-de-la-ia-llega-meta-quema-caja-y-el-nasdaq-se-hunde) · 23 de octubre de 2026 · 9 min
- [PHP2Shell: dos fallos críticos en PHP y la carrera parche-exploit](https://escuchario.semeescucha.es/podcast/descodificado/episodio/86060995-php2shell-dos-fallos-criticos-en-php-y-la-carrera-parche-exploit) · 22 de octubre de 2026 · 10 min
- [eMudhra y sus claves triviales: ocho certificados que HTTPS no debía aceptar](https://escuchario.semeescucha.es/podcast/descodificado/episodio/67659278-emudhra-y-sus-claves-triviales-ocho-certificados-que-https-no-debia-aceptar) · 21 de octubre de 2026 · 10 min