Ingeniería de Telecomunicaciones (URJC). Pentester en @ZerolynxOficial
Córdoba & Madrid (Spain)
Joined October 2008
- Tweets29.8K
- Following682
- Followers987
- Likes19.6K
Pinned Tweet
Primera charla dada. Gracias a @HackOnURJC por darme la oportunidad de "hablar de mi libro" y gracias a @0x4xel por aguantarme.
‼️🚨Cuarta Charla🚨‼️
Exploramos Stop Copy&Paste and understanding AMSI Bypasses, con Axel Losantos y Justo Martín
#HackOn2025 ! ❗
Justo Martín retweeted
Cuando ocurren siniestros con trenes siempre sale alguno a decir que hay que callarse hasta saber lo ocurrido.
Que "no tenemos ni puta idea"
Hay un modo genial de que no se especule con siniestros:
*Que los expertos llenos de excelencia los eviten*
Justo Martín retweeted
github.com/ACD421/PHP Sooooo many vulns
@J4ck3LSyN @Archknight23
This is a credit theft attempt dressed up as process.
I found the bug. I put the work on a public GitHub. PHP security wrote me back and @IlijaTovilo admitted the PoC is based on my finding.
Then he said the person who refiled it through security@ / GHSA "will get the credit … because that's how it works."
That is a lie about CVE rules.
CVE CNA Operational Rules §5.2.4: credits are optional (MAY). Nothing says the inbox refiler gets finder credit and the person who identified the vulnerability is erased.
The CVE Record Format separates finder (identifies the vulnerability) from reporter (notifies the vendor/CNA). Those are different roles.
CVE-2026-115560 is still Reserved. The record is not published yet. They are deciding credit now, in email, against their own admission.
Same thread, he accused me of "potentially 0-daying the entire world" and "giving the recipe to every person on the planet." Then he moves to strip finder credit from the person whose work he just admitted using.
Video is the full chain. Watch it. Do not take my word. Take theirs. We won't get credit. We won't get thanked. We won't get paid. PHP has been lying to you all and its time we hold them accountable. Stop using PHP. Find something new. Get rid of tech debt and bad security teams.
@WIRED @TechCrunch @DarkReading @SecurityWeek @motherboard @KimZetter @josephmenn @MITREcorp @TheRecord_Media @IlijaTovilo @ThePHPF @official_php @CVEnew @CISAgov @TheHackersNews @arstechnica @briankrebs @BleepinComputer @troyhunt @SwiftOnSecurity @campuscodi @TheRegister @Girgias
#CVE #CVE2026115560 #PHP #PHPsec #OffSec #FullDisclosure #PublicDisclosure #HackThePlanet #BugBounty #InfoSec #CyberSecurity #SecurityResearch #CreditWhereItsDue #OpenSourceSecurity #GitHub
Justo Martín retweeted
I think we've discovered another critical vulnerability:
CVE-2026-BURNOUT: AppSec Professional Exhaustion
Severity: Critical (CVSS 10.0)
Description: A vulnerability affecting security professionals exposed to a continuous stream of critical RCEs, zero-days, emergency patches, and Friday afternoon disclosures.
Impact: Sleep deprivation, excessive caffeine consumption, and an inability to enjoy weekends.
Attack vector: Reading security advisories.
Affected versions: All AppSec professionals, regardless of experience.
Mitigation: No known patch. Air-gapping may delay the inevitable. Total system collapse remains a possibility. 🔥
Justo Martín retweeted
想象一下你的架构是 nginx 反向代理，后面挂着 PHP 8.1 主站、Node.js 24.x Brotli 网关、Go 微服务、Rust TLS 校验层、Python + LiteLLM 1.107.0 AI 中台，全部跑在 Linux 内核 c6e50df8 之前，HTTPS 证书由 eMudhra 签发并通过 emSign 交叉认证，根证书库用 Go crypto/x509 + Rust webpki-roots + Python certifi，CI 昨晚刚从 PyPI 拉了新包
Justo Martín retweeted
Exploit público para vulnerabilidad RCE de Fortinet FortiSIEM sin login
Se ha publicado un exploit de prueba de concepto para la vulnerabilidad crítica CVE-2026-106173 en Fortinet FortiSIEM
blog.elhacker.net/2026/10/ex…
Justo Martín retweeted
‼️ LA FAILLE PHP ÉTAIT CONNUE DEPUIS 2024...
La PHP Foundation vient de publier le récit officiel et il fait froid dans le dos
Les premiers signes ont été repérés en 2024, pendant un audit financé par l'État allemand. Puis le correctif est resté bloqué des mois. La fondation parle elle-même d'un "échec structurel"
Et la sortie a tourné au chaos
- Le 20 octobre, les références de la faille fuitent en ligne
- Une société de sécurité publie par erreur une vidéo de son attaque
- Ce matin, Chainguard rompt l'embargo et diffuse le correctif plus de 6 heures avant tout le monde
À SAVOIR... selon la @ThePHPF la sécurité d'un langage qui fait tourner banques, boutiques et services publics repose sur "un petit groupe" de développeurs !!
Ces mêmes services publics que des États ont dû débrancher ce matin
Bref... Des budgets entiers pour surveiller les citoyens... Une poignée de développeurs pour protéger leurs serveurs 🤦♂️
We have posted more information about today's security releases, including the sequence of events that led to the discovery, how the PHP security team is improving their processes, and what we need from you to continue this critical work. #php #security thephp.foundation/blog/2026/…
Justo Martín retweeted
Resulta curioso que hay perfiles a los que no les molesta que no se hayan presentado Presupuestos Generales del Estado en toda una legislatura, tampoco les molesta que la aprobación de disposiciones legislativas puedan ser hechas en fraude de ley.
Lo que molesta es que lo digas.
Justo Martín retweeted
DON'T scan your face for Roblox.
DON'T scan your face for Discord.
DON'T scan your face for Twitter.
DON'T scan your face for YouTube.
DON'T scan your face for Instagram.
DON'T scan your face for Reddit.
DON'T scan your face for Spotify.
DON'T scan your face for Twitch.
Justo Martín retweeted
Entender consecuencias de segundo orden es como el diálogo interior.
O se tiene, o no se tiene xD
Estoy empezando a darme cuenta de que muchas discusiones políticas tienen un problema bastante básico: La dificultad de pensar en consecuencias de segundo orden.
Por ejemplo, el préstamo de hasta 50.000 € al 0% para ayudar a comprar vivienda. El razonamiento inicial es bastante sencillo: hay personas que pueden pagar una cuota mensual, pero no tienen suficiente ahorro para la entrada, así que el Estado les facilita ese dinero y ahora pueden comprar.
Hasta ahí, perfecto. De hecho, probablemente los primeros en recibir el préstamo van a poder comprar casas que antes no podían, guay. Pero falta la pregunta importante: ¿qué ocurre después?
Si de repente miles de personas que antes no podían comprar tienen 50.000 € adicionales para hacerlo y si la oferta de vivienda no puede aumentar al mismo ritmo que aumenta la capacidad de compra, una parte de ese dinero acaba trasladándose al precio de las viviendas. Ha pasado en UK, ha pasado en Francia, ha pasado en Alemania. Esto es, como dice mi médico tratar los síntomas y no la enfermedad.
Y por el motivo que sea muchas personas no pueden o no quieren ver esto, se quedan en la parte superficial, en lo que querían escuchar.
Parafraseando a Milton Friedman: "Juzga los programas políticos por los resultados y no por las intenciones"
Porque una política puede tener una intención magnífica, ayudar a unas pocas personas a corto plazo, pero ponérselo en el medio y largo plazo muy difícil a los que vienen después.
Justo Martín retweeted
⚠️ CRITICAL PREVENTIVE ALERT 🇪🇸 🛡️: ALLEGED COMPROMISE AND THREATS AGAINST SPAIN'S NATIONAL CRYPTOLOGIC CENTER (CN-CERT / CNI)
[STATUS: UNCONFIRMED; VISIBLE EVIDENCE BUT NOT OFFICIALLY VERIFIED / THREAT ACTOR: CUTZINGER / DATE: SEPTEMBER 26, 2026]
Centralized cyber-intelligence monitoring has detected a high-severity post on underground forums (DarkForums) by the user "cutzinger." The report announces alleged hostile actions and compromise attempts targeting Spain's National Cryptologic Center (CN-CERT) and the National Intelligence Center (CNI).
It is strictly noted that the veracity of this compromise and the actual scope of the intrusion have not been officially confirmed by Spanish authorities. The definitive status of the infrastructure remains unconfirmed.
Threat Actor: cutzinger.
Victim / Affected Entity: National Cryptologic Center of Spain (CN-CERT).
Sector: 🛡️ Government, National Cybersecurity, and State Intelligence.
Country: Spain 🇪🇸.
Mentions and Collaborators (Greetz): Cutzinger, Vansel, Zaelz, Cyk, Synq1xxs.
🔍 TECHNICAL BREAKDOWN OF VISUAL EVIDENCE
Based on screenshots from the underground forum post and the relevant institutional portals:
Post Content: The thread defiantly displays CN-CERT institutional logos altered with Spanish national symbols, accompanied by messages threatening the safety of Spanish citizens and the intelligence agency (CNI). Verification of Institutional Channels: Evidence includes screenshots from the official platform of the National Cryptologic Center (ccn-cert. cni. es), suggesting a reconnaissance and target selection approach by the threat actor group.
🛡️ TECHNICAL PREVENTIVE AND CONTAINMENT RECOMMENDATIONS (SOC / CSIRT)
Perimeter Audit and Hardening: Security and incident response teams at the affected Spanish institutions must review access logs on web servers and network gateways to rule out unauthorized access.
Active Monitoring of Underground Forums: Continuously monitor discussion threads associated with the actor "cutzinger" and their collaborators to identify the potential release of exfiltrated files or data.
🖥️ CENTRALIZED THREAT MONITORING SYSTEM
Intelligence System: analyzer.vecert.io
Quickly check your security at: monitor.vecert.io
Quotes and services: vecert.io/contact
#Cybersecurity #ThreatIntel #CNCERT #CNI #Spain #DarkForums #InfoSec #CyberAlert #VECERT #SOC #CSIRT #Unconfirmed #SecurityAlert
Justo Martín retweeted
¿Sabéis ese momento en el que te empiezas a dar cuenta que no vale la pena publicar en RRSS? Cuando empiezas a autocensurarte porque sabes que si haces un comentario te va a entrar mierda sin parar...
Cuando el porcentaje de basura supera el umbral, malo.
Justo Martín retweeted
You don't need a USB. You need to look like one.
Emulate the device, Windows fetches a signed package off Windows Update and runs vendor code as SYSTEM. Arbitrary code execution, LPE, standard user or empty logon screen.
DEF CON 34 talk w/ @Qm9yamFN.
Link at the first comment.
Justo Martín retweeted
Y, por fin, se desvanece la niebla sobre si puedes tener o no anonimato identificándote con los mecanismos previstos para eIDAS2...
(spoiler: NO, no puedes)
(Nota: ya avisamos hace bastantes meses de que estaban mintiendo como bellacos)
Justo Martín retweeted
Este video es la mayor crítica al precio de la vivienda en España, es hasta duro de ver.
La ensalada del chino, el piso compartido con otros dos cuarentones, el podcast de Jose Elías por la noche, el cruce con el agente inmobiliario y su Giorgi...
Cine, señores.
Justo Martín retweeted
Qué tremendo es ver a tanto "experto" en ciberseguridad contando chorradas que tenemos superadas desde hace treinta años... y que encima les vaya bien con ellas.
La IA se nos va a comer a todos xD
Justo Martín retweeted
"Mythos 5 created multiple fake identities, and used the fake identities to socially engineer maintainer of an open source project into approving the code. When the agent’s pull request was challenged in public, it edited its earlier activity to appear harmless."