Investigación de seguridad desde 2002
José Ramón Palanco
Fundador y CEO/CTO de Plexicus
Security Researcher
Más de 20 años en ciberseguridad: investigación ofensiva, reversing, inteligencia de amenazas y producto. Fundé Dinoflux (adquirida por Telefónica) y hoy dirijo Plexicus.
Fundador de Plexicus 
20+ años en ciberseguridad
2002 publicando desde
52 artículos en este blog
1 exit: Dinoflux → Telefónica
Trayectoria
Dos décadas rompiendo y construyendo
De los primeros artículos y CVE a fundar y vender una empresa de inteligencia de amenazas, y ahora Plexicus.
- 2002
Primeras publicaciones
TelefoníaPublica su primer artículo, sobre redes telefónicas; en 2003 le siguen WAP y la detección de sniffers.
- 2006–2007
Vulnerabilidades publicadas
Zyxel · D-Link · Mono · GForgeDescubre y publica CVE en routers, servidores web y plataformas de desarrollo.
- I+D
I+D en Ericsson y Optenet (Allot)
Ericsson · OptenetTrabaja en el departamento de I+D de Ericsson y en Optenet (Allot).
- 2011–2014
Drainware
Plataforma cloud DLPDesarrolla con su equipo una plataforma cloud de prevención de fuga de datos, liberada como open source en 2020.
- 2014
Funda Dinoflux
Inteligencia de amenazasCrea Dinoflux, que genera inteligencia a partir de malware y la distribuye a IDS, firewalls, IPS y SIEM.
- 2018
Adquisición por Telefónica
Telefónica · ElevenPathsTelefónica adquiere Dinoflux y José se incorpora a ElevenPaths, su unidad de ciberseguridad.
- Hoy
Fundador y CEO/CTO de Plexicus
Seguridad de aplicacionesFunda y dirige Plexicus, una empresa de seguridad de aplicaciones.
Charlas
En el escenario
Ponente en conferencias de seguridad como OWASP, RootedCON, ROOTCON, MALCON y FAQin.
“Seguridad OT”
Diapositivas → OWASPRootedCONROOTCONMALCONFAQinh-c0nAPIAddicts
Investigación
CVE y open source
Vulnerabilidades publicadas, herramientas open source y proyectos.
Vulnerabilidades publicadas
Herramientas y proyectos
ProtocolDetector Reticulum Neverwave Drainware attribution.id nmap-scada SCADA IDS EKanalyzer escan pma
¿Hablamos de seguridad?
Charlas, prensa o colaboraciones: escríbeme.
Blog
Ver todos los artículos Últimos artículos
Notas técnicas sobre DevSecOps, reversing, hardware y seguridad en la nube.
PHP2Shell: dos vulnerabilidades críticas de PHP ponen en riesgo a millones de sitios web
Dos fallos críticos de PHP, CVE-2026-109618 y CVE-2026-109619, permiten RCE sin autenticación. Versiones corregidas, mitigaciones y qué revisar.
Fortificando el Fuerte: Estrategias Defensivas en Kubernetes y Contenedores
Del RCE en un pod a producción: PSA restricted, RBAC sin escaladas, Secrets con KMS v2, NetworkPolicy default-deny, bloqueo del IMDS y Falco.
DevSecOps Práctico: Blindando la Cadena de Suministro en la Era de las SBOM
Pipeline en GitHub Actions: SBOM con Syft, gate con Grype, firma keyless y atestación con Cosign v3 y verificación en la admisión con Kyverno.
Tutorial Práctico: Fortificando el MLOPs – Construcción de un Pipeline de Machine Learning Seguro con DevSecOps
Pipeline de ML con datos validados y versionados en DVC, modelo en safetensors firmado con Sigstore y serving en Kubernetes con mínimo privilegio.
¿Quieres ser un DevSecOps? ¡Pues Necesitas Este Stack de Herramientas para Serlo!
Qué ejecutar en cada etapa del pipeline (secretos, SAST, SBOM, imagen, IaC, admisión, DAST, runtime), qué debe bloquear y un workflow mínimo.
¡Secuestro de Pipelines! Perspectiva Ofensiva en CI/CD y la Caza de Credenciales
Cómo se roban credenciales desde un runner de CI/CD y cómo cerrar la puerta con OIDC, pinning por SHA y verificación en admisión.
Los 7 Errores Críticos que Todo Ingeniero de DevSecOps Debe Evitar en su Pipeline
Siete fallos de pipeline y su corrección: Semgrep en la PR, gate de Snyk, CVSS con EPSS y KEV, Actions fijadas, gitleaks, OIDC y ZAP en staging.