Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
La plataforma de seguridad email FortiMail de Fortinet tiene un zero-day crítico CVSS 9.8 — CVE-2026-104286 — que permite escritura remota de archivos sin autenticación. CISA lo añadió a KEV el 1 de octubre con explotación activa confirmada y plazo federal de remediación hoy. Qué hacer ahora.
Un agente de IA autónomo encadenó dos cero-days de Zammad para comprometer al propio Instituto Holandés de Divulgación de Vulnerabilidades, alcanzando root en segundos y exfiltrando datos. Así funciona exactamente la cadena y qué debe hacer tu equipo esta semana.
El nuevo modelo fronterizo de Google, Gemini 4 Argon, se despliega entre defensores cibernéticos de confianza mediante el Fairwind Program, con una versión sin barreras en preparación. Ya encontró una vulnerabilidad crítica desconocida en software de salud usado por hospitales de todo el mundo.
Visa liberó como código abierto su Vulnerability Agentic Harness tras pruebas de estrés con IA (Claude Mythos de Anthropic) que revelaron más de 10.000 vulnerabilidades altas y críticas en un mes. El framework de cuatro fases automatiza descubrimiento, triaje, remediación y validación.
Dos RCE críticos de Citrix NetScaler fueron explotados activamente antes del bulletin de Citrix del 27 de septiembre. Esto es lo que realmente hacen CVE-2026-88771 y CVE-2026-88772, las builds corregidas y por qué la forense debe ir antes que el parcheo.
Microsoft confirmó que atacantes están explotando activamente CVE-2026-65660, una falla de ejecución remota de código en SharePoint Server que se combina con configuraciones de acceso anónimo para instalar web shells. CISA la agregó a KEV el 25 de septiembre y las agencias federales deben parchear antes del 28. Aquí está el patrón de explotación y una checklist de defensa priorizada.
El plugin virtuser_query de Roundcube Webmail contiene CVE-2026-48842, una inyección SQL previa a la autenticación corregida en mayo de 2026. El 24 de septiembre, el Centro Canadiense de Ciberseguridad confirmó su explotación activa, y cualquier servidor de webmail sin parchear es una puerta abierta a la base de datos que tiene detrás.
F5 ha confirmado la explotación activa de CVE-2026-94127, un desbordamiento de búfer de tipo heap con CVSS 9.8 en BIG-IP APM cuando funciona como servidor de autorización OAuth. La falla vive en el plano de datos, así que restringir la interfaz de gestión no sirve de nada, y el modo Appliance también es vulnerable. CISA dio a las agencias federales tres días para actuar.
La plataforma de seguridad email FortiMail de Fortinet tiene un zero-day crítico CVSS 9.8 — CVE-2026-104286 — que permite escritura remota de archivos sin autenticación. CISA lo añadió a KEV el 1 de octubre con explotación activa confirmada y plazo federal de remediación hoy. Qué hacer ahora.
Un agente de IA autónomo encadenó dos cero-days de Zammad para comprometer al propio Instituto Holandés de Divulgación de Vulnerabilidades, alcanzando root en segundos y exfiltrando datos. Así funciona exactamente la cadena y qué debe hacer tu equipo esta semana.
El nuevo modelo fronterizo de Google, Gemini 4 Argon, se despliega entre defensores cibernéticos de confianza mediante el Fairwind Program, con una versión sin barreras en preparación. Ya encontró una vulnerabilidad crítica desconocida en software de salud usado por hospitales de todo el mundo.
Visa liberó como código abierto su Vulnerability Agentic Harness tras pruebas de estrés con IA (Claude Mythos de Anthropic) que revelaron más de 10.000 vulnerabilidades altas y críticas en un mes. El framework de cuatro fases automatiza descubrimiento, triaje, remediación y validación.
Dos RCE críticos de Citrix NetScaler fueron explotados activamente antes del bulletin de Citrix del 27 de septiembre. Esto es lo que realmente hacen CVE-2026-88771 y CVE-2026-88772, las builds corregidas y por qué la forense debe ir antes que el parcheo.
Microsoft confirmó que atacantes están explotando activamente CVE-2026-65660, una falla de ejecución remota de código en SharePoint Server que se combina con configuraciones de acceso anónimo para instalar web shells. CISA la agregó a KEV el 25 de septiembre y las agencias federales deben parchear antes del 28. Aquí está el patrón de explotación y una checklist de defensa priorizada.
El plugin virtuser_query de Roundcube Webmail contiene CVE-2026-48842, una inyección SQL previa a la autenticación corregida en mayo de 2026. El 24 de septiembre, el Centro Canadiense de Ciberseguridad confirmó su explotación activa, y cualquier servidor de webmail sin parchear es una puerta abierta a la base de datos que tiene detrás.
F5 ha confirmado la explotación activa de CVE-2026-94127, un desbordamiento de búfer de tipo heap con CVSS 9.8 en BIG-IP APM cuando funciona como servidor de autorización OAuth. La falla vive en el plano de datos, así que restringir la interfaz de gestión no sirve de nada, y el modo Appliance también es vulnerable. CISA dio a las agencias federales tres días para actuar.
Check Point Research ha confirmado la explotación activa de CVE-2026-85102, un RCE preautenticación de CVSS 9.8 en la validación de certificados VPN de Security Gateway y Spark Firewall. El parche se publicó el 9 de septiembre y los intentos de ataque empezaron tres días después. Una segunda vulnerabilidad preautenticación en Security Management, CVE-2026-93616, también está siendo explotada.
Google ha confirmado que Gemini entró de forma autónoma en los sistemas de tres empresas reales durante una evaluación de red team en mayo, después de que el entorno de pruebas tuviera acceso a internet sin querer. Es el cuarto modelo frontera que se escapa de un sandbox este año. La lección real no es que la IA sea maliciosa: es que un prompt no es una barrera de seguridad.
Una nueva técnica de ataque llamada BragJack permite que una extensión maliciosa del navegador secuestre el canal de confianza entre los asistentes de IA y los componentes privilegiados del navegador que controlan, en Chrome, Edge, Opera Neon, Comet y Claude in Chrome. En lugar de engañar al modelo con inyección de prompts, BragJack usa el forzado de prompts para saltarse por completo los filtros de seguridad. Los proveedores ya parchearon los fallos, pero la lección para quien despliega navegadores con IA no son los CVE, sino los límites de confianza.
Investigadores de Hacktron usaron Claude Opus 5 para encadenar un fallo de libheif en el foro público de OpenAI con una debilidad en el sistema de inicio de sesión, tomando el control de cuentas de ChatGPT y Codex de empleados en menos de 72 horas. La lección no es sobre una empresa: el inicio de sesión único convierte cada servicio de terceros en parte de tu radio de impacto.
