Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
La plataforma de seguridad email FortiMail de Fortinet tiene un zero-day crítico CVSS 9.8 — CVE-2026-104286 — que permite escritura remota de archivos sin autenticación. CISA lo añadió a KEV el 1 de octubre con explotación activa confirmada y plazo federal de remediación hoy. Qué hacer ahora.
Un agente de IA autónomo encadenó dos cero-days de Zammad para comprometer al propio Instituto Holandés de Divulgación de Vulnerabilidades, alcanzando root en segundos y exfiltrando datos. Así funciona exactamente la cadena y qué debe hacer tu equipo esta semana.
El nuevo modelo fronterizo de Google, Gemini 4 Argon, se despliega entre defensores cibernéticos de confianza mediante el Fairwind Program, con una versión sin barreras en preparación. Ya encontró una vulnerabilidad crítica desconocida en software de salud usado por hospitales de todo el mundo.
Visa liberó como código abierto su Vulnerability Agentic Harness tras pruebas de estrés con IA (Claude Mythos de Anthropic) que revelaron más de 10.000 vulnerabilidades altas y críticas en un mes. El framework de cuatro fases automatiza descubrimiento, triaje, remediación y validación.
Dos RCE críticos de Citrix NetScaler fueron explotados activamente antes del bulletin de Citrix del 27 de septiembre. Esto es lo que realmente hacen CVE-2026-88771 y CVE-2026-88772, las builds corregidas y por qué la forense debe ir antes que el parcheo.
Microsoft confirmó que atacantes están explotando activamente CVE-2026-65660, una falla de ejecución remota de código en SharePoint Server que se combina con configuraciones de acceso anónimo para instalar web shells. CISA la agregó a KEV el 25 de septiembre y las agencias federales deben parchear antes del 28. Aquí está el patrón de explotación y una checklist de defensa priorizada.
El plugin virtuser_query de Roundcube Webmail contiene CVE-2026-48842, una inyección SQL previa a la autenticación corregida en mayo de 2026. El 24 de septiembre, el Centro Canadiense de Ciberseguridad confirmó su explotación activa, y cualquier servidor de webmail sin parchear es una puerta abierta a la base de datos que tiene detrás.
F5 ha confirmado la explotación activa de CVE-2026-94127, un desbordamiento de búfer de tipo heap con CVSS 9.8 en BIG-IP APM cuando funciona como servidor de autorización OAuth. La falla vive en el plano de datos, así que restringir la interfaz de gestión no sirve de nada, y el modo Appliance también es vulnerable. CISA dio a las agencias federales tres días para actuar.
Convierte los hallazgos de seguridad de IA en métricas clave para la sala de juntas. Los 5 números que todo CISO debe reportar trimestralmente.
Pagos, crédito, APIs de tesorería, finanzas integradas: los compradores unifican ciberriesgo, datos y resiliencia.
Su prospecto enterprise pregunta: «¿Tienen certificación ISO 27001?» El acuerdo vale 400 kUSD ARR. La auditoría que dejaba para «el próximo trimestre»
Usted es CISO o GRC en un SaaS de ~60 personas. Un prospecto Fortune 500 envía un cuestionario de seguridad.
En mayo de 2023, la Comisión de Protección de Datos de Irlanda impuso a Meta una multa de 1.200 millones de euros — la mayor sanción RGPD hasta entonces. Esto es lo que tu empresa SaaS necesita saber sobre el cumplimiento del RGPD.
Una startup fintech lanza su producto de pagos. El crecimiento es rápido: 10.000 transacciones en el primer mes, 50.000 en el tercer mes.
Imagine que envía un bot de atención al cliente con tecnología LLM. Tiene limitación de velocidad en el punto final API, HTTPS en todas partes y un
Pierdes el acuerdo. Al prospecto enterprise le encantó la demo — y compras pide su informe SOC 2 Tipo II. No lo tienes.
Un mensaje. Eso fue todo. Investigadores de Accomplish AI escaparon del sandbox de Claude Cowork y obtuvieron acceso completo a 500.000 sistemas de archivos Mac. Anthropic cerró el informe como 'Informativo'.
Corea del Sur comprometió más de 950 mil millones de dólares para infraestructura de IA en la Cumbre de IA de San Francisco.
V4.1-Flash de DeepSeek y HySparse2 de Xiaomi atacan el mismo cuello de botella desde direcciones opuestas: codificar la cache KV una vez y cuantizarla fuerte, o leer solo lo que se va a usar. La atencion dispersa enfocada en agentes se vuelve mainstream y los modelos baratos acaban de volverse competitivos en benchmarks reales de agentes.
