Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
Dos fallos críticos en el núcleo de PHP permiten que un atacante sin autenticación ejecute código en tu servidor. Ambos con 9,2 en CVSS v4.0, ambos filtrados un día antes de la divulgación, y el parche llegó hoy a las 18:00 en Dubái. Si tu web está alojada con aratech, escribe a [email protected] inmediatamente.
Una credencial comprometida de ConnectWise Cloud Backup permitió obtener tokens de Microsoft Graph en 173 inquilinos de Microsoft 365 el 15 de octubre, y una app se autoconcedió Administrador Global. El caso demuestra por qué la autenticación de aplicaciones queda fuera del MFA y del Acceso Condicional.
Una versión maliciosa de Rank Math SEO PRO llegó a los sitios durante once horas en octubre, registrada como CVE-2026-111862 y puntuada con 9.8. Pasar a la versión limpia es higiene, no recuperación: los administradores falsos, las opciones ocultas y las credenciales filtradas siguen ahí.
Mandiant y Google Threat Intelligence documentaron cómo Armory Castle usó CVE-2026-102764 como zero-day en BeyondTrust Remote Support durante unas seis semanas. El grupo robó todas las credenciales del appliance y dejó persistencia que sobrevive a reinicios y resets. La lección: el soporte remoto es la joya de la corona que casi nadie vigila.
Perplexity liberó el código de SPACE, la plataforma de sandbox con la que aísla a sus agentes en producción, justo cuando la EU AI Office y la FTC interrogan a los grandes laboratorios de IA. La lección: no es el modelo el control, sino la caja que lo rodea.
Un fallo en la publicación de confianza de npm permitió a los atacantes hacerse con más de 1.500 paquetes simplemente reclamando el nombre de un repositorio abandonado, y ahora los agentes de IA son quienes instalan el código. La corrección de GitHub cambia lo que significa "confianza".
Un nuevo benchmark publicado el 14 de octubre probó seis agentes de código de frontera con 450 tareas basadas en 150 vulnerabilidades reales. El mejor generó código funcional y seguro solo en el 25,1% de los casos, mientras todos superaron el 73% en funcionalidad. La distancia entre el código que funciona y el código que es seguro ya es un problema medible de pipeline.
REA, o Reverse Engineer Anything, superó las 262.000 estrellas en GitHub al entregar a los agentes de programación con IA un kit completo de ingeniería inversa. Inspecciona binarios, apps de Electron, APK y sitios web, y luego explica cómo funcionan. El matiz: reconstruye comportamiento, no código fuente, y eso cambia lo que de verdad es un foso competitivo.
Un mensaje. Eso fue todo. Investigadores de Accomplish AI escaparon del sandbox de Claude Cowork y obtuvieron acceso completo a 500.000 sistemas de archivos Mac. Anthropic cerró el informe como 'Informativo'.
Corea del Sur comprometió más de 950 mil millones de dólares para infraestructura de IA en la Cumbre de IA de San Francisco.
V4.1-Flash de DeepSeek y HySparse2 de Xiaomi atacan el mismo cuello de botella desde direcciones opuestas: codificar la cache KV una vez y cuantizarla fuerte, o leer solo lo que se va a usar. La atencion dispersa enfocada en agentes se vuelve mainstream y los modelos baratos acaban de volverse competitivos en benchmarks reales de agentes.
ArtCraft acaba de lanzar siete apps creativas open source en puro Rust — gratis, locales, tuyas para siempre. Sin suscripciones. Sin nube.
