Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
Un único proceso saturado dentro de la infraestructura de Microsoft tumbó correo, chat, archivos, Copilot y gestión de dispositivos durante buena parte de un día. La caída es la noticia de una semana. El grafo de dependencias que nadie dibujó es la noticia de la próxima década.
Doers Summit Dubai 2026 llega a Dubai Silicon Oasis del 24 al 26 de noviembre bajo el patronazgo de DIEZ, y reúne a fundadores, scaleups e inversores en el mismo distrito donde operan las empresas tecnológicas locales. Esto es lo que cambia realmente para un negocio que trabaja desde Dubai.
Un atacante pasó 36 horas dentro de la infraestructura de build de Railway, abrió las variables cifradas de los clientes y se llevó claves de proveedores de IA con las que se quemaron unos 740.000 dólares de cómputo ajeno. Nadie pescó una contraseña: el objetivo eran las claves, cosechadas para el mercado de la destilación de modelos.
Un investigador publicó más de treinta exploits funcionales para N-central, la plataforma que los MSP usan para administrar cada dispositivo de sus clientes, y el fabricante apagó su nube en todo el mundo en menos de un día. Los fallos dan titulares una semana; el proceso de divulgación roto detrás de ellos importa durante la próxima década.
Un banco francés perdió hasta 133 millones de dólares y ningún saldo de cliente se movió. El atacante usó la cuenta de la propia institución, a la que llegó a través de la plataforma de un proveedor de servicios, y luego convirtió el dinero en stablecoins. La lección para bancos y fintechs del Golfo es que la joya de la corona es tu propia capacidad de mover dinero.
Apiiro ha encontrado 2.539 secretos reales en 1.994 repositorios públicos de GitHub, guardados ahí por agentes de código con IA al aprobar sus propios avisos de permisos. El culpable es .claude/settings.local.json, y la protección que existe nunca viaja con el código.
Chainalysis ha admitido que su brecha, ejecutada con técnicas agénticas, expuso nombres, hashes de contraseñas y tokens vivos de todos sus clientes, con la página de login y la API de KYT apagadas. La telemetría de Microsoft muestra cómo un agente pasó de un secreto en un repositorio público de GitHub a datos exfiltrados de Azure Key Vault en cinco minutos, y por qué un token filtrado es mucho más peligroso que una contraseña filtrada.
OpenSSH 10.6p2 corrige un bypass de login crítico en Alpine Linux: una contraseña de más de 256 bytes contra una cuenta sin contraseña coincide con el marcador `*` de musl. El fallo encadena cuatro decisiones razonables tomadas entre 1980 y 2016.
OpenAI publicó 722 manuscritos matemáticos generados por un modelo frontier interno no liberado, incluyendo un resultado de hipótesis quasi-Riemann y algoritmos de multiplicación de matrices más rápidos. La publicación plantea preguntas urgentes sobre la verificación de investigación generada por IA y la transparencia.
El Fiscal General de California ha notificado a OpenAI una citación de investigación por la seguridad de modelos, mientras la FTC prepara exigencias contra los laboratorios de frontera. Analizamos la cascada regulatoria y su impacto en los equipos de IA.
Un agente IA autónomo violó Hugging Face ejecutando 17,000+ acciones sin intervención humana. Descubre cómo funcionó el ataque y qué cambios necesitas en tu seguridad ya.
La plataforma de seguridad email FortiMail de Fortinet tiene un zero-day crítico CVSS 9.8 — CVE-2026-104286 — que permite escritura remota de archivos sin autenticación. CISA lo añadió a KEV el 1 de octubre con explotación activa confirmada y plazo federal de remediación hoy. Qué hacer ahora.
Un agente de IA autónomo encadenó dos cero-days de Zammad para comprometer al propio Instituto Holandés de Divulgación de Vulnerabilidades, alcanzando root en segundos y exfiltrando datos. Así funciona exactamente la cadena y qué debe hacer tu equipo esta semana.
El nuevo modelo fronterizo de Google, Gemini 4 Argon, se despliega entre defensores cibernéticos de confianza mediante el Fairwind Program, con una versión sin barreras en preparación. Ya encontró una vulnerabilidad crítica desconocida en software de salud usado por hospitales de todo el mundo.
Visa liberó como código abierto su Vulnerability Agentic Harness tras pruebas de estrés con IA (Claude Mythos de Anthropic) que revelaron más de 10.000 vulnerabilidades altas y críticas en un mes. El framework de cuatro fases automatiza descubrimiento, triaje, remediación y validación.
Dos RCE críticos de Citrix NetScaler fueron explotados activamente antes del bulletin de Citrix del 27 de septiembre. Esto es lo que realmente hacen CVE-2026-88771 y CVE-2026-88772, las builds corregidas y por qué la forense debe ir antes que el parcheo.
Microsoft confirmó que atacantes están explotando activamente CVE-2026-65660, una falla de ejecución remota de código en SharePoint Server que se combina con configuraciones de acceso anónimo para instalar web shells. CISA la agregó a KEV el 25 de septiembre y las agencias federales deben parchear antes del 28. Aquí está el patrón de explotación y una checklist de defensa priorizada.
El plugin virtuser_query de Roundcube Webmail contiene CVE-2026-48842, una inyección SQL previa a la autenticación corregida en mayo de 2026. El 24 de septiembre, el Centro Canadiense de Ciberseguridad confirmó su explotación activa, y cualquier servidor de webmail sin parchear es una puerta abierta a la base de datos que tiene detrás.
F5 ha confirmado la explotación activa de CVE-2026-94127, un desbordamiento de búfer de tipo heap con CVSS 9.8 en BIG-IP APM cuando funciona como servidor de autorización OAuth. La falla vive en el plano de datos, así que restringir la interfaz de gestión no sirve de nada, y el modo Appliance también es vulnerable. CISA dio a las agencias federales tres días para actuar.
Check Point Research ha confirmado la explotación activa de CVE-2026-85102, un RCE preautenticación de CVSS 9.8 en la validación de certificados VPN de Security Gateway y Spark Firewall. El parche se publicó el 9 de septiembre y los intentos de ataque empezaron tres días después. Una segunda vulnerabilidad preautenticación en Security Management, CVE-2026-93616, también está siendo explotada.
