Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
Dos fallos críticos en el núcleo de PHP permiten que un atacante sin autenticación ejecute código en tu servidor. Ambos con 9,2 en CVSS v4.0, ambos filtrados un día antes de la divulgación, y el parche llegó hoy a las 18:00 en Dubái. Si tu web está alojada con aratech, escribe a [email protected] inmediatamente.
Una credencial comprometida de ConnectWise Cloud Backup permitió obtener tokens de Microsoft Graph en 173 inquilinos de Microsoft 365 el 15 de octubre, y una app se autoconcedió Administrador Global. El caso demuestra por qué la autenticación de aplicaciones queda fuera del MFA y del Acceso Condicional.
Una versión maliciosa de Rank Math SEO PRO llegó a los sitios durante once horas en octubre, registrada como CVE-2026-111862 y puntuada con 9.8. Pasar a la versión limpia es higiene, no recuperación: los administradores falsos, las opciones ocultas y las credenciales filtradas siguen ahí.
Mandiant y Google Threat Intelligence documentaron cómo Armory Castle usó CVE-2026-102764 como zero-day en BeyondTrust Remote Support durante unas seis semanas. El grupo robó todas las credenciales del appliance y dejó persistencia que sobrevive a reinicios y resets. La lección: el soporte remoto es la joya de la corona que casi nadie vigila.
Perplexity liberó el código de SPACE, la plataforma de sandbox con la que aísla a sus agentes en producción, justo cuando la EU AI Office y la FTC interrogan a los grandes laboratorios de IA. La lección: no es el modelo el control, sino la caja que lo rodea.
Un fallo en la publicación de confianza de npm permitió a los atacantes hacerse con más de 1.500 paquetes simplemente reclamando el nombre de un repositorio abandonado, y ahora los agentes de IA son quienes instalan el código. La corrección de GitHub cambia lo que significa "confianza".
Un nuevo benchmark publicado el 14 de octubre probó seis agentes de código de frontera con 450 tareas basadas en 150 vulnerabilidades reales. El mejor generó código funcional y seguro solo en el 25,1% de los casos, mientras todos superaron el 73% en funcionalidad. La distancia entre el código que funciona y el código que es seguro ya es un problema medible de pipeline.
REA, o Reverse Engineer Anything, superó las 262.000 estrellas en GitHub al entregar a los agentes de programación con IA un kit completo de ingeniería inversa. Inspecciona binarios, apps de Electron, APK y sitios web, y luego explica cómo funcionan. El matiz: reconstruye comportamiento, no código fuente, y eso cambia lo que de verdad es un foso competitivo.
Microsoft SharePoint está bajo ataque activo mediante una cadena de dos vulnerabilidades (CVE-2026-55040 + CVE-2026-63520) que permite ejecución remota de código no autenticada. Rapid7 descubrió ambas fallas usando investigación asistida por IA, y al menos 8,500 servidores permanecen expuestos.
PaperCut NG/MF golpeado por una devastadora cadena RCE pre-auth combinando CVE-2026-81578 y CVE-2026-82078. El primer parche de emergencia fue evadido en horas, forzando un segundo lanzamiento. Casi la mitad de las instalaciones permanecen imposibles de parchear.
Microsoft divulgó CVE-2026-69836, una vulnerabilidad de ejecución remota de código con CVSS 10.0 perfecto en Entra ID. La falla de deserialización permitió a atacantes no autenticados ejecutar código en la columna vertebral de identidad que alimenta Microsoft 365 y Azure.
El Patch Tuesday de agosto 2026 de Microsoft parcheó 421 CVEs incluyendo CVE-2026-68820, un día cero activamente explotado en el kernel de Windows usado por el Grupo Lazarus de Corea del Norte para instalar el rootkit FudModule. Tres fallas CVSS 9.8 adicionales y una cadena RCE de SharePoint completada hacen de este uno de los Patch Tuesdays más urgentes de la historia.
Oasis Security divulgó CVE-2026-65105, una vulnerabilidad de DNS rebinding en NemoClaw de NVIDIA que permite que una página web maliciosa envenene silenciosamente el modelo de IA local detrás del agente de un desarrollador. El ataque no requiere interacción más allá de visitar una página web y persiste por debajo de la capa que cualquier guardrail puede detectar.
Red Hat divulgó CVE-2026-18963, una falla crítica CVSS 9.1 en el flujo de restablecimiento de contraseña de Keycloak que permite a atacantes no autenticados secuestrar cualquier cuenta con solo dos solicitudes HTTP. Cada implementación con 'Olvidé mi contraseña' habilitado es vulnerable.
T-Mobile cortó físicamente un cable de red con tijeras para expulsar a los hackers chinos Salt Typhoon de su infraestructura. Así es por qué la Capa 1 fue la única respuesta correcta, y lo que significa para los límites de confianza de tu organización.
Check Point Research descubrió una operación de cibercrimen que convirtió casi 2.000 sitios WordPress comprometidos en infraestructura criminal distribuida, con ransomware, robo de datos, hurto de credenciales e incluso chat en vivo con las víctimas.
Una vulnerabilidad crítica CVSS 9.4 en Ray, el framework de computación distribuida que potencia cargas de trabajo de IA en Amazon, Apple y OpenAI, está siendo explotada activamente por botnets. Esto es lo que cada equipo de IA necesita saber y hacer ahora mismo.
Las obligaciones de sistemas de IA de alto riesgo de la UE entraron en vigor el 2 de agosto de 2026, con sanciones de hasta 35 millones de euros o el 7% de la facturación global. Esto es lo que cambió y lo que toda empresa debe hacer ahora.
Hackers robaron 3,75 millones de registros de pacientes de los sistemas de CareCloud en una de las mayores brechas de datos de salud de 2026.
Stripe ha cerrado un acuerdo para adquirir OpenRouter por más de 7.000 millones de dólares, más de 5 veces su valoración de 1.300 millones de hace solo 82 días. La adquisición otorga al gigante de pagos el control de la capa de enrutamiento que 8 millones de desarrollantes usan para acceder a más de 400 modelos de IA.
