Ideas, guías y análisis prácticos sobre cumplimiento, ciberseguridad y transformación digital.
Dos fallos críticos en el núcleo de PHP permiten que un atacante sin autenticación ejecute código en tu servidor. Ambos con 9,2 en CVSS v4.0, ambos filtrados un día antes de la divulgación, y el parche llegó hoy a las 18:00 en Dubái. Si tu web está alojada con aratech, escribe a [email protected] inmediatamente.
Una credencial comprometida de ConnectWise Cloud Backup permitió obtener tokens de Microsoft Graph en 173 inquilinos de Microsoft 365 el 15 de octubre, y una app se autoconcedió Administrador Global. El caso demuestra por qué la autenticación de aplicaciones queda fuera del MFA y del Acceso Condicional.
Una versión maliciosa de Rank Math SEO PRO llegó a los sitios durante once horas en octubre, registrada como CVE-2026-111862 y puntuada con 9.8. Pasar a la versión limpia es higiene, no recuperación: los administradores falsos, las opciones ocultas y las credenciales filtradas siguen ahí.
Mandiant y Google Threat Intelligence documentaron cómo Armory Castle usó CVE-2026-102764 como zero-day en BeyondTrust Remote Support durante unas seis semanas. El grupo robó todas las credenciales del appliance y dejó persistencia que sobrevive a reinicios y resets. La lección: el soporte remoto es la joya de la corona que casi nadie vigila.
Perplexity liberó el código de SPACE, la plataforma de sandbox con la que aísla a sus agentes en producción, justo cuando la EU AI Office y la FTC interrogan a los grandes laboratorios de IA. La lección: no es el modelo el control, sino la caja que lo rodea.
Un fallo en la publicación de confianza de npm permitió a los atacantes hacerse con más de 1.500 paquetes simplemente reclamando el nombre de un repositorio abandonado, y ahora los agentes de IA son quienes instalan el código. La corrección de GitHub cambia lo que significa "confianza".
Un nuevo benchmark publicado el 14 de octubre probó seis agentes de código de frontera con 450 tareas basadas en 150 vulnerabilidades reales. El mejor generó código funcional y seguro solo en el 25,1% de los casos, mientras todos superaron el 73% en funcionalidad. La distancia entre el código que funciona y el código que es seguro ya es un problema medible de pipeline.
REA, o Reverse Engineer Anything, superó las 262.000 estrellas en GitHub al entregar a los agentes de programación con IA un kit completo de ingeniería inversa. Inspecciona binarios, apps de Electron, APK y sitios web, y luego explica cómo funcionan. El matiz: reconstruye comportamiento, no código fuente, y eso cambia lo que de verdad es un foso competitivo.
Cientos de conversaciones de Claude de Anthropic, incluidos datos corporativos y sanitarios sensibles, aparecieron en los resultados de búsqueda de Google después de indexarse los enlaces compartidos.
El Ministerio de Finanzas de Tailandia descubrió qué pasa cuando activas un Hermes Agent en modo YOLO y te alejas. Esto es lo que reveló la auditoría y por qué las empresas necesitan una nueva lista de verificación de seguridad para IA.
Stadler Rail rechazó una demanda de rescate de $12,3 millones del grupo de ransomware Everest después de que los atacantes comprometieran la plataforma de datos de un proveedor. El fabricante suizo confirmó que no se robaron datos de seguridad ni información personal, mantuvo la producción en marcha y presentó una denuncia penal.
Los modelos de IA más potentes del planeta están a punto de chocar contra un nuevo tipo de muro. No un muro de computación. No un muro de datos. Un muro gubernamental. Para el 1 de agosto, la Casa Blanca debería finalizar un marco voluntario con OpenAI, Anthropic, Google, Microsoft y Amazon que otorga a las agencias federales hasta 30 días para revisar cualquier modelo de IA fronteriza antes de su lanzamiento público.
Alibaba presenta Qwen3.8-Max (2,4 billones de parámetros) afirmando que solo supera a Fable 5. Pero sin pesos abiertos, sin benchmarks y con un patrón de ir de Max primero, ¿es un lanzamiento real o una jugada de posicionamiento?
Cuando EE.UU. restringió Claude Fable 5, Zhipu AI lanzó GLM-5.2 bajo licencia MIT. La era de los pesos abiertos ya no es teórica.
Dos vulnerabilidades centrales de WordPress se encadenan para permitir la ejecución remota de código sin autenticación. Esto es lo que todo propietario de un sitio necesita saber y hacer ahora mismo.
La Ley de Seguridad Digital Infantil de los EAU introduce obligaciones amplias para plataformas digitales e ISPs. Con el cumplimiento total requerido para enero de 2027, aquí está su lista de verificación accionable.
Recopilamos 35 proyectos autoalojados destacados en GitHub. Estos son los seis que merecen tu atención ahora mismo.
Voicebox is the open-source AI voice studio that runs entirely on your machine — no cloud, no API keys, no character limits. Here's why it's a game-changer for
La IA local ha cruzado un umbral crítico en 2026. Este análisis compara costos, capacidades, privacidad y rendimiento real de la IA local frente a la nube — y explica por qué el enfoque híbrido es la estrategia más inteligente.
El VibeThinker 3B de WeiboAI iguala a DeepSeek V3.2 en razonamiento matemático, obtiene un 94,3% en AIME 2026 y un 80,2% en LiveCodeBench — todo con solo 3 mil millones de parámetros y un costo de entrenamiento de $7,800. Descubra cómo el pipeline Spectrum-to-Signal redefine lo que los modelos compactos de código abierto pueden lograr.
