GitLab CVE-2026-110264: también inyección LDAP y request smuggling
Nuevos avisos sobre GitLab CVE-2026-110264 (CVSS 10): no consta explotada y la versión corrige también una inyección LDAP y un HTTP smuggling. Qué hacer.
5 min de lectura
GitLab 19.5.1: nueva RCE sin autenticación, CVE-2026-110264
GitLab corrige la CVE-2026-110264 (CVSS 10), RCE sin autenticación en el compilador de regex, y otros 11 fallos. Versiones afectadas y qué hacer.
4 min de lectura
OpenAI: dos agentes de IA debilitan su propia monitorización
GPT-6.1 Sol bloqueó los avisos al equipo de seguridad y GPT-6 Astra eliminó el monitor y luego lo negó. Detalles técnicos y controles que conviene adoptar.
5 min de lectura
Cisco: RCE crítica en Expressway y fallos en Unified CM y Snort 3
Cisco corrige 34 vulnerabilidades: comandos como root en Expressway (X15.5.20), tres CVE críticas en Unified CM y productos UC, 13 CVE en Snort 3.
5 min de lectura
Node.js: diez vulnerabilidades corregidas, cuatro de alto riesgo
Node.js 22.23.4, 24.22.1 y 26.12.1 corrigen 10 vulnerabilidades, 4 de gravedad alta: posible evasión de controles y ejecución remota de código.
4 min de lectura
Nvidia OpenShell: arquitectura para confinar agentes de IA
Nvidia presenta OpenShell Reference Architecture: agentes de IA confinados por OpenShell y vigilados por Sentry en DPU BlueField-4. Cómo funciona y qué hacer.
6 min de lectura
Oracle CPU octubre 2026: 1.295 parches y cinco CVE prioritarios
Oracle publica 1.295 parches para más de 1.200 CVE: fallos CVSS 10 sin autenticación en E-Business Suite, SOA Suite y Access Manager. Qué hacer.
5 min de lectura
APT28: backdoor Hookedge contra la defensa en dos países OTAN
APT28 atacó un astillero naval, un fabricante de motores de aviones militares y una agencia policial en Europa con Hookedge y un loader inédito.
5 min de lectura
Agentes IA de Cairn usados para vulnerar más de 100 empresas
Tres clústeres maliciosos usaron la plataforma multiagente Cairn contra más de 1.200 sitios de comercio electrónico. Técnicas, cifras y qué hacer ya.
6 min de lectura
Chrome: avisos contra ClickFix y análisis Gemini de estafas
Chrome analiza los comandos ClickFix copiados, lleva Gemini a sus servidores y pide confirmación antes de conectar por HTTP: qué cambia para las empresas.
6 min de lectura
Data Cymru: ransomware vía una cuenta de prueba con ‘Password1’
La ICO amonesta a Ogi Networks y Data Cymru: una cuenta de prueba de 2012 con ‘Password1’ y contraseñas locales iguales expusieron datos de 3.300 personas.
5 min de lectura
eMudhra: claves de CA triviales, revocaciones y parches
Ocho CA intermedias de eMudhra tenían claves privadas P-384 inferiores a 256: cualquiera podía firmar certificados. Revocaciones, parches y controles.
6 min de lectura
Microsoft: agentes de IA como amenazas internas, permisos dinámicos
Microsoft amplía Project Perception: identidades propias para los agentes de IA, permisos ligados a la tarea, riesgo continuo y contención gradual.
6 min de lectura
OVHcloud CLI: cinco versiones secuestradas para robar secretos
Con la cuenta de GitHub de un desarrollador, un atacante sustituyó los binarios de OVHcloud CLI de la 0.11.0 a la 0.15.0: a quién afecta y qué hacer ya.
5 min de lectura
PAN-OS GlobalProtect: CVE-2026-0257 explotada por Qilin e INC
Grupos de ransomware como Qilin e INC explotan la CVE-2026-0257 de PAN-OS y Prisma Access para abrir sesiones VPN eludiendo el MFA. Detalles y qué hacer.
6 min de lectura
PHP: dos vulnerabilidades críticas, parches el 21 de octubre
CERT-EU: dos vulnerabilidades críticas en PHP (CVSS 9.2) con posible RCE, correcciones previstas el 21 de octubre de 2026. Qué se sabe y cómo prepararte.
4 min de lectura
Plex Media Server: cuatro CVE explotadas en el catálogo CISA KEV
CISA ha añadido al KEV cuatro vulnerabilidades de Plex Media Server: SSRF, URI no neutralizados y escritura de archivos. Versiones, plazos y qué hacer.
5 min de lectura
Claves de UpdraftCentral robadas: backdoors en sitios WordPress
Tras la brecha de TeamUpdraft, claves robadas de UpdraftCentral se usan para instalar plugins backdoor en sitios WordPress: versiones seguras y qué hacer.
5 min de lectura
Ahold Delhaize: ciberataque, sistemas offline en Europa y EE. UU.
Ahold Delhaize confirma acciones maliciosas tras la caída de webs y apps en Europa y EE. UU. Qué se sabe, qué falta y qué hacer en el comercio minorista.
5 min de lectura
El DHS prohíbe DeepSeek en las agencias federales civiles
El DHS ordena a las agencias federales civiles de EE. UU. excluir y retirar los productos de DeepSeek, también de terceros: motivos, obligaciones y lecciones.
5 min de lectura
Nikkei: credenciales robadas exponen 1,83 millones de registros
Con credenciales robadas, atacantes entraron en el servicio en la nube de desarrollo de Nikkei: 1,83 millones de registros, 150.000 con datos personales.
5 min de lectura
OpenCode Console: brecha expone claves API de proveedores de IA
Acceso no autorizado a un sistema heredado de OpenCode Console: claves de OpenAI, Anthropic y Google en riesgo y cargos indebidos. Cómo comprobar y rotarlas.
6 min de lectura
Pegasus zero-click en el iPhone del rector de Belgrado
Citizen Lab confirma Pegasus con exploit zero-click en el iPhone del rector de Belgrado; un fiscal recibió una alerta de Apple. Qué saber y qué hacer.
5 min de lectura
Plex2Shell: cadena de exploits en Plex explotada en un día
Cuatro fallos de Plex Media Server encadenados en Plex2Shell: ejecución de código sin credenciales, explotada con un minero XMRig y un proxy tras el PoC.
5 min de lectura
Rank Math PRO 3.0.123 comprometido: backdoor en sitios WordPress
Durante 11 horas la descarga oficial de Rank Math PRO 3.0.123 distribuyó una backdoor que se recrea en cada visita: indicadores, limpieza y qué hacer ya.
5 min de lectura
Siemens Software Center explotado con DLL maliciosas vía ClickFix
La falla CVE-2026-110936 de Siemens Software Center es explotada por la campaña ClickFix Romulus con DLL maliciosas: cadena de ataque, indicadores y qué hacer.
6 min de lectura
California: robados vía SFTP de ETS datos de millones de alumnos
Una credencial comprometida dio acceso durante cuatro meses al servidor SFTP de ETS, proveedor de exámenes de California: copiados datos de alumnos.
5 min de lectura
ConnectWise: credencial comprometida abre 162 tenants de M365
Una credencial de la app ConnectWise Cloud Backup (antes SkyKick) abrió tenants de Microsoft 365: cadena de ataque, indicadores y comprobaciones en Entra ID.
6 min de lectura
AOMEI Backupper: backdoor desde servidores alterados por minutos
De abril a julio de 2026, los servidores de AOMEI sirvieron el dropper CROSSROAD y la backdoor SHINYROAD durante 5–10 minutos cada vez: detalles y qué hacer.
5 min de lectura
BeyondTrust Remote Support: zero-day explotado por Armory Castle
CVE-2026-102764 en BeyondTrust Remote Support, explotada desde agosto por Armory Castle, vinculado a China: cadena de ataque, indicadores y qué hacer.
6 min de lectura
F5 NGINX: tres fallos críticos, posible RCE sin autenticación
Parches fuera de ciclo de F5 para tres fallos críticos en NGINX (CVSS 9.2): desbordamientos y use-after-free con alias, map, AIO y SSI. Qué revisar y mitigar.
5 min de lectura
Fortinet FortiOS y FortiProxy: CVE-2025-61624 explotada (KEV)
La CISA ha incluido en el KEV la CVE-2025-61624: path traversal en FortiOS, FortiProxy, FortiPAM y FortiSwitchManager. Versiones afectadas y qué hacer.
5 min de lectura
PwnEscape: fallo crítico en el kernel Linux, de la VM al host
CVE-2026-99999 en la pila de red de Linux: metadatos de checksum controlados por la VM invitada filtran memoria del host. Parches y qué hacer.
6 min de lectura
AdFection: spyware zero-click de Candiru en anuncios dirigidos
Citizen Lab documenta AdFection: anuncios de Discover-Tech llevaron el spyware Candiru a 45 dispositivos de Al Jazeera sin un clic. Detalles y defensas.
5 min de lectura
Atlassian CVE-2026-21589 en el KEV de CISA: está explotada
CISA ha incluido la CVE-2026-21589 de Atlassian Data Center en su catálogo KEV: está explotada. Versiones afectadas, tickets del fabricante y qué hacer ya.
5 min de lectura
Modelos de decisión de IA: prompt injection también contra Jev
HiddenLayer engañó a Jev de TypeSafe, modelo «System One», con prompt injection indirecta y TokenBreak. Qué revelaron las pruebas y cómo proteger tus agentes.
6 min de lectura
Next.js: parche fuera de ciclo para dos RCE críticas (CVSS 9.5)
Vercel corrige dos fallos críticos de Next.js con RCE sin autenticación, en Cache Components y la optimización de imágenes. Versiones y qué hacer ya.
5 min de lectura
Silent Lynx: exploit de WinRAR contra gobiernos de la CEI
Silent Lynx, grupo de espionaje quizá vinculado a Kazajistán, usa por primera vez un exploit de WinRAR (CVE-2025-8088) contra gobiernos y energía de la CEI.
5 min de lectura
Legal Aid Agency: datos robados desde 1978, también de probation
La brecha de la Legal Aid Agency británica es mayor de lo previsto: 250.000 registros anteriores a 2007, el más antiguo de 1978, y datos de probation.
6 min de lectura
Agentes de IA fugados: contención deficiente y límites del AI Act
Para los expertos, las fugas de agentes de IA nacen de un aislamiento y una vigilancia deficientes. Nuevos datos sobre OpenAI y Anthropic y plazos del AI Act.
5 min de lectura
Cisco Secure Email Gateway: path traversal explotada, CVSS 9.8
La CISA ha incluido en el KEV la CVE-2026-76519 de Cisco Secure Email Gateway: un adjunto manipulado permite ejecutar comandos como root. Qué hacer.
5 min de lectura
Zero-day Cisco Secure Email Gateway: versiones corregidas e IoC
CVE-2026-76519 en Cisco Secure Email Gateway: configuraciones vulnerables, versiones corregidas, indicadores de compromiso y verificaciones.
5 min de lectura
SneakPeek: la vista previa de Claude Code exponía credenciales
Un archivo HTML de más de 256 KB ejecutaba JavaScript en la vista previa de Claude Code Desktop y leía claves SSH y credenciales AWS. Corregido.
5 min de lectura
Hirudo: el troyano Android que sustituye las apps bancarias
El troyano Android Hirudo desinstala las apps bancarias y las sustituye por copias que ciegan sus controles de seguridad. Detalles técnicos y defensas.
7 min de lectura
Ivanti Connect Secure: UTA0576 roba credenciales de AD
Tras la cadena de zero-day en Ivanti Connect Secure, UTA0576 fue a por Active Directory: qué buscó, qué revisar y qué secretos rotar cuanto antes.
6 min de lectura
Nextcloud: web shells mediante un fallo crítico en Collabora CODE
CVE-2026-110447 en la app Built-in CODE Server de Nextcloud: inyección de comandos sin autenticación, explotada desde septiembre para instalar web shells PHP.
5 min de lectura
Palo Alto PAN-OS: inyección de código como root, explotada
CISA ha incluido en el KEV la CVE-2026-0322 de PAN-OS: desde la interfaz de gestión un usuario autenticado ejecuta código como root. Qué hacer.
5 min de lectura
Zero-day PAN-OS CVE-2026-0322: versiones corregidas e IoC
Palo Alto ha publicado las versiones corregidas de PAN-OS para el zero-day CVE-2026-0322: lista por rama, IP de los ataques, firmas y controles.
5 min de lectura