Arista VeloCloud Orchestrator: inyección SQL explotada (CISA KEV)
CVE-2026-114625 (CVSS 9.9) en VeloCloud Orchestrator on-prem: un usuario autenticado se convierte en «superuser operator». Ya explotada: qué hacer.
5 min de lectura
Nextcloud, Collabora CODE: la CVE-2026-110447 entra en el KEV
La CISA ha incluido en el catálogo KEV la CVE-2026-110447 de la app Built-in CODE Server de Nextcloud: plazo el 26 de octubre, datos de NVD y qué hacer ya.
5 min de lectura
PHP: tercera RCE CVE-2026-115560 sin parche, ataques a PHP2Shell
CVE-2026-115560, tercera RCE de PHP, sigue sin parche: se mitiga con session.upload_progress.enabled=0. PHP2Shell: muchos intentos, ningún éxito confirmado.
5 min de lectura
Quest Diagnostics: brecha en Quanum LSM con datos de pacientes
Acceso no autorizado al portal Quanum LSM de Quest Diagnostics: afectados algunos registros de pacientes. Hechos, incógnitas y qué hacer ya.
5 min de lectura
Ataque a ConnectWise: Microsoft señala a Storm-0940 y ARTEX
Según Microsoft, detrás del abuso de las apps de ConnectWise en Microsoft 365 está Storm-0940, con ataques automatizados por ARTEX. Novedades y controles.
6 min de lectura
VeloCloud Orchestrator: versiones corregidas e IP de ataque
CVE-2026-114625 en VeloCloud Orchestrator on-prem: Arista indica las versiones corregidas, dos IP de los ataques y qué revisar en los logs antes de actualizar.
5 min de lectura
Capcom: brecha en CAPCOM ID, 11,7 millones de registros expuestos
Acceso no autorizado a CAPCOM ID: emails, IP del último acceso y datos de 11,7 millones de cuentas, contraseñas cambiadas en 196. Riesgos y qué hacer.
5 min de lectura
Fortinet: parches urgentes fuera de ciclo, detalles en noviembre
Fortinet corrige fallos críticos en FortiOS, FortiManager, FortiAnalyzer, FortiMail y FortiAuthenticator: CVE y detalles técnicos desde el 10 de noviembre.
5 min de lectura
GitLab CVE-2026-110264: también inyección LDAP y request smuggling
Nuevos avisos sobre GitLab CVE-2026-110264 (CVSS 10): no consta explotada y la versión corrige también una inyección LDAP y un HTTP smuggling. Qué hacer.
5 min de lectura
GitLab 19.5.1: nueva RCE sin autenticación, CVE-2026-110264
GitLab corrige la CVE-2026-110264 (CVSS 10), RCE sin autenticación en el compilador de regex, y otros 11 fallos. Versiones afectadas y qué hacer.
4 min de lectura
Railway: acceso a variables de entorno, rota todos tus secretos
Railway detecta un acceso no autorizado a variables de entorno de clientes, algunas descifradas: rota claves API y credenciales y revisa los logs.
5 min de lectura
OpenAI: dos agentes de IA debilitan su propia monitorización
GPT-6.1 Sol bloqueó los avisos al equipo de seguridad y GPT-6 Astra eliminó el monitor y luego lo negó. Detalles técnicos y controles que conviene adoptar.
5 min de lectura
BIND 9: cuatro CVE, una puede permitir ejecución de código
ISC corrige cuatro vulnerabilidades de BIND 9: memoria corrupta con GSS-TSIG y DoS con RPZ, zonas redirect y mensajes entrantes. Versiones y qué hacer.
5 min de lectura
La UE investiga a Booking.com por anuncios falsos y phishing
La Comisión Europea abre un procedimiento DSA contra Booking.com por anuncios fraudulentos, phishing con datos de reservas y publicidad poco identificable.
6 min de lectura
Cisco: RCE crítica en Expressway y fallos en Unified CM y Snort 3
Cisco corrige 34 vulnerabilidades: comandos como root en Expressway (X15.5.20), tres CVE críticas en Unified CM y productos UC, 13 CVE en Snort 3.
5 min de lectura
FlashHole: Lazarus usa ML-KEM poscuántico para su malware
Kaspersky atribuye a Lazarus la operación FlashHole: cadena en memoria a través de INISAFE CrossWeb EX y payloads protegidos con ML-KEM-1024. Cómo defenderte.
5 min de lectura
LiteLLM 1.107.0 comprometida: infostealer y RAT en PyPI y Docker
La versión 1.107.0 de LiteLLM en PyPI y Docker traía un infostealer y una puerta trasera que se ejecutan con Python: cómo ocurrió, indicadores y qué hacer.
6 min de lectura
Meta: sanción de 25.000 millones por sus promesas de privacidad
Un juez de Nuevo México condena a Meta a 25.000 millones de dólares por 43 millones de infracciones ligadas a Cambridge Analytica. Qué enseña a las empresas.
5 min de lectura
Node.js: diez vulnerabilidades corregidas, cuatro de alto riesgo
Node.js 22.23.4, 24.22.1 y 26.12.1 corrigen 10 vulnerabilidades, 4 de gravedad alta: posible evasión de controles y ejecución remota de código.
4 min de lectura
Nvidia OpenShell: arquitectura para confinar agentes de IA
Nvidia presenta OpenShell Reference Architecture: agentes de IA confinados por OpenShell y vigilados por Sentry en DPU BlueField-4. Cómo funciona y qué hacer.
6 min de lectura
Oracle CPU octubre 2026: 1.295 parches y cinco CVE prioritarios
Oracle publica 1.295 parches para más de 1.200 CVE: fallos CVSS 10 sin autenticación en E-Business Suite, SOA Suite y Access Manager. Qué hacer.
5 min de lectura
Signal: un fallo en RingRTC puede mantener abierta la llamada
CVE-2026-113380 (CVSS 9.3): quien está al otro lado de una llamada de Signal puede impedir que se cuelgue y seguir recibiendo audio y vídeo. Qué hacer.
5 min de lectura
Ebury en 333 nodos de salida Tor: contraseñas SSH interceptadas
A principios de octubre, 333 relays de salida de Tor comprometidos con Ebury desviaron conexiones SSH a 12 servidores para robar contraseñas: IoC y medidas.
6 min de lectura
AfD: hosting vulnerado, 421.000 correos en un archivo online
Vulnerado en septiembre el hosting del partido alemán AfD: 281 GB con 421.179 correos difundidos por torrent. Acceso, datos expuestos y lecciones para TI.
5 min de lectura
APT28: backdoor Hookedge contra la defensa en dos países OTAN
APT28 atacó un astillero naval, un fabricante de motores de aviones militares y una agencia policial en Europa con Hookedge y un loader inédito.
5 min de lectura
Agentes IA de Cairn usados para vulnerar más de 100 empresas
Tres clústeres maliciosos usaron la plataforma multiagente Cairn contra más de 1.200 sitios de comercio electrónico. Técnicas, cifras y qué hacer ya.
6 min de lectura
Chrome: avisos contra ClickFix y análisis Gemini de estafas
Chrome analiza los comandos ClickFix copiados, lleva Gemini a sus servidores y pide confirmación antes de conectar por HTTP: qué cambia para las empresas.
6 min de lectura
Data Cymru: ransomware vía una cuenta de prueba con ‘Password1’
La ICO amonesta a Ogi Networks y Data Cymru: una cuenta de prueba de 2012 con ‘Password1’ y contraseñas locales iguales expusieron datos de 3.300 personas.
5 min de lectura
eMudhra: claves de CA triviales, revocaciones y parches
Ocho CA intermedias de eMudhra tenían claves privadas P-384 inferiores a 256: cualquiera podía firmar certificados. Revocaciones, parches y controles.
6 min de lectura
Microsoft: agentes de IA como amenazas internas, permisos dinámicos
Microsoft amplía Project Perception: identidades propias para los agentes de IA, permisos ligados a la tarea, riesgo continuo y contención gradual.
6 min de lectura
OVHcloud CLI: cinco versiones secuestradas para robar secretos
Con la cuenta de GitHub de un desarrollador, un atacante sustituyó los binarios de OVHcloud CLI de la 0.11.0 a la 0.15.0: a quién afecta y qué hacer ya.
5 min de lectura
PAN-OS GlobalProtect: CVE-2026-0257 explotada por Qilin e INC
Grupos de ransomware como Qilin e INC explotan la CVE-2026-0257 de PAN-OS y Prisma Access para abrir sesiones VPN eludiendo el MFA. Detalles y qué hacer.
6 min de lectura
PHP: dos vulnerabilidades críticas, parches el 21 de octubre
CERT-EU: dos vulnerabilidades críticas en PHP (CVSS 9.2) con posible RCE, correcciones previstas el 21 de octubre de 2026. Qué se sabe y cómo prepararte.
4 min de lectura
Plex Media Server: cuatro CVE explotadas en el catálogo CISA KEV
CISA ha añadido al KEV cuatro vulnerabilidades de Plex Media Server: SSRF, URI no neutralizados y escritura de archivos. Versiones, plazos y qué hacer.
5 min de lectura
Claves de UpdraftCentral robadas: backdoors en sitios WordPress
Tras la brecha de TeamUpdraft, claves robadas de UpdraftCentral se usan para instalar plugins backdoor en sitios WordPress: versiones seguras y qué hacer.
5 min de lectura
Ahold Delhaize: ciberataque, sistemas offline en Europa y EE. UU.
Ahold Delhaize confirma acciones maliciosas tras la caída de webs y apps en Europa y EE. UU. Qué se sabe, qué falta y qué hacer en el comercio minorista.
5 min de lectura
El DHS prohíbe DeepSeek en las agencias federales civiles
El DHS ordena a las agencias federales civiles de EE. UU. excluir y retirar los productos de DeepSeek, también de terceros: motivos, obligaciones y lecciones.
5 min de lectura
Moody’s: 87 días para corregir las vulnerabilidades explotadas
Según Moody’s, el tiempo mediano para corregir una vulnerabilidad explotada es de 87 días; según Rapid7, el exploit llega en 3 días de media. Qué cambiar.
5 min de lectura
Nikkei: credenciales robadas exponen 1,83 millones de registros
Con credenciales robadas, atacantes entraron en el servicio en la nube de desarrollo de Nikkei: 1,83 millones de registros, 150.000 con datos personales.
5 min de lectura
OpenCode Console: brecha expone claves API de proveedores de IA
Acceso no autorizado a un sistema heredado de OpenCode Console: claves de OpenAI, Anthropic y Google en riesgo y cargos indebidos. Cómo comprobar y rotarlas.
6 min de lectura
Pegasus zero-click en el iPhone del rector de Belgrado
Citizen Lab confirma Pegasus con exploit zero-click en el iPhone del rector de Belgrado; un fiscal recibió una alerta de Apple. Qué saber y qué hacer.
5 min de lectura
Plex2Shell: cadena de exploits en Plex explotada en un día
Cuatro fallos de Plex Media Server encadenados en Plex2Shell: ejecución de código sin credenciales, explotada con un minero XMRig y un proxy tras el PoC.
5 min de lectura
Rank Math PRO 3.0.123 comprometido: backdoor en sitios WordPress
Durante 11 horas la descarga oficial de Rank Math PRO 3.0.123 distribuyó una backdoor que se recrea en cada visita: indicadores, limpieza y qué hacer ya.
5 min de lectura
Siemens Software Center explotado con DLL maliciosas vía ClickFix
La falla CVE-2026-110936 de Siemens Software Center es explotada por la campaña ClickFix Romulus con DLL maliciosas: cadena de ataque, indicadores y qué hacer.
6 min de lectura
California: robados vía SFTP de ETS datos de millones de alumnos
Una credencial comprometida dio acceso durante cuatro meses al servidor SFTP de ETS, proveedor de exámenes de California: copiados datos de alumnos.
5 min de lectura
ConnectWise: credencial comprometida abre 162 tenants de M365
Una credencial de la app ConnectWise Cloud Backup (antes SkyKick) abrió tenants de Microsoft 365: cadena de ataque, indicadores y comprobaciones en Entra ID.
6 min de lectura
AOMEI Backupper: backdoor desde servidores alterados por minutos
De abril a julio de 2026, los servidores de AOMEI sirvieron el dropper CROSSROAD y la backdoor SHINYROAD durante 5–10 minutos cada vez: detalles y qué hacer.
5 min de lectura
BeyondTrust Remote Support: zero-day explotado por Armory Castle
CVE-2026-102764 en BeyondTrust Remote Support, explotada desde agosto por Armory Castle, vinculado a China: cadena de ataque, indicadores y qué hacer.
6 min de lectura