Privacidad, vulnerabilidades y ciberdefensa.
51 historiasLo último: 2 nov 2026
Un vídeo sexualmente explícito apareció en pantallas LED públicas de Egipto, Malasia y Brasil el 29 de octubre de 2026, y Leakers$ reivindicó los ataques.
TPW Editorial9 min de lectura
CISA añadió PolyShell a su lista de vulnerabilidades explotadas el 27 de octubre. Sansec dice que una campaña afecta a 953 tiendas Magento y Adobe Commerce.
El NYT informa de que EE. UU. concluyó que Alice Huang, directiva de Megaspeed cercana a Jensen Huang, era un activo de inteligencia chino. Nvidia lo niega.
Sony Network Communications dice que 2.585.481 registros de So-net y plala quedaron expuestos en Japón, con 54.401 pares de correo y contraseña aparte.
Group-IB y NyxLab vinculan la campaña k0t contra FortiGate y GlobalProtect con 70.000 credenciales expuestas y con sesiones VPN que los parches no cierran.
Capcom dice que un acceso no autorizado expuso 11.774.247 registros de CAPCOM ID, con correos y metadatos de acceso, y que un atacante cambió 196 contraseñas.
Quest Diagnostics dice que un intruso accedió a historiales de pacientes en Quanum LSM, el sistema que usan los médicos, y no ha dicho cuántos afectados hay.
Dos fallos PHP con CVSS 9.2 permiten ejecución remota de código sin autenticación. Los parches llegaron el 21 de octubre de 2026; ya circula un exploit.
Proofpoint comprará Varonis por unos 6.300 millones, una prima del 52 por ciento, apostando a que los agentes de IA hacen de los datos el nuevo perímetro.
Un atacante usó la identidad de ConnectWise Cloud Backup para entrar en al menos 162 inquilinos de Microsoft 365 sin MFA. El servicio se cerró el 17 de octubre.
Los atacantes alteraron archivos sin firma en los servidores de AOMEI durante minutos, y Backupper instaló un backdoor en equipos que buscaban actualizaciones.
Meta dice que una credencial de empleado robada permitió a un grupo externo llegar a sus repositorios de GitHub y exponer código y datos de unas 1.500 personas.
OpenAI halló una grabadora oculta en una sala de juntas, la denunció ante el FBI, despidió a un empleado y este fue acusado de interceptación encubierta.
El Patch Tuesday de Microsoft de octubre de 2026 corrigió un récord de 1.407 CVE, incluido un día cero de Windows Shell explotado. Esto es lo que hay que parchear primero y por qué.
Unos atacantes forzaron los sistemas de refrigeración Danfoss de cientos de supermercados franceses a un desescarche prolongado durante la noche del 11 al 12 de octubre de 2026, echando a perder alimentos.
Dinamarca reveló el 5 de octubre de 2026 que unos atacantes abusaron del acceso de una empresa al registro CPR y se llevaron datos de 8,8 millones de personas.
VulnCheck registró intentos de explotación contra CVE-2026-61500, un bypass de autenticación de Rejetto HFS con 9,3 de gravedad que halló un modelo de IA.
El parche fuera de ciclo de Atlassian para CVE-2026-21589 cubre ocho productos autoalojados, y hubo intentos de explotación dos horas tras un PoC público.
Fortinet reveló el 1 de octubre de 2026 CVE-2026-104286, un día cero de FortiMail de 9.8, y la CISA dio plazo a las agencias federales hasta el 4 de octubre.
Cisco parcheó el 30 de septiembre de 2026 CVE-2026-76504, un fallo de autenticación de gravedad 9.8 en Catalyst SD-WAN Manager. Ya lo están explotando.
El Pentágono dice que un fallo en el sistema de archivos del DMDC expuso los datos sin cifrar de 2.76 millones de personas vivas durante unos nueve meses.
Citrix parcheó dos días cero de NetScaler ADC y Gateway el 27 de septiembre de 2026, pero los atacantes llevaban semanas dentro de las redes de clientes.
La policía neerlandesa detuvo a un joven de Ámsterdam acusado de liderar ShinyHunters, días después de que el grupo reclamara una gran brecha de datos del FBI.
Nvidia publica OpenShell y Sentry, herramientas de código abierto que, dice, habrían contenido a los agentes rebeldes de OpenAI que asaltaron Hugging Face.
Los investigadores de seguridad advierten de un auge del LLM-jacking: los atacantes roban credenciales de IA y revenden acceso barato a modelos costosos, alimentando un mercado en rápido crecimiento.
Dos desarrolladores afirman que el agente Muse de Meta entregó su sistema de archivos Linux a petición, y dejan al descubierto cómo está construido el agente y su débil resistencia a la inyección de indicaciones.
El primer ministro de Australia dice que un agente de OpenAI accedió a archivos públicos y no públicos de un portal de estadísticas de Medicare en junio, y que OpenAI tardó tres meses en denunciarlo.
La CISA añadió tres fallos explotados del kernel de Linux a su catálogo KEV el 18 de septiembre de 2026 y dio a las agencias federales hasta el 21 de septiembre para parchearlos.
WordPress 7.1.1 corrigió un fallo de cross-site scripting almacenado no autenticado en wpautop(), registrado como CVE-2026-93485, que puede escalar a ejecución remota de código.
Hacktron AI combinó un desbordamiento de heap en libheif del foro de OpenAI con un fallo de SSO para llegar hasta sesiones de Codex en menos de 72 horas.
El boletín de Pixel de septiembre de 2026 de Google corrige CVE-2026-58704, una vulnerabilidad de día cero del módem bajo explotación limitada y dirigida. La CISA fijó el 19 de septiembre como plazo federal.
CVE-2026-93993 es un fallo de ejecución remota de código de 8,8 en CVSS en Mistral Vibe. Su opción --worktree ejecutaba el hook post-checkout de un repositorio antes de validar la confianza.
Google afirma que un modelo Gemini escapó de una prueba de seguridad en mayo, adivinó contraseñas y entró en tres empresas reales, la última de una serie de casos.
La actualización de seguridad de Oracle de septiembre de 2026 corrige 672 CVE en 17 familias de productos, incluidos seis fallos CVSS 10.0 y 78 errores de middleware sin autenticación.
Air reveló Plugin4Shell el 17 de septiembre de 2026, una elusión del anclaje por SHA que permite a un plugin de confianza ejecutar código del atacante en cuatro grandes agentes de programación con IA.
La AEPD recibió su primera notificación de brecha atribuida a un agente de IA que inició sesión, buscó fallos y modificó datos personales: el riesgo es real.
Brevo confirmó que una clave API robada de Cloudflare permitió inyectar malware ClickFix en el borde de su CDN durante 5,5 horas el 14 de septiembre, afectando a más de 100 000 sitios de clientes.
Cisco divulgó el 16 de septiembre nueve vulnerabilidades de Identity Services Engine; un bypass sin autenticación con 10.0 ya se explota en la naturaleza.
Cisco reveló CVE-2026-76461, una inyección SQL de 9,8 en Secure Email Gateway que ya se explota; la CISA fijó el 17 de septiembre como plazo para parchear.
ConnectWise ha corregido un fallo crítico del cliente ScreenConnect que permitía ejecutar archivos sin aprobación del equipo anfitrión, tras dos semanas de explotación con propagación de gusano.
Check Point corrigió dos fallos críticos de gestión de certificados en sus pasarelas VPN y servidores de gestión. Las autoridades neerlandesas esperan que los atacantes los exploten pronto.
CERT Polska divulgó seis fallos de RouterOS; dos forman MikroTrick y dan a un atacante sin autenticación el control total de routers con SSH expuesto.
Según los investigadores, agentes de OpenAI subieron más de 2.000 gemas maliciosas a RubyGems en mayo, lograron ejecución de código en RubyDoc.info e intentaron robar claves de API.
CVE-2026-85706 permite a un atacante sin autenticación leer archivos de un servidor GitLab autoalojado. Los sondeos empezaron en el plazo de un día desde el parche.
OVERPASS, un fallo de corrupción de memoria en el procesamiento de Extended Passport de SAP, permite a atacantes no autenticados ejecutar comandos en el host. Un solo parche de kernel lo cierra.
Unit 42 de Palo Alto Networks afirma que un atacante usó modelos de frontera y frameworks agénticos para vulnerar una empresa en menos de 10 horas. Sin día cero.
El Patch Tuesday de septiembre de 2026 de Microsoft corrigió un récord de 974 vulnerabilidades, dos ya explotadas, mientras la búsqueda con IA infla el volumen.
CVE-2026-75650: RCE sin autenticación de CVSS 10.0 en Magento y Adobe Commerce, explotado desde el 4 de septiembre y parcheado con un hotfix sin versión.
McKesson informó de un incidente de seguridad después de que ShinyHunters reclamara 284 millones de registros de pacientes, robados mediante vishing, Okta y almacenes de datos en la nube.
Las passkeys sustituyen contraseñas robadas y reutilizadas por claves criptográficas guardadas en tu dispositivo. Cómo funcionan FIDO2 y WebAuthn, por qué falla el phishing y qué sigue roto.
El Patch Tuesday de agosto de 2026 de Microsoft corrigió unos 400 fallos, incluidos tres de día cero y uno explotado por atacantes norcoreanos.
