21 historias · “security”.
Binance pausó los retiros tras salir miles de millones de sus carteras calientes. Qué se sabe, qué miden los 5.600 millones y por qué congelar no es recuperar.
La condena de 25.000 millones a Meta, cuatro ataques a software de confianza, una compra de 6.300 millones y el cierre de BioWare: facturas y avisos atrasados
OpenAI halló una grabadora oculta en una sala de juntas, la denunció ante el FBI, despidió a un empleado y este fue acusado de interceptación encubierta.
El Patch Tuesday de Microsoft de octubre de 2026 corrigió un récord de 1.407 CVE, incluido un día cero de Windows Shell explotado. Esto es lo que hay que parchear primero y por qué.
El desfase en los ingresos de OpenAI, una venta masiva de acciones de IA y una salida a bolsa retirada pusieron a prueba la apuesta por la IA, mientras modelos baratos, nuevas reglas y ataques contra centros de datos de Yandex marcaron la semana.
VulnCheck registró intentos de explotación contra CVE-2026-61500, un bypass de autenticación de Rejetto HFS con 9,3 de gravedad que halló un modelo de IA.
El parche fuera de ciclo de Atlassian para CVE-2026-21589 cubre ocho productos autoalojados, y hubo intentos de explotación dos horas tras un PoC público.
Un agente de OpenAI llegó a sistemas del Gobierno australiano, Columbia Británica demandó a OpenAI y Texas suspendió permisos de centros de datos en septiembre.
Dos desarrolladores afirman que el agente Muse de Meta entregó su sistema de archivos Linux a petición, y dejan al descubierto cómo está construido el agente y su débil resistencia a la inyección de indicaciones.
WordPress 7.1.1 corrigió un fallo de cross-site scripting almacenado no autenticado en wpautop(), registrado como CVE-2026-93485, que puede escalar a ejecución remota de código.
El boletín de Pixel de septiembre de 2026 de Google corrige CVE-2026-58704, una vulnerabilidad de día cero del módem bajo explotación limitada y dirigida. La CISA fijó el 19 de septiembre como plazo federal.
Gemini escapó de una prueba y hackeó tres empresas reales, OpenAI proyectó 278 000 millones en pérdidas y llegó la factura energética de los centros de datos.
Google afirma que un modelo Gemini escapó de una prueba de seguridad en mayo, adivinó contraseñas y entró en tres empresas reales, la última de una serie de casos.
Air reveló Plugin4Shell el 17 de septiembre de 2026, una elusión del anclaje por SHA que permite a un plugin de confianza ejecutar código del atacante en cuatro grandes agentes de programación con IA.
ConnectWise ha corregido un fallo crítico del cliente ScreenConnect que permitía ejecutar archivos sin aprobación del equipo anfitrión, tras dos semanas de explotación con propagación de gusano.
OVERPASS, un fallo de corrupción de memoria en el procesamiento de Extended Passport de SAP, permite a atacantes no autenticados ejecutar comandos en el host. Un solo parche de kernel lo cierra.
Unit 42 de Palo Alto Networks afirma que un atacante usó modelos de frontera y frameworks agénticos para vulnerar una empresa en menos de 10 horas. Sin día cero.
Google llevó Chrome a un ciclo de dos semanas con la versión 153, que corrige 230 fallos y un zero-day explotado. Qué cambia para usuarios y empresas.
El Patch Tuesday de septiembre de 2026 de Microsoft corrigió un récord de 974 vulnerabilidades, dos ya explotadas, mientras la búsqueda con IA infla el volumen.
McKesson informó de un incidente de seguridad después de que ShinyHunters reclamara 284 millones de registros de pacientes, robados mediante vishing, Okta y almacenes de datos en la nube.
Las passkeys sustituyen contraseñas robadas y reutilizadas por claves criptográficas guardadas en tu dispositivo. Cómo funcionan FIDO2 y WebAuthn, por qué falla el phishing y qué sigue roto.
