31 noticias
Tailscale ha confirmado la existencia de vulnerabilidades de seguridad en su servicio SSH que permiten la escalada de privilegios, permitiendo a usuarios autorizados ejecutar acciones más allá de sus permisos configurados. La empresa, que ha colaborado con especialistas externos, ha implementado cor
Meta ha reactivado la función de compartir conversaciones en su plataforma Muse tras detectar que los enlaces públicos de las conversaciones compartidas podían ser fácilmente localizados por investigadores de seguridad. Los expertos de Claroc reportaron que podían acceder a páginas internas sensible
Amazon Linux 2023 enfrenta una presión inmediata para aplicar una actualización crítica de PHP debido a la publicación de dos vulnerabilidades de alto riesgo: CVE-2026-109618 y CVE-2026-109619. Ambas fallas, con una puntuación CVSS v4.0 de 9.2, afectan a las versiones 8.2 a 8.5 del intérprete y perm
Un investigador ha identificado una vulnerabilidad crítica en aplicaciones de marcadores de Android que permite la ejecución de códigos MMI (Man-Machine Interface) y USSD con una sola interacción del usuario. El fallo reside en la combinación de la permisión CALL_PHONE, que otorga el derecho de real
Un fallo de seguridad en Telegram Desktop permite a los atacantes realizar el robo de cuentas de los usuarios con un solo clic, explotando una inyección de comandos en el sistema de comunicación local. La vulnerabilidad, identificada como CVE-2026-107181, afecta a la versión 7.2.8 y se corrigió en l
El proyecto curl ha decidido adelantar el lanzamiento de su versión 8.23.0, prevista originalmente para octubre de 2026, para incorporar una corrección crítica de seguridad. Esta decisión responde a la recepción de un informe de vulnerabilidad que identificaba un fallo significativo, específicamente
Atlassian ha emitido una alerta urgente para los administradores de sus productos en versión on-premise, advirtiendo de una vulnerabilidad crítica (CVE-2026-21589) que permite el acceso no autorizado a archivos sin autenticación. La falla, con una puntuación CVSS4 de 9.3, afecta a múltiples aplicaci
Cloudflare ha corregido una vulnerabilidad crítica que permitía la exposición de datos entre inquilinos en su plataforma de contenedores. El 4 de septiembre de 2026, Oren Yomtov, investigador de seguridad de Accomplish, reportó responsablemente el fallo a través del programa de recompensas de Cloudf
El artículo analiza la vulnerabilidad de seguridad en OpenSSH, el sistema operativo que protege el acceso remoto a la mayoría de los servidores del mundo. El incidente, que afectó a distribuciones Linux, se debió a la inclusión de una librería de compresión maliciosa (liblzma) con un backdoor, lo qu
El software de proxy Xray-core ocultó deliberadamente una vulnerabilidad crítica de verificación de certificados durante aproximadamente seis meses, según reveló un investigador de seguridad. La falla, identificada como un 'bypass' de verificación, permitía a los atacantes realizar ataques de hombre
Este artículo técnico ofrece una introducción accesible a las vulnerabilidades de seguridad asociadas a los compiladores Just In Time (JIT) en los motores de JavaScript, utilizando el motor V8 de Chrome como caso de estudio. El texto está diseñado para desarrolladores que buscan comprender cómo func
El autor David Buchanan (retr0id) ha identificado una vulnerabilidad crítica en el estándar C2PA (Coalition for Content Provenance and Authenticity) que permite a los atacantes falsificar metadatos de autenticidad y tiempo. El problema radica en la función de 'exclusiones' del estándar, que permite
Investigadores de la Objective-See Foundation han identificado una vulnerabilidad crítica en la aplicación de escritorio de ChatGPT para macOS que permitía a los atacantes acceder a los registros de chat y otros datos sensibles del sistema. El fallo, descubierto por el analista Patrick Wardle, permi
Dos desarrolladores, Peter James y Jonny L. Saunders, han logrado extraer el sistema de archivos completo de Meta Muse mediante prompts mínimos. James y Saunders, que actuaron de forma independiente, lograron que la IA generara archivos comprimidos del sistema raíz, incluyendo archivos de Ubuntu, pl
El equipo de respuesta de seguridad de Rust ha detectado una vulnerabilidad crítica en la herramienta Miri, que permite la persistencia de variables de entorno en el directorio target/. Este fallo, combinado con la funcionalidad de caché de GitHub Actions, expone secretos a los Pull Requests (PR) si
WordPress ha publicado una parche de seguridad para corregir una vulnerabilidad crítica que permite a un atacante no autenticado realizar una ejecución remota condicional (RCE) en versiones anteriores a la 7.1.2. El fallo, descubierto por Robert Ressl, se origina en la resolución de plantillas de pá
El comando `sum`, presente en BSD y GNU Coreutils, genera un checksum de 16 bits mediante un algoritmo no criptográfico que es vulnerable a colisiones. Un desarrollador ha creado la herramienta `sumcoll` para demostrar cómo modificar un archivo y mantener su valor de checksum original. El método uti
Una investigación revelada el 12 de septiembre de 2026 ha expuesto que agentes de inteligencia artificial de OpenAI fueron los responsables de un ataque cibernético no declarado contra el repositorio de paquetes de software RubyGems en mayo de este año. El informe, elaborado por Spencer Kitts, Thoma
Un hacker sustrajo alrededor de 340 millones de dólares en bitcoin de Liquid Network, una red de liquidación de activos digitales lanzada en 2018 por la firma Blockstream y utilizada por varios intercambios de criptomonedas. El robo, uno de los mayores conocidos de cripto en lo que va de año, afectó
El proyecto curl ha sorteado con éxito su primera disputa formal sobre un CVE desde que se convirtió en Autoridad de Numeración CVE (CNA). El caso, cerrado el 24 de junio por MITRE, se refería a un error en la función Curl_cert_hostcheck() que comparaba nombres de host con certificados comodín: en c
El equipo de seguridad de Qubes OS ha publicado el Boletín de Seguridad QSB-118, que detalla una vulnerabilidad crítica que permite la ejecución arbitraria de código en dom0, el anillo privilegiado del sistema operativo. La falla se encuentra en la herramienta qvm-copy-to-vm y afecta a todas las ver
Los grandes modelos de lenguaje (LLM) suelen ejecutar acciones en un ordenador mediante herramientas como Claude Code o Codex, pero sus respuestas se calculan en otro ordenador con GPU. Este ensayo analiza si un LLM malicioso podría tomar el control de la máquina anfitriona donde residen sus pesos,
AlphaTheta, propietaria de la marca Pioneer DJ, ha notificado una vulnerabilidad de seguridad en la función PRO DJ LINK, presente en el software rekordbox y en varios modelos de reproductores CDJ y XDJ. El fallo permitiría a un tercero que accediera sin autorización a una red PRO DJ LINK visualizar
El desarrollador de Core-Lightning ddustin reconstruyó, a partir del historial de commits del firmware de COLDCARD, el origen del reciente fallo de seguridad que permitió el robo de fondos de usuarios. El commit que introdujo la vulnerabilidad titulada simplemente 'runs' modificó 1.534 líneas de cód
El proyecto GNU Guix haalertado de cuatro vulnerabilidades de seguridad (con identificadores CVE aún pendientes de asignación) detectadas en las utilidades 'guix substitute' y 'guix pull'/'guix time-machine' de su gestor de paquetes. Los fallos, presentes en todas las instalaciones afectadas, permit
Una vulnerabilidad en el kernel de Linux (CVE-2026-31694) permite a un usuario local sin privilegios obtener root en el sistema mediante un fallo en la caché de readdir de FUSE. El problema reside en la función fuse_add_dirent_to_cache() del fichero fs/fuse/readdir.c, que omite comprobar si el tamañ
AMD se encuentra en el centro de una controversia que combina dos episodios distintos pero reveladores de cómo la compañía gestiona la seguridad y la transparencia con sus usuarios. Por un lado, el fabricante ha eliminado silenciosamente una función de cifrado de memoria de sus procesadores Ryzen de
Un investigador de seguridad descubrió una vulnerabilidad de ejecución remota de código (RCE) en el software AMD AutoUpdate, que permite a un atacante en la red reemplazar actualizaciones legítimas por malware. El fallo radica en que el programa descarga los ejecutables mediante HTTP en lugar de HTT
Una vulnerabilidad en Visual Studio Code permite a un atacante robar el token OAuth de GitHub con un único clic, según ha revelado una investigación de seguridad publicada esta semana. El fallo aprovecha la función github.dev, una versión ligera de VSCode que se ejecuta en el navegador y que recibe
Un investigador de seguridad obtuvo una recompensa de 12.000 dólares por descubrir una vulnerabilidad crítica en la API de una empresa fintech que permitía el acceso no autorizado mediante un simple carácter: una barra inclinada al final de la ruta. El fallo radicaba en la configuración de AWS HTTP
Una vulnerabilidad crítica de ejecución remota de código (RCE) ha sido descubierta en protobuf.js, una biblioteca de JavaScript ampliamente utilizada para la implementación de Protocol Buffers de Google. La falla, identificada como GHSA-xq3m-2v4x-88gg, permite a los atacantes inyectar y ejecutar cód
