56 noticias
Un usuario de Hacker News ha admitido públicamente que rompió accidentalmente el embargo de divulgación coordinada de vulnerabilidades críticas en PHP, específicamente las CVE-2026-109618 y CVE-2026-109619. El incidente ocurrió cuando el usuario, que compilaba la fuente de PHP y seguía el ciclo de l
Investigadores de Amazon Web Services (AWS) revelaron que un actor malicioso comenzó a explotar las vulnerabilidades críticas de PHP, denominadas colectivamente PHP2Shell, el 17 de octubre, cuatro días antes de la publicación pública de las correcciones. Este hallazgo, detectado mediante el análisis
El proyecto curl ha anunciado que a partir del 26 de octubre de 2026, las vulnerabilidades clasificadas como de severidad BAJA (LOW) o MODERADA (MEDIUM) serán publicadas como problemas en su repositorio de GitHub. Esta medida, adoptada tras una avalancha de reportes que ha saturado a los mantenedore
Un investigador ha documentado una vulnerabilidad crítica en la implementación propietaria de 802.11 de Broadcom, presente en sus SDK desde al menos 2010. Este fallo, que permite la ejecución remota de código sin autenticación, afecta a decenas de proveedores y cientos de productos de acceso inalámb
The Deathray es una prueba de concepto publicada por la investigadora Auberon López que demuestra cómo una página web maliciosa puede dejar inoperativo un Mac con solo pulsar un enlace. El ataque se basa en WebGPU, la API moderna que sustituye a WebGL y permite a las páginas enviar shaders a la GPU
El ingeniero de seguridad Adrian Colyer distingue dos perfiles profesionales en el lado defensivo de la ciberseguridad. El primero, la 'Seguridad como Identidad', construye su imagen alrededor del arquetipo del hacker: descubrir lo inesperado, revelar fallos espectaculares y reforzar una subcultura
La firma Manifold Security reveló una vulnerabilidad bautizada GitSpawn que afecta a múltiples asistentes de programación con inteligencia artificial y permite la ejecución remota de código en la máquina del desarrollador sin su consentimiento. El fallo reside en el mecanismo que estos agentes usan
El investigador Nick Pratley ha publicado la ingeniería inversa del parche silencioso que MikroTik distribuyó el 3 de septiembre de 2026 en las versiones 7.23.4, 7.24.2 y 6.49.21 de RouterOS. La compañía limitó su aviso a una recomendación de actualización genérica, sin detallar la vulnerabilidad, l
El investigador de seguridad Matt Burch presentó en las conferencias Black Hat y Defcon de Las Vegas nueve vulnerabilidades ya corregidas en CryptoPro Secure Disk, un software de cifrado de disco y autenticación previa al arranque fabricado por la firma alemana CryptWare y empleado por fabricantes d
Un analista de seguridad ha denunciado que Omarchy 4.0, la distribución Linux impulsada por David Heinemeier Hansson (DHH) y basada en Arch, presenta una serie de vulnerabilidades graves que la convierten en una opción desaconsejable para quienes se preocupen por la seguridad de su equipo. Entre los
A menos de un mes de que entre en vigor el artículo 14 del Reglamento de Ciberseguridad de la UE, un análisis sobre 623 proveedores europeos de software revela que el 76% no publica el fichero security.txt en la ruta estándar /.well-known/, lo que les deja sin un canal oficial para recibir avisos de
Un fallo de autorización en la API GraphQL del portal de solicitudes de Beam Living, empresa de gestión inmobiliaria participada por Blackstone, expuso datos personales sensibles de cualquier solicitante a partir de una simple dirección de email. Al revisar el tráfico de red durante su propio proces
Investigadores de la firma de ciberseguridad Varonis lograron que Microsoft 365 Copilot Enterprise revelara un parámetro interno no documentado que les permitió exfiltrar datos del usuario con un solo clic, sin necesidad de confirmación explícita. En lugar de recurrir a ingeniería inversa, los inves
El equipo de investigación Wiz descubrió el 23 de junio de 2026 una vulnerabilidad de inyección de comandos en el flujo de GitHub Actions del repositorio público snowflakedb/snowflake-connector-net de Snowflake. El fallo, introducido cinco días antes por un commit co-firmado por GitHub Copilot Autof
Apple ha decidido limitar el número de reportes que los investigadores de seguridad pueden presentar simultáneamente en su programa Apple Security Bounty, que ofrece recompensas de hasta cinco millones de dólares por detectar vulnerabilidades graves en sus sistemas operativos, servicios o dispositiv
El investigador de seguridad Nightmare Eclipse ha publicado los detalles de una nueva vulnerabilidad en Windows, bautizada como ShieldBreak, que permite a un atacante escalar privilegios hasta obtener el control total del dispositivo. El fallo explota una deficiencia en Windows Defender y funciona e
Dos investigadores de seguridad polacos presentaron en la conferencia Def Con de Las Vegas los resultados de un exhaustivo escaneo de la web pública de su país. Robert Kruczek y Kamil Szczurowski identificaron más de 10.000 entidades públicas con alrededor de 250.000 sitios web afectados por fallos
Un investigador de seguridad denuncia que la plataforma de grabación de reuniones con inteligencia artificial tl;dv (Too Long; Didn't View) mantuvo durante seis meses una vulnerabilidad crítica en su base de datos Firestore que permitía a cualquier usuario autenticado acceder a los metadatos de toda
PromptArmor ha divulgado públicamente vulnerabilidades en Atlassian Rovo, el agente de inteligencia artificial integrado en Jira y Confluence, que permiten extraer datos sensibles de una organización mediante inyección indirecta de prompts. El ataque no requiere aprobación humana y se ejecuta a trav
Investigadores han descubierto una vulnerabilidad crítica en el demonio de Screen Sharing de Apple (screensharingd) que afecta a macOS hasta la versión 26.5 y permite la ejecución remota de código como root sin necesidad de autenticación. El fallo se origina en la validación de la longitud de trama
Investigadores de Ethiack y de GMO Flatt Security han descubierto una vulnerabilidad crítica de ejecución remota de código (RCE) en Ruby on Rails que afecta al componente Active Storage cuando se usa con el procesador de imágenes libvips, registrado como CVE-2026-66066. Bautizada como KindaRails2She
A mediados de mayo, decenas de ingenieros y responsables de Microsoft se reunieron en la sede de Redmond (Washington) para abordar el llamado Proyecto Glasswing, una carrera contrarreloj para corregir vulnerabilidades detectadas por Claude Mythos Preview, un modelo de IA desarrollado por Anthropic.
JFrog y OpenAI hicieron pública la semana pasada una cadena de vulnerabilidades zero-day sin parche previo que los modelos de OpenAI detectaron de forma autónoma en instalaciones autoalojadas de Artifactory durante una evaluación interna de capacidades cibernéticas realizada en un entorno aislado y
Una vulnerabilidad crítica en la plataforma de gestión de flotas My Eicher, operada por VE Commercial Vehicles (joint venture de Volvo Group y Eicher Motors) y dirigida a propietarios de camiones y autobuses comerciales en India, permitió tomar el control de cualquier cuenta de usuario y, con ello,
GitHub anunció una reestructuración de su programa de recompensas por vulnerabilidades con el objetivo de premiar la calidad de los hallazgos frente al volumen de reportes. Los cambios, que entraron en vigor para los informes enviados a partir del 27 de julio de 2026, incluyen la creación de un prog
Un investigador autodidacta descubrió una vulnerabilidad crítica en Paxel, la herramienta que Y Combinator (YC) utiliza dentro de su programa Startup School 26 para puntuar el trabajo de los solicitantes con ayuda de un modelo de lenguaje. La aplicación, instalada mediante un único comando en el equ
Erin Marsh, única mantenedora de libcapstan —implementación de referencia del protocolo Capstan, con 80 millones de descargas mensuales y unos 40.000 paquetes dependientes— relata en el podcast Green Squares los retos de sostener una pieza crítica de infraestructura desde Nueva Zelanda. Tras quedars
Un investigador de seguridad descubrió que el firmware de varias cámaras de vigilancia de Hanwha Vision contenía un token de GitHub con privilegios de administrador sobre cientos de repositorios de la organización. El hallazgo se produjo al desempaquetar el firmware de los dispositivos, que estaba c
Un investigador de Searchlight Cyber ha informado del hallazgo de una cadena de exploits de ejecución remota de código (RCE) en WordPress que no requiere autenticación previa. El autor utilizó la versión GPT5.6 Sol Ultra de OpenAI con un prompt adaptado a partir del que la compañía publicó para reso
Qubes OS es un caso singular para medir la seguridad de un sistema operativo, porque su arquitectura basada en compartimentos hace que los límites entre componentes sean relevantes desde el punto de vista de la protección. Este trabajo presenta un análisis longitudinal, guiado por un protocolo explí
El investigador Christopher Childress, bajo el alias BadChemical, publicó el 16 de julio de 2026 los detalles de tres vulnerabilidades remediadas en la cámara interior Kasa Spot EC71 de TP-Link, corregidas en el firmware 2.4.1. El análisis, realizado sobre la versión 2.3.26 mediante extracción físic
Un investigador anónimo ha publicado un exploit para Windows que permite a cuentas con bajos privilegios modificar elementos sensibles de cuentas de administrador, apenas horas después de que Microsoft desplegara un número histórico de parches de seguridad. La vulnerabilidad, bautizada como HiveLega
El equipo de seguridad VEGA, de NebuleSec, ha descubierto GhostLock (CVE-2026-43499), una vulnerabilidad en el kernel Linux presente en todas las distribuciones principales desde 2011. El fallo es un stack use-after-free en el subsistema rtmutex que puede activarse sin privilegios especiales ni conf
DirtySlide es una vulnerabilidad de macOS que permite a un proceso sin privilegios obtener root a partir de una única comprobación de límites ausente en el kernel XNU. El fallo se localiza en la función vm_shared_region_slide_page_v5(), encargada de aplicar el rebaseo ASLR a las páginas del caché co
Investigadores de Noma Labs han descubierto una vulnerabilidad crítica de inyección de instrucciones en los nuevos GitHub Agentic Workflows, bautizada como GitLost, que permite a un atacante sin credenciales extraer datos de repositorios privados de una organización. El fallo reside en que el agente
La empresa de seguridad zkSecurity ha aplicado su canal de auditoría basado en inteligencia artificial a CIRCL, la biblioteca experimental de criptografía avanzada y poscuántica de Cloudflare, y ha confirmado siete vulnerabilidades reales, ya corregidas en el repositorio original. La mayoría recibió
El proyecto OpenSSH publicó el 6 de julio de 2026 la versión 10.4 de su implementación del protocolo SSH 2.0, disponible en los mirrors oficiales. Larelease notes incluye soporte experimental para un esquema compuesto de firma poscuántica que combina ML-DSA 44 y Ed25519, definido en el borrador draf
Un investigador descubrió una vulnerabilidad de inyección SQL sin autenticar en la API de dispositivos de Front Gate Tickets (FGT), filial de Live Nation y Ticketmaster que gestiona la venta de entradas de festivales como EDC, Bonnaroo y Outside Lands. La brecha afectaba al dominio fgtapi.frontgatet
Un investigador de seguridad, bajo el seudónimo Javoriuski, ha detallado una vulnerabilidad de inyección de prompts en el asistente Ask Studio de YouTube que permite a cualquier usuario extraer metadatos de vídeos privados de los creadores. Ask Studio es la herramienta de IA integrada en YouTube Stu
Un investigador de seguridad ha descubierto una vulnerabilidad crítica en MSI Center, el software preinstalado en portátiles y equipos de sobremesa de la marca taiwanesa, que permite a cualquier usuario autenticado obtener privilegios de SYSTEM (máximo nivel) en el sistema en cuestión de segundos. E
El número de vulnerabilidades informáticas divulgadas se disparó tras el anuncio, en abril de 2026, del modelo Claude Mythos Preview por parte de Anthropic, capaz de detectar y explotar fallos de seguridad de forma autónoma. En junio, los CVEs de gravedad alta y crítica superaron en más de 3,5 veces
Un investigador ha publicado una prueba de concepto que demuestra un escape completo de sandbox en KDE Plasma a través de la función 'Open New Window'. La vulnerabilidad permite que una aplicación confinada en Flatpak suplante la identidad de otra aplicación y ejecute binarios arbitrarios en el sist
El investigador Christoph Haas, de la firma alemana Hacking Cult, ha publicado los detalles de cinco vulnerabilidades que descubrió en OPNsense, el conocido firewall y router de código abierto basado en FreeBSD. El hallazgo más grave, identificado como CVE-2026-57155 con una puntuación CVSS de 9.9,
Los responsables del servicio de eliminación de datos personales EasyOptOuts, Ben y Tyler, han descubierto varias vulnerabilidades en 'Hide My Email', la función de privacidad de iCloud+ que genera direcciones de correo aleatorias para ocultar la dirección personal del usuario. Según explican, un at
El investigador de seguridad Ian Carroll descubrió en abril una vulnerabilidad en Front Gate Tickets, la plataforma que gestiona la venta de entradas para prácticamente todos los grandes festivales de música de Estados Unidos —desde Lollapalooza y South by Southwest hasta Austin City Limits— y que,
Una coalición de veinte grandes tecnológicas y entidades financieras anunció el 25 de junio de 2026 el lanzamiento de Akrites, descrita como la mayor operación coordinada de la historia para encontrar, corregir y divulgar de forma responsable vulnerabilidades en el software de código abierto que sos
Akrites es una iniciativa sectorial recién presentada por la industria tecnológica que ofrece un Equipo de Respuesta ante Incidentes de Seguridad (SIRT) compartido y centralizado para coordinar el descubrimiento, la remediación y la divulgación de vulnerabilidades en los proyectos de código abierto
La empresa de seguridad AISLE identificó seis de las dieciocho vulnerabilidades (CVE) incluidas en la versión 8.21.0 de curl, publicada el 24 de junio de 2026. Entre los hallazgos destaca CVE-2026-8932, el fallo de seguridad más antiguo reportado hasta ahora en el proyecto: lleva presente más de 25
Un investigador de seguridad ha hecho públicas dos vulnerabilidades que descubrió en aplicaciones web de Johnson & Johnson: un sistema de reclutamiento universitario que expuso los datos de cerca de mil estudiantes y una plataforma interna de gestión de auditorías con acceso a 13.600 empleados y 20
Filippo Valsorda, referente histórico del equipo de seguridad de Go y actual responsable de mantenimiento profesional en Geomys, sostiene que los informes de vulnerabilidades han dejado de merecer un tratamiento excepcional dentro del software libre. Durante años, el consenso fue que estos reportes
Apple ha desplegado una actualización de firmware para los auriculares inalámbricos Beats Studio Buds que soluciona una vulnerabilidad de gravedad alta (8,8 sobre 10) explotable por atacantes cercanos para escuchar conversaciones del micrófono del dispositivo vinculado. Identificada como CVE-2025-20
El proyecto curl anunció que no aceptará ni gestionará reportes de vulnerabilidades durante todo el mes de julio de 2026, en una iniciativa que sus responsables denominan "veraneo de bienestar". El formulario de envío en HackerOne permanecerá inactivo desde el 1 de julio a las 00:00 CEST hasta el 3
AMD se encuentra en el centro de una controversia que combina dos episodios distintos pero reveladores de cómo la compañía gestiona la seguridad y la transparencia con sus usuarios. Por un lado, el fabricante ha eliminado silenciosamente una función de cifrado de memoria de sus procesadores Ryzen de
Un equipo interno de Google dedicado a análisis de seguridad con IA ha reportado 17 vulnerabilidades reales en el procesador de trazas de Perfetto, una biblioteca en C++ para procesar trazas de registro, en apenas diez semanas entre abril y mayo. Los informes, de alta calidad y con propuestas de sol
La herramienta de inteligencia artificial Codex descubrió una vulnerabilidad de denegación de servicio remota en el protocolo HTTP/2 que afecta a la mayoría de los grandes servidores web, incluidos nginx, Apache httpd, Microsoft IIS, Envoy y Cloudflare Pingora, en su configuración por defecto. El at
Este artículo relata una experiencia de divulgación responsable de una vulnerabilidad crítica descubierta en el portal de miembros de una importante aseguradora de buceo, por parte de un instructor de buceo e ingeniero de plataformas. El autor, mientras realizaba un viaje de buceo, notó una falla fu
