33 noticias
Una vulnerabilidad crítica en la plataforma de gestión de flotas My Eicher, operada por VE Commercial Vehicles (joint venture de Volvo Group y Eicher Motors) y dirigida a propietarios de camiones y autobuses comerciales en India, permitió tomar el control de cualquier cuenta de usuario y, con ello,
GitHub anunció una reestructuración de su programa de recompensas por vulnerabilidades con el objetivo de premiar la calidad de los hallazgos frente al volumen de reportes. Los cambios, que entraron en vigor para los informes enviados a partir del 27 de julio de 2026, incluyen la creación de un prog
Un investigador autodidacta descubrió una vulnerabilidad crítica en Paxel, la herramienta que Y Combinator (YC) utiliza dentro de su programa Startup School 26 para puntuar el trabajo de los solicitantes con ayuda de un modelo de lenguaje. La aplicación, instalada mediante un único comando en el equ
Erin Marsh, única mantenedora de libcapstan —implementación de referencia del protocolo Capstan, con 80 millones de descargas mensuales y unos 40.000 paquetes dependientes— relata en el podcast Green Squares los retos de sostener una pieza crítica de infraestructura desde Nueva Zelanda. Tras quedars
Un investigador de seguridad descubrió que el firmware de varias cámaras de vigilancia de Hanwha Vision contenía un token de GitHub con privilegios de administrador sobre cientos de repositorios de la organización. El hallazgo se produjo al desempaquetar el firmware de los dispositivos, que estaba c
Un investigador de Searchlight Cyber ha informado del hallazgo de una cadena de exploits de ejecución remota de código (RCE) en WordPress que no requiere autenticación previa. El autor utilizó la versión GPT5.6 Sol Ultra de OpenAI con un prompt adaptado a partir del que la compañía publicó para reso
Qubes OS es un caso singular para medir la seguridad de un sistema operativo, porque su arquitectura basada en compartimentos hace que los límites entre componentes sean relevantes desde el punto de vista de la protección. Este trabajo presenta un análisis longitudinal, guiado por un protocolo explí
El investigador Christopher Childress, bajo el alias BadChemical, publicó el 16 de julio de 2026 los detalles de tres vulnerabilidades remediadas en la cámara interior Kasa Spot EC71 de TP-Link, corregidas en el firmware 2.4.1. El análisis, realizado sobre la versión 2.3.26 mediante extracción físic
Un investigador anónimo ha publicado un exploit para Windows que permite a cuentas con bajos privilegios modificar elementos sensibles de cuentas de administrador, apenas horas después de que Microsoft desplegara un número histórico de parches de seguridad. La vulnerabilidad, bautizada como HiveLega
El equipo de seguridad VEGA, de NebuleSec, ha descubierto GhostLock (CVE-2026-43499), una vulnerabilidad en el kernel Linux presente en todas las distribuciones principales desde 2011. El fallo es un stack use-after-free en el subsistema rtmutex que puede activarse sin privilegios especiales ni conf
DirtySlide es una vulnerabilidad de macOS que permite a un proceso sin privilegios obtener root a partir de una única comprobación de límites ausente en el kernel XNU. El fallo se localiza en la función vm_shared_region_slide_page_v5(), encargada de aplicar el rebaseo ASLR a las páginas del caché co
Investigadores de Noma Labs han descubierto una vulnerabilidad crítica de inyección de instrucciones en los nuevos GitHub Agentic Workflows, bautizada como GitLost, que permite a un atacante sin credenciales extraer datos de repositorios privados de una organización. El fallo reside en que el agente
La empresa de seguridad zkSecurity ha aplicado su canal de auditoría basado en inteligencia artificial a CIRCL, la biblioteca experimental de criptografía avanzada y poscuántica de Cloudflare, y ha confirmado siete vulnerabilidades reales, ya corregidas en el repositorio original. La mayoría recibió
El proyecto OpenSSH publicó el 6 de julio de 2026 la versión 10.4 de su implementación del protocolo SSH 2.0, disponible en los mirrors oficiales. Larelease notes incluye soporte experimental para un esquema compuesto de firma poscuántica que combina ML-DSA 44 y Ed25519, definido en el borrador draf
Un investigador descubrió una vulnerabilidad de inyección SQL sin autenticar en la API de dispositivos de Front Gate Tickets (FGT), filial de Live Nation y Ticketmaster que gestiona la venta de entradas de festivales como EDC, Bonnaroo y Outside Lands. La brecha afectaba al dominio fgtapi.frontgatet
Un investigador de seguridad, bajo el seudónimo Javoriuski, ha detallado una vulnerabilidad de inyección de prompts en el asistente Ask Studio de YouTube que permite a cualquier usuario extraer metadatos de vídeos privados de los creadores. Ask Studio es la herramienta de IA integrada en YouTube Stu
Un investigador de seguridad ha descubierto una vulnerabilidad crítica en MSI Center, el software preinstalado en portátiles y equipos de sobremesa de la marca taiwanesa, que permite a cualquier usuario autenticado obtener privilegios de SYSTEM (máximo nivel) en el sistema en cuestión de segundos. E
El número de vulnerabilidades informáticas divulgadas se disparó tras el anuncio, en abril de 2026, del modelo Claude Mythos Preview por parte de Anthropic, capaz de detectar y explotar fallos de seguridad de forma autónoma. En junio, los CVEs de gravedad alta y crítica superaron en más de 3,5 veces
Un investigador ha publicado una prueba de concepto que demuestra un escape completo de sandbox en KDE Plasma a través de la función 'Open New Window'. La vulnerabilidad permite que una aplicación confinada en Flatpak suplante la identidad de otra aplicación y ejecute binarios arbitrarios en el sist
El investigador Christoph Haas, de la firma alemana Hacking Cult, ha publicado los detalles de cinco vulnerabilidades que descubrió en OPNsense, el conocido firewall y router de código abierto basado en FreeBSD. El hallazgo más grave, identificado como CVE-2026-57155 con una puntuación CVSS de 9.9,
Los responsables del servicio de eliminación de datos personales EasyOptOuts, Ben y Tyler, han descubierto varias vulnerabilidades en 'Hide My Email', la función de privacidad de iCloud+ que genera direcciones de correo aleatorias para ocultar la dirección personal del usuario. Según explican, un at
El investigador de seguridad Ian Carroll descubrió en abril una vulnerabilidad en Front Gate Tickets, la plataforma que gestiona la venta de entradas para prácticamente todos los grandes festivales de música de Estados Unidos —desde Lollapalooza y South by Southwest hasta Austin City Limits— y que,
Una coalición de veinte grandes tecnológicas y entidades financieras anunció el 25 de junio de 2026 el lanzamiento de Akrites, descrita como la mayor operación coordinada de la historia para encontrar, corregir y divulgar de forma responsable vulnerabilidades en el software de código abierto que sos
Akrites es una iniciativa sectorial recién presentada por la industria tecnológica que ofrece un Equipo de Respuesta ante Incidentes de Seguridad (SIRT) compartido y centralizado para coordinar el descubrimiento, la remediación y la divulgación de vulnerabilidades en los proyectos de código abierto
La empresa de seguridad AISLE identificó seis de las dieciocho vulnerabilidades (CVE) incluidas en la versión 8.21.0 de curl, publicada el 24 de junio de 2026. Entre los hallazgos destaca CVE-2026-8932, el fallo de seguridad más antiguo reportado hasta ahora en el proyecto: lleva presente más de 25
Un investigador de seguridad ha hecho públicas dos vulnerabilidades que descubrió en aplicaciones web de Johnson & Johnson: un sistema de reclutamiento universitario que expuso los datos de cerca de mil estudiantes y una plataforma interna de gestión de auditorías con acceso a 13.600 empleados y 20
Filippo Valsorda, referente histórico del equipo de seguridad de Go y actual responsable de mantenimiento profesional en Geomys, sostiene que los informes de vulnerabilidades han dejado de merecer un tratamiento excepcional dentro del software libre. Durante años, el consenso fue que estos reportes
Apple ha desplegado una actualización de firmware para los auriculares inalámbricos Beats Studio Buds que soluciona una vulnerabilidad de gravedad alta (8,8 sobre 10) explotable por atacantes cercanos para escuchar conversaciones del micrófono del dispositivo vinculado. Identificada como CVE-2025-20
El proyecto curl anunció que no aceptará ni gestionará reportes de vulnerabilidades durante todo el mes de julio de 2026, en una iniciativa que sus responsables denominan "veraneo de bienestar". El formulario de envío en HackerOne permanecerá inactivo desde el 1 de julio a las 00:00 CEST hasta el 3
AMD se encuentra en el centro de una controversia que combina dos episodios distintos pero reveladores de cómo la compañía gestiona la seguridad y la transparencia con sus usuarios. Por un lado, el fabricante ha eliminado silenciosamente una función de cifrado de memoria de sus procesadores Ryzen de
Un equipo interno de Google dedicado a análisis de seguridad con IA ha reportado 17 vulnerabilidades reales en el procesador de trazas de Perfetto, una biblioteca en C++ para procesar trazas de registro, en apenas diez semanas entre abril y mayo. Los informes, de alta calidad y con propuestas de sol
La herramienta de inteligencia artificial Codex descubrió una vulnerabilidad de denegación de servicio remota en el protocolo HTTP/2 que afecta a la mayoría de los grandes servidores web, incluidos nginx, Apache httpd, Microsoft IIS, Envoy y Cloudflare Pingora, en su configuración por defecto. El at
Este artículo relata una experiencia de divulgación responsable de una vulnerabilidad crítica descubierta en el portal de miembros de una importante aseguradora de buceo, por parte de un instructor de buceo e ingeniero de plataformas. El autor, mientras realizaba un viaje de buceo, notó una falla fu
