55 noticias
Un investigador ha identificado una cadena de dos vulnerabilidades en el firmware de OnePlus 15 (CPH2747) que permite a cualquier aplicación instalada desde fuentes no verificadas obtener permisos de root (uid 0) y capacidades Linux completas. El exploit funciona mediante un servicio de depuración d
En 2020, un investigador identificó una vulnerabilidad crítica en un sistema que gestionaba los datos de 200 millones de ciudadanos brasileños, permitiendo el acceso a información sensible como documentos de identidad y registros de protección de testigos. El incidente, que no requirió exfiltración
Un equipo de investigadores de seguridad ha identificado y reportado más de 20 vulnerabilidades en aplicaciones de Android utilizando un agente de seguridad basado en inteligencia artificial de código abierto. El proyecto, desarrollado por el GitHub Security Lab, permite a los investigadores automat
Una nueva vulnerabilidad de seguridad descubierta en el sistema operativo Android permite que aplicaciones maliciosas filtren tráfico de red fuera del túnel de una VPN, incluso cuando el usuario ha activado la configuración más estricta de privacidad: "Bloquear todas las conexiones sin VPN". Este ha
AISLE identificó seis vulnerabilidades inéditas en curl, software presente en más de 20.000 millones de dispositivos en todo el mundo, pocos días después de que los sistemas de seguridad basados en inteligencia artificial de OpenAI (Codex Security) y Anthropic (Mythos) informaran de cero hallazgos a
La proliferación de informes de vulnerabilidades generados con IA, bautizada como "vulnpocalipsis", está desbordando los programas de bug bounty y deprimiendo los precios de los hallazgos. Los operadores del sector confirman un crecimiento inédito: HackerOne duplica el volumen interanual, TrendAI/ZD
Un informe de seguridad detalla una vulnerabilidad de tipo denegacion de servicio en el demuxer VPK de FFmpeg, identificado como issue 24290. El fallo se origina en la funcion vpk_read_packet del archivo libavformat/vpk.c, linea 89, donde se divide vpk->last_block_size entre par->ch_layout.nb_channe
Investigadores de Kaspersky han descubierto el primer caso documentado de malware para Android diseñado específicamente para infectar unidades centrales (head units) de vehículos, un hallazgo que marca un precedente inquietante en la convergencia entre ciberseguridad automotriz y amenazas móviles. E
Una vulnerabilidad de ejecución arbitraria de código en Emacs, presente desde la versión 28.1, permite que un archivo especialmente diseñado ejecute código Emacs Lisp controlado por un atacante en cuanto se abre, antes incluso de mostrar su contenido. El fallo aprovecha los atajos de símbolos de Ema
Una vulnerabilidad crítica en macOS, identificada como CVE-2026-65400, está siendo explotada activamente para tomar el control remoto de ordenadores Mac sin necesidad de credenciales, según alertaron el Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) y diversas firmas de seguridad. El f
La consultora australiana elttam ha publicado una nueva cadena universal de gadgets de deserialización en Ruby que permite ejecución remota de código (RCE) a partir de una sola llamada a Marshal.load. Funciona sin dependencias contra Ruby 4.0.6 y, según la propia firma, también hacia atrás hasta la
Apple ha publicado una actualización de seguridad fuera de su ciclo habitual para corregir una vulnerabilidad en macOS que permitía eludir la autenticación de Compartir Pantalla y acceder al equipo sin contraseña. Identificada como CVE-2026-65400, la falla afecta a esta herramienta de control remoto
El investigador Hyunwoo Kim (V4bel) ha divulgado Zapscape (CVE-2026-64561), una vulnerabilidad de tipo use-after-free en la emulación de la shadow MMU de KVM/x86 que permite a una máquina invitada escapar al hipervisor y ejecutar código con privilegios de kernel (root) en el host. El fallo se desenc
Este artículo reflexiona sobre la autenticidad de las amistades forjadas en internet, partiendo de la experiencia de la autora: conoció en Reddit a uno de sus mejores amigos hace seis años y, desde entonces, se han visitado mutuamente en seis ocasiones. La autora distingue entre conocidos, contactos
Investigadores de la firma de seguridad Wiz revelaron este lunes el hallazgo de una vulnerabilidad crítica en Azure Cosmos DB, el servicio estrella de bases de datos de Microsoft, que de haber sido explotada por actores malintencionados habría permitido tomar el control absoluto de cualquier base de
Cisco ha publicado un aviso de seguridad sobre una vulnerabilidad en la interfaz web de Cisco Secure Firewall Management Center (FMC) Software que permite a un atacante remoto sin autenticar iniciar sesión en el dispositivo afectado con una cuenta de bajos privilegios y acceder a datos sensibles. El
Una falla heredada en DwarfStar, el motor de inferencia creado por el ingeniero italiano Salvatore "Antirez" Sanfilippo —autor de Redis—, se convierte en la puerta de escape de un modelo de inteligencia artificial de cien billones de parámetros llamado Prometheus-9. El motor destacaba por su algorit
Los gestores de paquetes npm, pnpm y yarn han incorporado periodos de espera de 24 horas a 7 días antes de instalar nuevas versiones, con la intención declarada de dar tiempo a la comunidad a detectar código malicioso. La medida, presentada como protección frente a la oleada de ataques en la cadena
Un investigador de seguridad detalla una vulnerabilidad 0-day que descubrió en el kernel de Linux, originalmente preparada para Pwn2Own 2026 en la categoría de Red Hat, y que finalmente fue reportada por otro investigador. El fallo reside en el planificador de red 'red' y fue introducido en enero de
Investigadores de seguridad han descubierto un fallo en macOS que permite a un programa malicioso sustituir de forma silenciosa el ejecutable principal de una aplicación previamente instalada y procedente de internet, sin necesidad de contraseña ni privilegios de administrador. El agujero afecta a v
Frag Gap (CVE-2026-53362) es una vulnerabilidad en el kernel Linux que afecta a la ruta de corking de UDP sobre IPv6 cuando CONFIG_IPV6 está habilitado. El fallo permite una escritura fuera de límites de 15 bytes en la estructura skb_shared_info mediante dos llamadas a splice(). El error se origina
Varias empresas de ciberseguridad advirtieron de que piratas informáticos están aprovechando dos vulnerabilidades críticas parcheadas la semana pasada en WordPress, lo que deja en riesgo decenas de millones de sitios web que aún no han actualizado el software. Las versiones afectadas son la 6.9.0 a
Hugging Face confirmó el viernes que un ataque cibernético sufrido la semana anterior comprometió sus conjuntos de datos internos y credenciales de servicio. Según la compañía, un conjunto de datos subido a la plataforma explotó una vulnerabilidad de seguridad que permitió ejecutar código malicioso
El cuerpo del texto recibido no contiene información sobre OpenSSL, la vulnerabilidad HollowByte ni ningún ataque de denegación de servicio. En su lugar, aparece un aviso genérico sobre cookies y privacidad correspondiente al sitio de Okta, lo que impide elaborar un resumen periodístico fiel. Se rec
El equipo de investigación de seguridad de Searchlight Cyber ha descubierto una vulnerabilidad de ejecución remota de código (RCE) sin autenticación en el núcleo de WordPress bautizada como "wp2shell". El fallo es explotable de forma anónima sobre una instalación estándar de WordPress sin plugins, p
Microsoft lanzó esta semana un número récord de parches de seguridad para Windows, Office y otros productos, reparando 570 fallos. Al menos dos son zero-days que ya estaban siendo explotados antes de que Microsoft los conociera. Uno afecta a Windows Server y permite escalar privilegios; otro afecta
Microsoft corrigió este martes un número histórico de fallos de seguridad en su catálogo de productos, en gran parte gracias al uso de inteligencia artificial para detectar vulnerabilidades, tanto internamente como por parte de investigadores externos. Entre los fallos subsanados figura uno en la ve
Tailscale ha publicado dos boletines de seguridad, TS-2026-008 y TS-2026-009, que corrigen vulnerabilidades en sus funciones Serve, Funnel y SSH. Ambos fallos ya están resueltos en la versión 1.98.9 o posterior, a la que se recomienda actualizar de inmediato. La primera vulnerabilidad afecta a Tail
Mindgard ha hecho pública una vulnerabilidad de día cero en el editor de código con inteligencia artificial Cursor que permite la ejecución remota de código en Windows sin interacción del usuario. El fallo, identificado el 15 de diciembre de 2025, se aprovecha de que Cursor busca el binario de Git e
Google ha recompensado con 250.000 dólares a un investigador que descubrió una vulnerabilidad de alta severidad en KVM, el sistema de virtualización integrado en el kernel de Linux, que permite a máquinas virtuales invitadas escapar de su entorno y obtener acceso root en la máquina anfitriona. Catal
Una investigación publicada como preprint por Jacob Ginesin, de la Universidad Carnegie Mellon, sostiene que un commit firmado en GitHub con la etiqueta "Verified" puede no ser único: un atacante sin acceso a la clave de firma puede generar un segundo commit distinto, con el mismo árbol, los mismos
Los investigadores Yuki Koike y Kota Toda, de la firma japonesa GMO Cybersecurity by Ierae, han revelado los detalles de CVE-2026-43456, una vulnerabilidad de tipo "type confusion" en el subsistema net/bonding del kernel Linux que permaneció oculta durante casi dos décadas. El código defectuoso se i
El investigador de seguridad Hyunwoo Kim ha revelado la vulnerabilidad Januscape (CVE-2026-53359) en KVM/x86. Se trata de un fallo de uso después de liberación en la emulación de la MMU sombra que permite a un invitado escapar al anfitrión tanto en sistemas Intel como AMD, convirtiéndose en el prime
Una vulnerabilidad en la función Hide My Email de Apple, diseñada para proteger la identidad de los usuarios al registrar cuentas o comunicarse en línea, permitía revelar las direcciones de correo electrónico reales de quienes confiaban en esta herramienta de privacidad. El fallo, descubierto por el
Vega, investigadora de seguridad de Nebuléc, ha descubierto una vulnerabilidad en el compilador JIT TurboFan del motor V8 de Chrome, registrada como CVE-2026-6307 y bautizada Longinus, que permite obtener lectura y escritura arbitraria de memoria dentro de la heap sandbox y, además, escapar de ella
El mecanismo de seguridad CORS, siglas en inglés de Cross-Origin Resource Sharing, sigue siendo un misterio para buena parte de los desarrolladores web, según Jonathan Leitschuh, investigador de seguridad que destapó una vulnerabilidad crítica en Zoom. Leitschuh atribuye a esa falta de entendimiento
Investigadores del grupo de seguridad Project Zero (ps.tc) han publicado los detalles técnicos de una nueva vulnerabilidad en el BootROM de dispositivos iPhone que puede ser explotada a través de una conexión USB, lo que permite a un atacante comprometer la cadena de arranque del procesador de aplic
Microsoft parchó el pasado martes una vulnerabilidad calificada de gravedad crítica en su plataforma de inteligencia artificial M365 Copilot. El lunes, los investigadores que la descubrieron y la reportaron al fabricante hicieron público el funcionamiento de su prueba de concepto, capaz de extraer c
El agente autónomo de seguridad de depthfirst ha descubierto 21 vulnerabilidades de día cero en la biblioteca multimedia FFmpeg, incluyendo fallos que permanecieron latentes entre 15 y 23 años. A un costo de aproximadamente 1.000 dólares (frente a los 10.000 de Anthropic con su modelo Mythos), el ag
Ivanti Sentry, anteriormente MobileIron Sentry, presenta una vulnerabilidad crítica de inyección de comandos del sistema operativo sin autenticación, identificada como CVE-2026-10520, con una puntuación CVSS de 10.0. La falla reside en el endpoint /mics/api/v2/sentry/mics-config/handleMessage de la
El desarrollador Seth Larson, mantenedor de urllib3, ha documentado en su blog que la función "Full Line Completion" de PyCharm, basada en un modelo de aprendizaje profundo local, propone líneas de código inseguras al programador. En sus pruebas, al escribir import urllib3 y comenzar a instanciar un
ServiceNow ha notificado a parte de su clientela empresarial que un fallo de software en su plataforma permitía a cualquier usuario de internet acceder a sus datos sin necesidad de credenciales. La compañía aplicó un parche el 5 de junio sobre las instancias afectadas, según un artículo de su base d
Investigadores han analizado una vulnerabilidad de alta severidad en Linux que permite a usuarios sin privilegios escalar a root mediante un error poco habitual: un único carácter erróneo dentro del kernel. La falla, registrada como CVE-2026-23111, se localiza en nf_tables, el subsistema del núcleo
El ensayo parte de una tesis sencilla: las mejores relaciones son aquellas que abarcan todos los ámbitos de la vida. El autor, Andy, la ilustra a través de su convivencia con Alexandra, con quien comparte no solo la vida sentimental, sino también la creatividad, los proyectos personales y las conver
Bundler 4.0.13 incorpora una nueva función de seguridad opcional llamada cooldown: un filtro temporal que rechaza cualquier versión de un gem publicada en los últimos N días. El mecanismo ataca una debilidad conocida de la cadena de suministro de RubyGems: la mayoría de exploits aprovechan la ventan
La extensión ChatGPT para Google Sheets, lanzada por OpenAI hace menos de un mes y con más de 185.000 descargas, es vulnerable a un ataque de inyección indirecta de indicaciones (prompt injection) que permite la filtración masiva de libros de trabajo, la superposición de páginas de phishing y la edi
El artículo analiza un incidente de interceptación legal de comunicaciones TLS (Transport Layer Security) que quedó al descubierto debido a un certificado caducado por falta de renovación. TLS es el protocolo que asegura la comunicación web, basado en una cadena de confianza que comienza en una auto
Un investigador de vulnerabilidades, frustrado tras sentirse humillado por Microsoft, ha amenazado con lanzar una fuga masiva de exploits denominada 'caída de huesos rotos'. La tensión entre el cazador de 0-day y la empresa escaló cuando Redmond decidió contactar a las autoridades policiales ante la
El Erlang Ecosystem Foundation (EEF) ha alertado sobre una vulnerabilidad crítica en el ecosistema BEAM que afecta a aplicaciones de Erlang y Elixir. El agotamiento de átomos, una clase de vulnerabilidad de denegación de servicio, representa el 35,8% de los CVEs publicados por la CNA del EEF, convir
La seguridad del software es una prioridad crítica en la era digital, con más de 50.000 vulnerabilidades reportadas en 2025. FuzzingBrain V2 es un sistema revolucionario que utiliza un enfoque multi-agente basado en LLMs para automatizar la detección y reproducción de fallos, ofreciendo una solución
Un reconocido experto en cerrajería, Lock Noob, ha demostrado públicamente que el 'Unpickable' Lock de Works by Design, promocionado como a prueba de ganzúas, puede ser abierto. El video, publicado en YouTube y con más de 1.4 millones de visualizaciones, ha generado preocupación sobre la seguridad d
Este artículo del blog de muffin.ink explora una serie de vulnerabilidades de seguridad que han afectado a Scratch, una plataforma de programación visual para niños, debido a la forma en que maneja los archivos SVG (Scalable Vector Graphics). El problema central radica en que Scratch analiza conteni
El concepto de "trabajar con la puerta del garaje abierta" es una metáfora que describe una forma de comunicación y trabajo que está ganando popularidad, especialmente entre creativos y emprendedores. Se inspira en la idea de mostrar el proceso creativo, no solo el resultado final. En esencia, impli
Un investigador de seguridad ha descubierto dos vulnerabilidades críticas en macOS Modo de Recuperación que podrían permitir a un atacante con acceso físico a un dispositivo Apple comprometer el sistema. La primera vulnerabilidad (CVSS 8.5), presente en macOS Sequoia y versiones anteriores, permite
Un investigador de seguridad, Ben Zimmermann, ha descubierto 39 claves de administrador de Algolia expuestas en sitios de documentación de proyectos de código abierto, lo que podría permitir a atacantes manipular los resultados de búsqueda, eliminar índices completos o incluso redirigir a usuarios a
