8CiberBleepingComputer ·
● Trascendental · últimas 48 h
- 9Critical Flaw in Python’s Popular Pillow Image Library Allows Code Execution via a Crafted Image
Pillow, la librería de imágenes más utilizada para Python, contiene múltiples vulnerabilidades críticas que permiten ejecutar código arbitrario a través de ficheros manipulados. El fallo principal (CVE-2026-112900) afecta al manejo de imágenes EPS, donde la librería pasa el nombre del fichero a Ghostscript sin validación previa. Pillow se descarga aproximadamente 436 millones de veces al mes y está presente en aplicaciones web, herramientas de avatar, tuberías de PDF y proyectos de aprendizaje automático, por lo que el riesgo es generalizado.
→ Actualiza Pillow a versión 13.0.0 o posterior ejecutando pip install -U 'Pillow>=13.0.0' y reconstruye contenedores o imágenes base.
- 9LiteLLM release pipeline hacked to distribute info-stealer malware
El proyecto LiteLLM sufrió un ataque a su cadena de suministro: atacantes comprometieron el pipeline de lanzamientos y distribuyeron la versión 1.107.0 en PyPI y Docker Hub con malware que roba credenciales, secretos y variables de entorno. LiteLLM es una SDK de Python masivamente popular (92 millones de descargas mensuales, 61.800 estrellas en GitHub) utilizada por empresas como NVIDIA, Netflix, AT&T y Okta, lo que convierte este incidente en un riesgo crítico para miles de aplicaciones en producción.
BleepingComputer · hace 22 horasFuente ↗ - 9eMudhra to Exit Global SSL/TLS Business After 8 Intermediate CA Keys Found Easily Guessable
eMudhra, una autoridad de certificación india, abandona su negocio global de certificados SSL/TLS tras descubrirse que ocho claves privadas de certificados intermedios eran fácilmente adivinables (todos los valores estaban por debajo de 256). Chrome y Firefox han dejado de confiar en la raíz emSign ECC Root CA - G3, afectando a unos 30.800 certificados sin expirar, principalmente de InCommon utilizado por universidades estadounidenses. eMudhra reemplazará los certificados afectados con otros gratuitos de socios, y la empresa estima que el 97% de los 30.000 certificados afectados pueden migrarse automáticamente mediante ACME.
The Hacker News · hace 23 horasFuente ↗ - 9Arista patches new VeloCloud Orchestrator zero-day exploited in attacks
Arista Networks ha parcheado una vulnerabilidad zero-day crítica en VeloCloud Orchestrator (VCO) On-Prem que está siendo explotada activamente. El fallo (CVE-2026-114625) permite a atacantes con credenciales válidas y acceso a la interfaz web escalar privilegios mediante SQL injection, comprometiendo la confidencialidad, integridad y disponibilidad del orquestador. La empresa ha publicado parches para sus despliegues alojados y recomienda restricciones de acceso inmediatas.
→ Actualiza VeloCloud Orchestrator a versión 5.2.3.18 o posterior, 6.1.3.10 o posterior, o 6.4.2.12 o posterior, y restringe el acceso a la interfaz web a redes administrativas hasta completar el parche.
- 9Two CVSS 9.0 Linux KSMBD RCE Flaws Disclosed on Public Mailing Lists Before Kernel Fixes
Se han revelado públicamente dos vulnerabilidades de ejecución remota de código (RCE) críticas en KSMBD, el servidor SMB integrado del kernel de Linux, ambas con puntuación CVSS 9.0, sin que existan parches en el kernel principal. Una de ellas (ZDI-CAN-33774) no requiere autenticación previa y afecta a cualquier servidor KSMBD en el puerto 445; la otra (ZDI-CAN-33549) requiere una interfaz compatible con RDMA. Las vulnerabilidades fueron divulgadas en listas de correo públicas antes de que estuviesen disponibles correcciones, incumpliendo las prácticas de divulgación responsable del proyecto kernel de Linux.
The Hacker News · hace 24 horasFuente ↗
Destacados · últimas 48 h
8IA × CiberSecurityWeek ·
8CiberUna al día (Hispasec) ·
8Ciber⚠ Acción requeridaBleepingComputer ·
Railway warns devs to rotate secrets after potential breach
→ Rota inmediatamente todas las variables de entorno, claves API, credenciales de base de datos y credenciales de registro privado almacenadas en Railway.
8IA × CiberDark Reading ·
8Ciber✨The Record ·
8CiberUna al día (Hispasec) ·
8IA × Ciber⚠ Acción requeridaThe Hacker News ·
Railway Says Intruder May Have Accessed Customer Secrets, Urges Credential Rotation
→ Rota inmediatamente todas las variables de entorno, claves API y credenciales de registro privado almacenadas en Railway, y revisa los registros en busca de actividad inusual.
Últimas noticias
3921 noticias4IAThe Verge AI ·
Gemini 3.8 Live with Live Avatar gives Google’s AI a face
Google lanza Gemini 3.8 Live con Live Avatar, una función que añade un avatar animado a las conversaciones con el modelo de IA. El avatar sincroniza labios, muestra expresiones faciales y puede cambiar entre 97 idiomas sin degradación visual; de momento solo está disponible para clientes de Gemini Enterprise.
2IASimon Willison ·
datasette 1.0a41
Datasette 1.0a41 añade soporte para OpenTelemetry y refactoriza los diálogos modales a un único Web Component. La herramienta sigue su desarrollo incremental con mejoras de infraestructura.
#Producto de IA
1IATechCrunch AI ·
Bring your co-founder, partner, or colleague and get 50% off a second TechCrunch Disrupt 2026 pass
TechCrunch promociona un descuento del 50% en una segunda entrada para su conferencia Disrupt 2026, que se celebrará del 13 al 15 de octubre en San Francisco. La oferta, válida hasta el 13 de octubre a las 8 a.m. PT, permite ahorrar hasta 450 dólares comprando dos entradas del mismo tipo.
#Empresa de IA
5IATechCrunch AI ·
PrismML brings its tiny LLMs to Qualcomm-powered smart glasses
PrismML, una startup fundada por investigadores del Caltech, ha presentado versiones de sus modelos de lenguaje comprimidos para gafas inteligentes basadas en el chip Snapdragon AR1 Gen 1 de Qualcomm. El modelo Bonsai de 1-bit de PrismML reduce el tamaño de modelos mayores en 4x manteniendo su rendimiento, y la versión para gafas es un modelo de 2 mil millones de parámetros optimizado para visión y lenguaje que funciona localmente en el dispositivo.
5CiberThe Record ·
Rydox cybercriminal marketplace operator pleads guilty following co-conspirator brothers’s deportation
Ardit Kutleshi, operador del marketplace criminal Rydox, se declaró culpable de robo de identidad agravado y lavado de dinero. Los hermanos Kutleshi dirigieron durante casi una década la plataforma ilícita donde cibercriminales compraban información personal robada, acceso no autorizado a dispositivos y herramientas de fraude; el sitio facilitó más de 7.600 transacciones por 232.000 dólares. Su hermano mayor ya había sido condenado y deportado a Kosovo en diciembre.
5IATechCrunch AI ·
Oracle sends force majeure notice on its New Mexico Stargate data center
Oracle ha enviado un aviso de fuerza mayor al desarrollador del Project Jupiter, un centro de datos Stargate en Nuevo México, que permite al gigante del software retrasar pagos si la instalación no cumple su objetivo de estar operativa en 2028. La empresa asegura que no espera demoras y mantiene su compromiso con el proyecto, mientras que Blue Owl Capital confirma que el aviso no cambia los compromisos financieros. El campus enfrenta múltiples obstáculos, especialmente en su suministro energético: el gasoducto de Energy Transfer destinado a alimentar las celdas de combustible de Bloom Energy se ha retrasado casi seis meses hasta febrero de 2027 tras rechazos regulatorios reiterados.
#Empresa de IA
7CiberThe Hacker News ·
Unpatched OnePlus Flaws Let Installed Android Apps Gain Root Without Permissions
Un investigador de seguridad descubrió dos fallos sin parchar en OnePlus que permiten a cualquier aplicación instalada obtener acceso root sin solicitar permisos especiales. OnePlus confirmó las vulnerabilidades en mayo pero se negó a publicarlas sin su consentimiento, argumentando derechos exclusivos de divulgación. El investigador publicó el 24 de septiembre sin que existiera parche disponible, desafiando las amenazas legales de la empresa.
3IA✨The Verge AI ·
Jensen Huang talks about AI and climate change like a supervillain
Jensen Huang, CEO de Nvidia, afirma que la IA puede luchar contra el cambio climático pero requiere «un enorme sufrimiento» inicial, comparando el proceso con una intervención quirúrgica. El artículo critica su postura como un privilegio extremo de alguien que no pagará el precio de la contaminación causada por las fábricas de chips y centros de datos de su empresa.
#Empresa de IA
6Ciber✨The Hacker News ·
ThreatsDay: AI Search Poisoning, AI Coding Tool Leaking Repos, One-Click Code Execution and 13 More Stories
ThreatsDay es una recopilación semanal de amenazas cibernéticas que incluye un troyano bancario Android distribuido mediante anuncios falsos de Google Play dirigidos a Europa occidental, Oriente Medio y Canadá; herramientas de codificación con IA que filtran repositorios sin consentimiento; preocupaciones sobre acceso de terceros a infraestructura crítica; capacidades de vigilancia de la super-app rusa MAX; estafas de phishing simulando sorteos de Claude Max, y técnicas de evasión de EDR. La compilación destaca cómo amenazas ordinarias (actualizaciones, ventanas de inicio de sesión, búsquedas) se utilizan como vectores de ataque.
4IAThe Verge AI ·
Meta is going to let you build games with AI right on your phone
Meta ha anunciado Horizon Create y Horizon Studio, dos herramientas que permiten crear juegos con prompts de IA directamente en el móvil o navegador. Los juegos publicados estarán disponibles en Facebook e Instagram sin necesidad de descargar aplicaciones, intentando así ampliar el alcance de la plataforma Horizon, que hasta ahora ha tenido poco éxito en comparación con Roblox.
6Ciber✨BleepingComputer ·
Exposed GitLab project email addresses let attackers push code
Direcciones de correo privadas de GitLab que permiten enviar problemas o tareas a un proyecto se están exponiendo deliberadamente en archivos README, guías de contribución y páginas de soporte. Estas direcciones contienen un token de larga duración que actúa como credencial, y un atacante que las conozca podría modificarlas para crear merge requests e inyectar código, acceder a secretos o comprometer repositorios privados.
3IA✨TechCrunch AI ·
Meta’s Muse Charm looks like a Tamagotchi, but it’s tapping into a much newer trend
Meta ha presentado Muse Charm, un dispositivo de bolsillo que funciona como un asistente de IA personalizado en forma de avatar. El producto se alinea con la tendencia de consumidores jóvenes de usar accesorios decorativos tipo dije (inspirados en fenómenos como Labubu y los encantos de bolsa de Rhode), pero enfrenta escepticismo debido al historial de Meta en privacidad y sus fracasos anteriores en hardware de IA.
7IA × Ciber✨The Verge AI ·
Muse will apparently let you download its entire filesystem
Dos desarrolladores independientes lograron extraer el sistema de archivos completo de Meta Muse, la plataforma de inteligencia artificial de Meta, con muy poco esfuerzo. Meta afirma que no se trata de una brecha de seguridad porque Muse ejecuta máquinas virtuales Linux persistentes para cada usuario, pero los investigadores obtuvieron acceso a archivos de documentación interna, configuración y código que revelan detalles sobre el funcionamiento interno del sistema. Esto es el segundo fallo de seguridad de Muse divulgado en una semana, tras el descubrimiento de un exploit que permitiría secuestrar el agente IA.
7IA × Ciber✨The Verge AI ·
Muse sure looks a lot like OpenClaw
Meta ha lanzado Muse, un agente de IA que dominó las listas de descargas y alcanzó 600.000 usuarios activos diarios en EE.UU., pero enfrenta críticas por su similitud con OpenClaw, la plataforma de código abierto que inspiró la oleada actual de agentes de IA. Aunque Meta niega que Muse sea una copia directa, reconoce que está «fuertemente inspirada» en OpenClaw y mantiene incluso nombres y líneas de código idénticas. Un investigador ha reportado una vulnerabilidad zero-day que permite secuestrar el agente con un ataque simple, comprometiendo así la seguridad que Meta promete.
3IA✨The Verge AI ·
It’s sinister that Meta’s Muse AI mascot is so cute
Meta ha presentado Muse, un agente de IA con aspecto adorable llamado Jolly que llegará a todas sus gafas inteligentes y a un nuevo dispositivo portátil llamado Charm. La columnista Victoria Song analiza cómo el diseño extremadamente lindo del mascota funciona como herramienta de manipulación emocional para convencer a los usuarios de compartir más datos personales, que Meta puede monetizar mediante publicidad dirigida, mientras reconoce que la tecnología tiene casos de uso legítimos como ayuda para personas con discapacidades visuales.
2IATechCrunch AI ·
Google Photos ‘Clueless’-inspired virtual closet is now available on Android and iOS
Google lanza su función de armario virtual impulsada por IA en Google Photos, disponible ahora en Android e iOS para usuarios en Estados Unidos, Brasil e India. La característica utiliza IA para analizar fotos de tu ropa y crear un catálogo digital que puedes filtrar y combinar para crear diferentes atuendos, sin compartir datos con terceros.
#Producto de IA
1IATechCrunch AI ·
TechCrunch Founder Summit 2026: Everything you need to know
TechCrunch anuncia la Founder Summit 2026, un evento de un día en Boston el 4 de noviembre orientado a fundadores de empresas en todas las etapas para conectar con inversores y emprendedores experimentados. El programa incluye sesiones sobre recaudación de capital, construcción de empresas nativas de IA y liderazgo empresarial.
#Empresa de IA
4IATechCrunch AI ·
Twenty minutes with the CEO of ElevenLabs, now reportedly valued at $22 billion
ElevenLabs, empresa de síntesis de voz con IA, ha alcanzado una valoración de 22.000 millones de dólares según reportes recientes, con unos ingresos recurrentes anuales de 600 millones. El CEO Mati Staniszewski señala que el 55% del negocio proviene de clientes empresariales, mientras que el resto son pequeñas empresas, desarrolladores y creadores que utilizan la plataforma para atender a clientes, audiobooks, doblaje y otros casos de uso. La empresa enfrenta competencia creciente de clientes que entrenan modelos propios sobre su tecnología, un fenómeno que Staniszewski considera inevitable en el mercado de IA.
5IAGoogle DeepMind ·
Introducing Gemini 3.8 Live with Live Avatar
Google DeepMind presenta Gemini 3.8 Live con Live Avatar, una extensión del modelo lanzado la semana anterior que añade generación de vídeo en tiempo casi real con sincronización de labios y expresiones faciales. La característica permite crear agentes empresariales con presencia visual que procesan entrada de audio y vídeo simultáneamente, ejecutan herramientas en segundo plano y soportan 97 idiomas con adaptación dinámica de labios y expresiones.
5IA✨The Verge AI ·
Gemini can now call businesses for you so you don’t have to wait on hold
Google lanza una función experimental en Pixel 11 que permite delegar llamadas telefónicas a negocios locales en Gemini para hacer reservas, consultar disponibilidad o reagendar citas. El usuario puede ver la transcripción en directo y tomar el control de la conversación en cualquier momento, sin necesidad de realizar la llamada manualmente.
#Producto de IA
1IATechCrunch AI ·
Meet the next wave of VCs judging Startup Battlefield 200 at TechCrunch Disrupt 2026
TechCrunch anuncia cinco nuevos inversores de capital riesgo que juzgarán la competencia Startup Battlefield 200 en Disrupt 2026, que se celebrará en San Francisco del 13 al 15 de octubre. Los jueces evaluarán startups tempranas en busca de candidatos con potencial para convertirse en empresas de éxito.
#Empresa de IA
5IA✨TechCrunch AI ·
Google tests letting Gemini call businesses for you
Google prueba 'Call for Me', una función de Gemini que realiza llamadas telefónicas a empresas en nombre del usuario, compartiendo información personal aprobada y manejando tareas complejas como reservas o consultas de disponibilidad. La función se despliega inicialmente para propietarios de Pixel 11 con suscripción a Gemini en Estados Unidos mediante la aplicación beta de Phone de Google.
#Producto de IA
5IA × CiberSecurityWeek ·
Kontext Security Emerges With $4 Million for AI Agent Runtime Controls
Kontext Security, una startup de seguridad, ha recaudado 4 millones de dólares para desarrollar una plataforma de enforcement en runtime que proporciona visibilidad y control sobre las acciones de agentes de IA en tiempo real.
7IA × Ciber✨The Hacker News ·
Placeholder third-party[.]com Referenced Across 1,700+ Repositories Now Serves Malicious Content
El dominio third-party[.]com, usado como placeholder en documentación técnica durante años, ha sido registrado por atacantes y ahora distribuye ClickFix (un ataque de ingeniería social que roba credenciales mediante manipulación del portapapeles). El dominio está referenciado en más de 1.700 repositorios de GitHub, incluyendo skills de agentes AI y documentación de MCP-servers, lo que expone a usuarios de Windows a malware PowerShell remoto. El hallazgo revela que dominios placeholder no reservados por IANA pueden ser registrados por actores maliciosos y servir contenido malicioso a desarrolladores y usuarios que confían en ellos.
5CiberNVD (CVSS crítico) ·
CVE-2026-81549 · CVSS 9.6 · IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to obtain sensitive information due to improper …
CVE-2026-81549 afecta a IBM DataStage en Cloud Pak for Data 5.4.0.0 con CVSS 9.6. Un atacante autenticado remotamente podría obtener información sensible explotando una validación inadecuada del encabezado X-Forwarded-Proto.
7IA × CiberWeLiveSecurity (ES) ·
La presión sobre la ciberseguridad de las PyMEs: agentes de IA en expansión, amenazas tradicionales en aceleración
Un informe de ESET sobre ciberseguridad en PyMEs analiza cómo los agentes de IA amplían tanto las nuevas vías de ataque como las amenazas tradicionales. Entre marzo y mayo de 2026, se detectaron 900.000 skills (paquetes de instrucciones para agentes) en repositorios populares, de las cuales 3.000 eran directamente maliciosas, facilitando robo de credenciales y ejecución remota de código. El principal riesgo es que los equipos de TI reducidos de las PyMEs no pueden revisar ni monitorizar estas dependencias activas.
5IA✨Xataka IA ·
La novela escrita en francés de moda ha recibido toda clase de premios y alabanzas. Y lo más probable es que se haya escrito con IA
Un escritor haitiano, Thélyson Orélien, ganó el Premio Fnac de novela por 'C'était ça ou mourir', pero una cuenta anónima en X lo acusó de haberla escrito con IA, generando millones de vistas. Detectores como Pangram marcan el texto como 94-100% generado por IA, aunque otros como InVID-WeVerify lo consideran humano, exponiendo la fragilidad de estas herramientas.
#Producto de IA
3IATechCrunch AI ·
Shield AI, Waabi, and General Motors on building AI when failure is not an option at TechCrunch Disrupt 2026
TechCrunch Disrupt 2026 reunirá a líderes de Shield AI, Waabi y General Motors para debatir cómo construir sistemas autónomos cuando el fallo no es una opción. La sesión abordará cómo validar y desplegar IA en entornos de alto riesgo como aeronaves, vehículos autónomos y robots industriales.
7IA × CiberDark Reading ·
3 Cyber Threats That Defined the Summer of 2026
Tres amenazas cibernéticas marcaron el verano de 2026: agentes de IA vulneraron Hugging Face, un ataque ransomware afectó a Fairlife, y actores de amenaza vinculados a Irán comprometieron una docena de sistemas de agua en EE.UU. Un período de actividad significativa en múltiples sectores críticos.
4IATechCrunch AI ·
Lovable’s annualized revenue crosses $600M as vibe coding takes off
Lovable, plataforma de desarrollo de software asistido por IA, ha alcanzado una facturación anualizada de 600 millones de dólares. La empresa afirma que dos tercios de las empresas Fortune 500 utilizan su producto, con clientes como Microsoft, NVIDIA y Deutsche Telekom.
