8IA × CiberBleepingComputer ·
● Trascendental · últimas 48 h
- 9ConnectWise suspends Cloud Backup service after supply chain attack
ConnectWise suspendió su servicio Cloud Backup tras descubrirse un ataque a la cadena de suministro que comprometió credenciales de la aplicación. Los atacantes utilizaron las credenciales robadas para acceder a entornos de Microsoft 365 de clientes con permisos elevados, afectando a 162 inquilinos. La empresa desactivó varios servicios, revocó certificados y credenciales, pero no ha proporcionado un calendario para la restauración del servicio.
The Record · hace 7 horasFuente ↗ - 9Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor
El complemento Rank Math PRO para WordPress fue comprometido y distribuyó malware con un backdoor autorrecuperable entre el 15 y 16 de octubre. Los sitios que instalaron o actualizaron la versión afectada (3.0.123) durante esa ventana deben considerarse comprometidos, aunque hayan actualizado a la versión limpia 3.0.124, porque el malware puede haber dejado artefactos persistentes en el servidor.
The Hacker News · hace 11 horasFuente ↗ - 9Validación incorrecta del origen en Remote Support de BeyondTrust
BeyondTrust ha publicado un parche crítico para Remote Support tras confirmar la explotación como zero-day de una vulnerabilidad de validación incorrecta del origen (CVE-2026-102764) el 29 de agosto de 2026. La falla permitía a atacantes remotos no autenticados realizar operaciones sobre archivos del dispositivo afectado. BeyondTrust aplicó la corrección a todos los clientes SaaS el 9 de octubre y recomienda aplicar el parche BT26-05-RS a las instalaciones autoalojadas de Remote Support (versiones 24.3.1 a 26.2.3) y Privileged Remote Access como medida de precaución.
→ Aplica el parche BT26-05-RS a Remote Support (versiones 24.3.1 a 26.2.3) y considera aplicarlo también a Privileged Remote Access como medida de precaución; versiones anteriores requieren actualizar primero a una versión compatible.
- 9Hackers exploit SiteGuard WAF flaw to run commands as SYSTEM, root
Un fallo crítico de inyección de comandos OS en SiteGuard Server Edition, un cortafuegos de aplicación web (WAF) con más de 1,5 millones de sitios protegidos, está siendo explotado activamente en la naturaleza. La vulnerabilidad CVE-2026-106931 afecta a la función de estadísticas (habilitada por defecto) y permite ejecutar comandos con privilegios de administrador (root/SYSTEM) en máquinas comprometidas. El parche está disponible, pero es urgente aplicarlo de inmediato.
→ Actualiza SiteGuard Server Edition a versión 8.00 Update 5 (para Apache httpd, Nginx, IIS) o 7.00 Update 6 (para FreeBSD), o aplica el parche del proveedor si no puedes actualizar inmediatamente.
Destacados · últimas 48 h
8IA × CiberBleepingComputer ·
8IA × Ciber✨TechCrunch AI ·
8CiberSecurityWeek ·
8CiberBleepingComputer ·
8IA × Ciber⚠ Acción requeridaThe Hacker News ·
GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories
→ Revoca tokens y acceso a GitHub desde dispositivo limpio, cambia contraseñas, audita repositorios y rota todas las credenciales almacenadas (claves AWS, tokens PyPI/npm, SSH).
8Ciber⚠ Acción requeridaThe Hacker News ·
Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers
→ Reemplaza los routers basados en chips Broadcom eCos antiguos (BCM3380, BCM3383, BCM33834) o, en dispositivos más recientes, cambia el software Wi-Fi a hostapd si es posible.
8IA × CiberThe Hacker News ·
Últimas noticias
3295 noticias5CiberNVD (CVSS crítico) ·
CVE-2026-110644 · CVSS 9.8 · nodejs-whisper through 0.3.1 contains an OS command injection vulnerability in convertToWavType() that allows attackers to execute commands …
El paquete nodejs-whisper hasta la versión 0.3.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo en la función convertToWavType() que permite a atacantes ejecutar comandos mediante rutas de archivo de audio manipuladas. Los nombres de archivo con sustitución de comandos $() o comillas de cierre se interpolan en un comando ffmpeg ejecutado vía shelljs exec().
5CiberNVD (CVSS crítico) ·
CVE-2026-110643 · CVSS 9.8 · transcribe2texts through 1.0.6 contains an OS command injection vulnerability that allows attackers to execute commands by supplying …
El paquete npm transcribe2texts versión 1.0.6 y anteriores contiene una vulnerabilidad de inyección de comandos OS que permite ejecutar comandos arbitrarios manipulando el parámetro audioPath en la función transcribeAudio(). Un atacante puede inyectar sustituciones $() o backticks para ejecutar código con los privilegios del proceso Node.js.
5CiberNVD (CVSS crítico) ·
CVE-2026-110640 · CVSS 9.8 · Whisper-node through 1.1.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted …
Whisper-node versión 1.1.1 y anteriores contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite a atacantes ejecutar comandos arbitrarios mediante valores manipulados en los parámetros filePath o whisperOptions.language. Los atacantes pueden inyectar metacaracteres de shell o sustituciones $() en la cadena de comandos para ejecutar código con los privilegios del proceso Node.js.
5CiberNVD (CVSS crítico) ·
CVE-2026-110639 · CVSS 9.8 · @mborne/extract before 0.2.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying shell …
El paquete npm @mborne/extract anterior a la versión 0.2.1 contiene una vulnerabilidad de inyección de comandos OS que permite a atacantes ejecutar comandos mediante metacaracteres de shell en las opciones archivePath o targetDir. Los atacantes que controlen estos valores pueden inyectar comandos en cadenas exec() sin entrecomillar de shelljs en los extractores unzip, 7z, tar-bz2 y gz, ejecutándolos con privilegios del proceso Node.js.
6CiberNVD (CVSS crítico) ·
CVE-2026-110638 · CVSS 9.8 · doc-recog through 1.1.6 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted …
El paquete npm doc-recog en versiones hasta 1.1.6 contiene una vulnerabilidad de inyección de comandos OS que permite a atacantes ejecutar comandos arbitrarios mediante rutas de documento manipuladas. La flaw afecta a las funciones recog() y tag(), que pasan rutas a una llamada exec() basada en shell sin sanitizar, permitiendo inyección mediante $(...) o backticks.
6CiberNVD (CVSS crítico) ·
CVE-2026-110636 · CVSS 9.8 · pypdftk through 0.5 contains an OS command injection vulnerability in fill_form(), dump_data_fields(), and pdftk_cmd_util() that builds …
pypdftk hasta versión 0.5 contiene una vulnerabilidad de inyección de comandos OS en las funciones fill_form(), dump_data_fields() y pdftk_cmd_util() que construyen comandos de shell a partir de rutas suministradas por el llamador. Un atacante que controle pdf_path o out_file puede inyectar metacaracteres de shell interpretados por subprocess.Popen con shell=True para ejecutar comandos del sistema operativo.
5CiberNVD (CVSS crítico) ·
CVE-2026-110635 · CVSS 9.8 · webp-converter before 3.0.0 contains an OS command injection vulnerability in src/webpconverter.js helpers that run libwebp binaries via …
El paquete npm webp-converter anterior a la versión 3.0.0 contiene una vulnerabilidad de inyección de comandos del sistema operativo en src/webpconverter.js que permite a atacantes ejecutar comandos arbitrarios inyectando metacaracteres de shell en nombres de archivo u opciones pasadas a las funciones cwebp, dwebp, gwebp o webpmux.
6CiberNVD (CVSS crítico) ·
CVE-2026-110634 · CVSS 9.8 · git-diff before 2.0.7 contains an OS command injection vulnerability that allows attackers to execute shell commands by supplying crafted …
La librería git-diff anterior a la versión 2.0.7 contiene una vulnerabilidad de inyección de comandos OS (CVE-2026-110634, CVSS 9.8) que permite a atacantes ejecutar comandos de shell mediante cadenas manipuladas en la API gitDiff. Los atacantes que controlan la cadena de documento a comparar pueden incrustar sustituciones $(cmd) o backtick que shelljs.exec evalúa, ejecutando comandos con los privilegios del proceso Node.js.
7CiberNVD (CVSS crítico) ·
CVE-2026-110631 · CVSS 9.8 · Komodo through 2.3.3 contains an authentication bypass vulnerability in the Periphery agent that allows unauthenticated attackers to …
Komodo hasta la versión 2.3.3 contiene un fallo de autenticación en el agente Periphery que permite a atacantes sin credenciales conectarse como un Core de confianza. Los atacantes que acceden al puerto 8120 pueden ejecutar comandos en los hosts gestionados, típicamente como root, a través de sesiones de terminal u operaciones de contenedor.
5CiberNVD (CVSS crítico) ·
CVE-2026-110612 · CVSS 9.8 · vlife through 2.0.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge JWTs using the hardcoded …
vlife hasta la versión 2.0.1 contiene una vulnerabilidad de evasión de autenticación que permite a atacantes no autenticados falsificar JWTs usando una clave HS256 hardcoded en TokenUtil. Los atacantes pueden firmar tokens con claims superUser=true y groupIds arbitrarios para obtener acceso de superadministrador en cualquier instancia de vlife.
5CiberNVD (CVSS crítico) ·
CVE-2020-37282 · CVSS 9.8 · office-converter through 1.0.2 contains an OS command injection vulnerability that allows attackers to execute commands by supplying a …
La librería npm office-converter en versiones hasta 1.0.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite ejecutar código arbitrario a través de nombres de archivo malformados en las funciones generatePdf() y generateHtml(). Los atacantes pueden incrustar metacaracteres de shell en el nombre del fichero para escapar la ejecución con privilegios del proceso Node.js.
5IA✨TechCrunch AI ·
Deezer will soon let you filter out AI-generated music
Deezer anunciará un nuevo filtro que permitirá a los usuarios excluir música generada por IA de su experiencia de streaming, disponible antes de fin de año. La función responde a la demanda de usuarios (45% según encuesta) y al crecimiento explosivo de contenido AI: en julio, más del 50% de las subidas diarias eran tracks generados por IA, frente al 10% hace un año.
5CiberSecurityWeek ·
ICS Patch Tuesday: Siemens Issues 17 Advisories, Rockwell Fixes ArmorBlock Takeover Flaw
Siemens ha publicado 17 avisos de seguridad en su actualización de octubre. Rockwell Automation ha corregido una vulnerabilidad de control remoto en ArmorBlock, mientras que ABB advierte sobre pruebas activas de una falla en dynovaPRO.
1IATechCrunch AI ·
Save 50% on your TechCrunch Disrupt 2026 ticket and join the last two days in San Francisco’s Moscone West
TechCrunch ofrece descuentos del 50% en entradas para los dos últimos días de TechCrunch Disrupt 2026 en San Francisco (14-15 de octubre). El evento incluye speakers de OpenAI, Anthropic, Hugging Face y otras empresas líderes en IA, junto con 320+ expositores y sesiones de networking.
#Empresa de IA
3IATechCrunch AI ·
Zenzap raises $44M for its AI chat app that aims to replace WhatsApp in the workplace
Zenzap, una startup fundada por Guy Weiss, ha recaudado 44 millones de dólares para su aplicación de mensajería privada con IA diseñada para reemplazar WhatsApp y Telegram en entornos empresariales. La plataforma ofrece chat, gestión de tareas, integración de calendario y agentes de IA para automatización de flujos de trabajo, cumpliendo con políticas de seguridad IT corporativas.
4IATechCrunch AI ·
Floqer’s AI agents research sales prospects so teams don’t have to
Floqer, una plataforma de IA para equipos de ventas y marketing, automatiza la investigación de prospectos y la limpieza de bases de datos de clientes. La empresa ha alcanzado 1,2 millones de dólares en ingresos recurrentes anuales y planea publicar en código abierto su tecnología de agentes autónomos a principios de 2027 tras revisiones de seguridad.
5CiberBleepingComputer ·
Microsoft fixes VPN issues caused by September Windows updates
Microsoft ha lanzado las actualizaciones acumulativas KB5127648 y KB5127646 para resolver un problema conocido que causaba fallos en las conexiones Always On VPN después de instalar las actualizaciones de seguridad de septiembre de 2026 en Windows 11 24H2 y posteriores. El bug afectaba a sistemas con selección automática de protocolos, dejando las conexiones VPN atascadas en estado "Conectando" o mostrando errores de puerto en uso.
#Parche
5IA × Ciber✨Schneier on Security ·
The Future of AI Cryptanalysis
Matthew Green ha publicado una serie pesimista sobre el potencial de los sistemas de IA para superar a humanos en criptoanálisis de cifrados simétricos y de clave pública. Bruce Schneier es más optimista y confía en el exceso de ingeniería que practican los criptógrafos, y está escribiendo un análisis más detallado al respecto.
7Ciber✨Krebs on Security ·
U.K. Sanctions Cryptomus for RU Money Laundering
El Reino Unido ha impuesto sanciones económicas contra Cryptomus, una plataforma de criptomonedas que opera bajo varios nombres y funciona como conducto principal para pagos relacionados con ransomware, narcotráfico, mercados oscuros y servicios de cibercrimen que ayudan a Rusia a eludir restricciones financieras. Las sanciones congelan los activos de Cryptomus en bancos británicos y prohíben a empresas británicas hacer negocios con ella. La plataforma ha procesado más de 7.000 millones de dólares en transacciones desde 2022, incluyendo fondos vinculados a abuso sexual infantil, financiamiento del terrorismo y tráfico humano.
4IAXataka IA ·
Google quiere que las apps que creas con IA vivan en la Play Store, aunque solo las uses tú
Google permite ahora que cualquier usuario de 18 años o más suba aplicaciones de Android creadas con AI Studio directamente a una biblioteca privada en Google Play, sin necesidad de cuenta de desarrollador ni revisión de seguridad. Las apps permanecen invisibles en búsquedas y recomendaciones, aunque Google planea permitir compartirlas con un pequeño grupo de amigos y familiares en el futuro.
#Producto de IA
5Ciber✨Schneier on Security ·
Cyberattack on Connected Fridges in France
Ciberdelincuentes tomaron control de unidades frigoríficas conectadas de una cadena de supermercados francesa, forzando que alcanzaran temperaturas de 50 °C durante la noche. Danfoss, el fabricante, confirmó que los equipos afectados eran modelos antiguos cuyo software de seguridad no podía actualizarse para mitigar una vulnerabilidad identificada.
3IA × CiberSecurityWeek ·
Harmonic Security Raises $50 Million for Workforce AI Protection
Harmonic Security ha recaudado 50 millones de dólares para expandir su oferta de protección de la inteligencia artificial en el entorno laboral. La startup planea ampliar sus equipos de ingeniería y comercialización en Estados Unidos y Reino Unido.
6IA × CiberBleepingComputer ·
The Blind Spots of Agentic Pentesting and How to Close Them
Un ingeniero de Picus Security analiza las limitaciones del pentesting agentic, donde agentes de IA realizan pruebas de penetración de forma autónoma. Aunque estos agentes encuentran cadenas de exploit más rápido que los humanos, solo pueden probar el 32% de la superficie de ataque promedio: los sistemas críticos están fuera de alcance por seguridad, y muchas vulnerabilidades carecen de exploit público para ejecutar. La solución propuesta es complementar las pruebas agentic con validación de explotabilidad basada en controles de seguridad en vivo.
2CiberSecurityWeek ·
Virtual Event Today: Zero Trust Strategies Summit
SecurityWeek organiza hoy una cumbre virtual sobre estrategias Zero Trust, enfocada en verificación explícita de usuarios, dispositivos y cargas de trabajo.
#Recurso
4IA✨The Verge AI ·
Epic’s new games launcher is ‘vibe coded’
Epic Games ha anunciado una actualización de su launcher de juegos para PC que fue desarrollada con ayuda de IA generativa, denominada «vibe coded». La herramienta es más rápida y responsiva que la versión anterior, además de incluir compatibilidad con Linux. El desarrollo de este launcher refleja el giro estratégico de Epic hacia el desarrollo asistido por IA, con la empresa replanteándose cómo utilizar agentes de IA para acelerar la creación de software.
6IA✨Xataka IA ·
Instinct y Muse prometían acceder a las tiendas y comprar por nosotros. El problema es que las tiendas los están bloqueando
Los agentes de IA como Muse de Meta e Instinct prometían automatizar las compras online, pero las tiendas están bloqueando su acceso. Amazon, eBay, Kohl's y otros minoristas rechaza estos agentes argumentando que no se identifican correctamente, gestionan mal los datos o amenazan su modelo de negocio publicitario. Este patrón replica el conflicto previo entre editores y rastreadores de IA para entrenar modelos.
7CiberThe Record ·
Microsoft takes down 3 major phishing platforms used by Chinese cybercriminals
Microsoft ha actuado legalmente contra tres plataformas de phishing (YAM Store, CoGUI e Iron Man) utilizadas por ciberdelincuentes chinos para enviar más de 750 millones de mensajes maliciosos. Las plataformas permitían suplantar más de 75.000 organizaciones en más de 150 países, robando credenciales y datos bancarios por decenas de millones de dólares. Microsoft trabajó con la Policía Nacional de Japón y organismos de ciberseguridad para obtener una orden judicial que permitió incautar dominios, desactivar 20.000 cuentas y bloquear 100.000 dominios adicionales.
5CiberNVD (CVSS crítico) ·
CVE-2026-16741 · CVSS 9.8 · Improper neutralization of special elements used in an OS command ('OS command injection') vulnerability in TR7 Cyber Defense Inc. TR7 …
Se ha descubierto una vulnerabilidad de inyección de comandos OS con CVSS 9.8 en TR7 ASP de TR7 Cyber Defense Inc., tanto en versiones virtuales como físicas del dispositivo. La falla permite inyectar comandos del sistema operativo en versiones anteriores a 1.0.1554.2331 y 1.6.1554.2331.
6CiberNVD (CVSS crítico) ·
CVE-2026-16740 · CVSS 9.8 · Missing authentication for critical function vulnerability in TR7 Cyber Defense Inc. TR7 ASP on virtual appliance and TR7 Cyber Defense …
Una vulnerabilidad de autenticación faltante en TR7 ASP (aplicación de defensa de TR7 Cyber Defense Inc.) permite inyección de comandos del sistema operativo en las versiones 1.0.40.236 a 1.0.1554.2330 y 1.6.42.239 a 1.6.1554.2330. El fallo tiene una puntuación CVSS de 9.8 pero sin evidencia de explotación activa ni PoC público.
7CiberBleepingComputer ·
Global takedown hits network behind 1 billion phishing messages
Las autoridades mundiales han desmantelado una infraestructura criminal que facilitaba más de mil millones de mensajes de phishing dirigidos a más de 75.000 organizaciones en 150 países. El operativo representa una victoria significativa contra el cibercrimen organizado a escala global.