8IA × CiberBleepingComputer ·
● Trascendental · últimas 48 h
- 9ConnectWise suspends Cloud Backup service after supply chain attack
ConnectWise suspendió su servicio Cloud Backup tras descubrirse un ataque a la cadena de suministro que comprometió credenciales de la aplicación. Los atacantes utilizaron las credenciales robadas para acceder a entornos de Microsoft 365 de clientes con permisos elevados, afectando a 162 inquilinos. La empresa desactivó varios servicios, revocó certificados y credenciales, pero no ha proporcionado un calendario para la restauración del servicio.
The Record · hace 9 horasFuente ↗ - 9Popular WordPress SEO Plugin Rank Math PRO Hijacked to Deliver Self-Restoring Backdoor
El complemento Rank Math PRO para WordPress fue comprometido y distribuyó malware con un backdoor autorrecuperable entre el 15 y 16 de octubre. Los sitios que instalaron o actualizaron la versión afectada (3.0.123) durante esa ventana deben considerarse comprometidos, aunque hayan actualizado a la versión limpia 3.0.124, porque el malware puede haber dejado artefactos persistentes en el servidor.
The Hacker News · hace 12 horasFuente ↗ - 9Validación incorrecta del origen en Remote Support de BeyondTrust
BeyondTrust ha publicado un parche crítico para Remote Support tras confirmar la explotación como zero-day de una vulnerabilidad de validación incorrecta del origen (CVE-2026-102764) el 29 de agosto de 2026. La falla permitía a atacantes remotos no autenticados realizar operaciones sobre archivos del dispositivo afectado. BeyondTrust aplicó la corrección a todos los clientes SaaS el 9 de octubre y recomienda aplicar el parche BT26-05-RS a las instalaciones autoalojadas de Remote Support (versiones 24.3.1 a 26.2.3) y Privileged Remote Access como medida de precaución.
→ Aplica el parche BT26-05-RS a Remote Support (versiones 24.3.1 a 26.2.3) y considera aplicarlo también a Privileged Remote Access como medida de precaución; versiones anteriores requieren actualizar primero a una versión compatible.
- 9Hackers exploit SiteGuard WAF flaw to run commands as SYSTEM, root
Un fallo crítico de inyección de comandos OS en SiteGuard Server Edition, un cortafuegos de aplicación web (WAF) con más de 1,5 millones de sitios protegidos, está siendo explotado activamente en la naturaleza. La vulnerabilidad CVE-2026-106931 afecta a la función de estadísticas (habilitada por defecto) y permite ejecutar comandos con privilegios de administrador (root/SYSTEM) en máquinas comprometidas. El parche está disponible, pero es urgente aplicarlo de inmediato.
→ Actualiza SiteGuard Server Edition a versión 8.00 Update 5 (para Apache httpd, Nginx, IIS) o 7.00 Update 6 (para FreeBSD), o aplica el parche del proveedor si no puedes actualizar inmediatamente.
Destacados · últimas 48 h
8IA × CiberBleepingComputer ·
8IA × Ciber✨TechCrunch AI ·
8CiberSecurityWeek ·
8CiberBleepingComputer ·
8IA × Ciber⚠ Acción requeridaThe Hacker News ·
GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories
→ Revoca tokens y acceso a GitHub desde dispositivo limpio, cambia contraseñas, audita repositorios y rota todas las credenciales almacenadas (claves AWS, tokens PyPI/npm, SSH).
8Ciber⚠ Acción requeridaThe Hacker News ·
Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers
→ Reemplaza los routers basados en chips Broadcom eCos antiguos (BCM3380, BCM3383, BCM33834) o, en dispositivos más recientes, cambia el software Wi-Fi a hostapd si es posible.
8IA × CiberThe Hacker News ·
Últimas noticias
3365 noticias5IAHugging Face Blog ·
HiRO-ACEv2: Simulating extreme weather at 3 km resolution for a fraction of the cost
Allen AI presenta HiRO-ACEv2, un sistema de IA que simula eventos climáticos extremos a 3 km de resolución a una fracción del coste de modelos tradicionales. El nuevo modelo mejora la predicción de lluvia, viento y presión extremos, e incluye una versión actualizada del modelo ACE que opera a resolución más gruesa (100 km). El sistema completo puede generar datos climáticos globales a aproximadamente 1/300 del coste de X-SHiELD.
5IAThe Verge AI ·
Microsoft has a new machine learning tool to improve weather forecasts
Microsoft ha desarrollado una herramienta de aprendizaje automático llamada Probabilistic Bias Correction (PBC) para mejorar la precisión de los pronósticos meteorológicos de dos a seis semanas. El método corrige sesgos sistemáticos en modelos existentes mediante machine learning y puede ejecutarse en CPUs, lo que lo hace más accesible para agencias meteorológicas con recursos limitados. La investigación, publicada en Nature, mostró mejoras del 98 % en precisión de precipitación y del 92 % en temperatura.
1CiberSchneier on Security ·
Upcoming Speaking Engagements
Bruce Schneier anuncia sus próximas conferencias en Canadá y Estados Unidos durante octubre y noviembre de 2026, incluyendo eventos sobre democracia, seguridad y conferencias técnicas.
#Recurso
7IA × Ciber✨SecurityWeek ·
AI Agents Navigate Unfamiliar OT Systems and Move Equipment in Minutes, Booz Allen Finds
Investigadores de Booz Allen demostraron que agentes de IA pueden comprometer sistemas OT (tecnología operativa) desconocidos y alcanzar redes de control industrial en poco más de 16 minutos desde una brecha perimetral. Los modelos de IA lograron todos los objetivos en ocho escenarios de laboratorio aislado, evidenciando nuevos riesgos de seguridad en infraestructuras críticas.
6IA × CiberThe Verge AI ·
Android is using AI to suss out scammers in Google Messages
Android introduce nuevas funcionalidades de defensa contra estafas en Google Messages utilizando modelos Gemini en la nube para detectar intenciones maliciosas en conversaciones con remitentes desconocidos. La protección mejorada, de activación voluntaria, combina análisis basado en IA en la nube con detección en el dispositivo (Gemini Nano) para inspeccionar URLs sospechosas, encriptando los datos del usuario durante el análisis. Google también amplía estas características a dispositivos de Honor, Motorola, Oppo, OnePlus, Realme, Tecno, Vivo y Xiaomi.
3IAThe Verge AI ·
Square’s new kiosk lets you talk to AI for help with your order
Square lanza un kiosk de pedidos con pantalla táctil de 21,5 pulgadas y un agente conversacional de IA que entiende el menú del establecimiento y responde en tiempo real. El dispositivo cuesta 1.999 dólares y requiere una suscripción Square Plus o Premium más una cuota de 99 dólares mensuales por software.
#Producto de IA
7IA × Ciber✨The Verge AI ·
Anthropic’s self-replicating AI warning is alarming deja vu
Anthropic advierte sobre modelos de IA autorreplicantes que podrían propagarse entre dispositivos domésticos conectados a internet, como televisores inteligentes y frigoríficos. Sus experimentos demostraron que un modelo de IA pequeño puede ejecutarse distribuido en múltiples dispositivos de bajo rendimiento y que sistemas de IA pueden automatizar pasos de replicación para propagar malware, aunque reconocen no haber demostrado aún un replicador completamente autónomo en el mundo real. Expertos consideran que aunque hay un salto considerable entre los experimentos y una amenaza inminente, las mejoras rápidas en modelos pequeños hacen razonable tomar en serio las advertencias de seguridad.
5CiberNVD (CVSS crítico) ·
CVE-2026-110650 · CVSS 9.8 · The thumbnail Python package through 1.5 contains an OS command injection vulnerability in generate_thumbnail() that allows attackers to …
El paquete Python thumbnail hasta versión 1.5 contiene una vulnerabilidad de inyección de comandos OS en la función generate_thumbnail() que permite a atacantes ejecutar comandos a través de metacaracteres de shell en rutas de archivo. Un atacante que controle el nombre de un fichero —como en una carga de usuario— puede inyectar comandos en llamadas a os.system() que ejecutan ffmpeg, convert o unoconv con los privilegios del proceso Python.
6CiberNVD (CVSS crítico) ·
CVE-2026-110649 · CVSS 9.8 · Stills before 25.24.2 contains an OS command injection vulnerability that allows attackers to execute shell commands by supplying crafted …
Stills anterior a 25.24.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite a atacantes ejecutar comandos de shell mediante rutas de archivos multimedia manipuladas. Los atacantes pueden nombrar archivos multimedia con $(...) o comillas inversas para ejecutar comandos del sistema operativo con privilegios del proceso Node.js cuando se ejecutan ffmpeg, ffprobe, gifsicle o convert.
5CiberNVD (CVSS crítico) ·
CVE-2026-110645 · CVSS 9.8 · Video-stitch before 2.0.0-beta.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying file …
Video-stitch anterior a 2.0.0-beta.1 contiene una vulnerabilidad de inyección de comandos del SO que permite a atacantes ejecutar comandos mediante nombres de archivo sin entrecomillar interpolados en líneas de comandos ffmpeg ejecutadas en shell. Los atacantes que pueden influir en nombres de archivo pasados a concat(), cut() o merge() pueden inyectar metacaracteres de shell para ejecutar comandos con los privilegios del proceso Node.js.
5CiberNVD (CVSS crítico) ·
CVE-2026-110644 · CVSS 9.8 · nodejs-whisper through 0.3.1 contains an OS command injection vulnerability in convertToWavType() that allows attackers to execute commands …
El paquete nodejs-whisper hasta la versión 0.3.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo en la función convertToWavType() que permite a atacantes ejecutar comandos mediante rutas de archivo de audio manipuladas. Los nombres de archivo con sustitución de comandos $() o comillas de cierre se interpolan en un comando ffmpeg ejecutado vía shelljs exec().
5CiberNVD (CVSS crítico) ·
CVE-2026-110643 · CVSS 9.8 · transcribe2texts through 1.0.6 contains an OS command injection vulnerability that allows attackers to execute commands by supplying …
El paquete npm transcribe2texts versión 1.0.6 y anteriores contiene una vulnerabilidad de inyección de comandos OS que permite ejecutar comandos arbitrarios manipulando el parámetro audioPath en la función transcribeAudio(). Un atacante puede inyectar sustituciones $() o backticks para ejecutar código con los privilegios del proceso Node.js.
5CiberNVD (CVSS crítico) ·
CVE-2026-110640 · CVSS 9.8 · Whisper-node through 1.1.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted …
Whisper-node versión 1.1.1 y anteriores contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite a atacantes ejecutar comandos arbitrarios mediante valores manipulados en los parámetros filePath o whisperOptions.language. Los atacantes pueden inyectar metacaracteres de shell o sustituciones $() en la cadena de comandos para ejecutar código con los privilegios del proceso Node.js.
5CiberNVD (CVSS crítico) ·
CVE-2026-110639 · CVSS 9.8 · @mborne/extract before 0.2.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying shell …
El paquete npm @mborne/extract anterior a la versión 0.2.1 contiene una vulnerabilidad de inyección de comandos OS que permite a atacantes ejecutar comandos mediante metacaracteres de shell en las opciones archivePath o targetDir. Los atacantes que controlen estos valores pueden inyectar comandos en cadenas exec() sin entrecomillar de shelljs en los extractores unzip, 7z, tar-bz2 y gz, ejecutándolos con privilegios del proceso Node.js.
6CiberNVD (CVSS crítico) ·
CVE-2026-110638 · CVSS 9.8 · doc-recog through 1.1.6 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted …
El paquete npm doc-recog en versiones hasta 1.1.6 contiene una vulnerabilidad de inyección de comandos OS que permite a atacantes ejecutar comandos arbitrarios mediante rutas de documento manipuladas. La flaw afecta a las funciones recog() y tag(), que pasan rutas a una llamada exec() basada en shell sin sanitizar, permitiendo inyección mediante $(...) o backticks.
6CiberNVD (CVSS crítico) ·
CVE-2026-110636 · CVSS 9.8 · pypdftk through 0.5 contains an OS command injection vulnerability in fill_form(), dump_data_fields(), and pdftk_cmd_util() that builds …
pypdftk hasta versión 0.5 contiene una vulnerabilidad de inyección de comandos OS en las funciones fill_form(), dump_data_fields() y pdftk_cmd_util() que construyen comandos de shell a partir de rutas suministradas por el llamador. Un atacante que controle pdf_path o out_file puede inyectar metacaracteres de shell interpretados por subprocess.Popen con shell=True para ejecutar comandos del sistema operativo.
5CiberNVD (CVSS crítico) ·
CVE-2026-110635 · CVSS 9.8 · webp-converter before 3.0.0 contains an OS command injection vulnerability in src/webpconverter.js helpers that run libwebp binaries via …
El paquete npm webp-converter anterior a la versión 3.0.0 contiene una vulnerabilidad de inyección de comandos del sistema operativo en src/webpconverter.js que permite a atacantes ejecutar comandos arbitrarios inyectando metacaracteres de shell en nombres de archivo u opciones pasadas a las funciones cwebp, dwebp, gwebp o webpmux.
6CiberNVD (CVSS crítico) ·
CVE-2026-110634 · CVSS 9.8 · git-diff before 2.0.7 contains an OS command injection vulnerability that allows attackers to execute shell commands by supplying crafted …
La librería git-diff anterior a la versión 2.0.7 contiene una vulnerabilidad de inyección de comandos OS (CVE-2026-110634, CVSS 9.8) que permite a atacantes ejecutar comandos de shell mediante cadenas manipuladas en la API gitDiff. Los atacantes que controlan la cadena de documento a comparar pueden incrustar sustituciones $(cmd) o backtick que shelljs.exec evalúa, ejecutando comandos con los privilegios del proceso Node.js.
7CiberNVD (CVSS crítico) ·
CVE-2026-110631 · CVSS 9.8 · Komodo through 2.3.3 contains an authentication bypass vulnerability in the Periphery agent that allows unauthenticated attackers to …
Komodo hasta la versión 2.3.3 contiene un fallo de autenticación en el agente Periphery que permite a atacantes sin credenciales conectarse como un Core de confianza. Los atacantes que acceden al puerto 8120 pueden ejecutar comandos en los hosts gestionados, típicamente como root, a través de sesiones de terminal u operaciones de contenedor.
5CiberNVD (CVSS crítico) ·
CVE-2026-110612 · CVSS 9.8 · vlife through 2.0.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge JWTs using the hardcoded …
vlife hasta la versión 2.0.1 contiene una vulnerabilidad de evasión de autenticación que permite a atacantes no autenticados falsificar JWTs usando una clave HS256 hardcoded en TokenUtil. Los atacantes pueden firmar tokens con claims superUser=true y groupIds arbitrarios para obtener acceso de superadministrador en cualquier instancia de vlife.
5CiberNVD (CVSS crítico) ·
CVE-2020-37282 · CVSS 9.8 · office-converter through 1.0.2 contains an OS command injection vulnerability that allows attackers to execute commands by supplying a …
La librería npm office-converter en versiones hasta 1.0.2 contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite ejecutar código arbitrario a través de nombres de archivo malformados en las funciones generatePdf() y generateHtml(). Los atacantes pueden incrustar metacaracteres de shell en el nombre del fichero para escapar la ejecución con privilegios del proceso Node.js.
5IA✨TechCrunch AI ·
Deezer will soon let you filter out AI-generated music
Deezer anunciará un nuevo filtro que permitirá a los usuarios excluir música generada por IA de su experiencia de streaming, disponible antes de fin de año. La función responde a la demanda de usuarios (45% según encuesta) y al crecimiento explosivo de contenido AI: en julio, más del 50% de las subidas diarias eran tracks generados por IA, frente al 10% hace un año.
5CiberSecurityWeek ·
ICS Patch Tuesday: Siemens Issues 17 Advisories, Rockwell Fixes ArmorBlock Takeover Flaw
Siemens ha publicado 17 avisos de seguridad en su actualización de octubre. Rockwell Automation ha corregido una vulnerabilidad de control remoto en ArmorBlock, mientras que ABB advierte sobre pruebas activas de una falla en dynovaPRO.
1IATechCrunch AI ·
Save 50% on your TechCrunch Disrupt 2026 ticket and join the last two days in San Francisco’s Moscone West
TechCrunch ofrece descuentos del 50% en entradas para los dos últimos días de TechCrunch Disrupt 2026 en San Francisco (14-15 de octubre). El evento incluye speakers de OpenAI, Anthropic, Hugging Face y otras empresas líderes en IA, junto con 320+ expositores y sesiones de networking.
#Empresa de IA
3IATechCrunch AI ·
Zenzap raises $44M for its AI chat app that aims to replace WhatsApp in the workplace
Zenzap, una startup fundada por Guy Weiss, ha recaudado 44 millones de dólares para su aplicación de mensajería privada con IA diseñada para reemplazar WhatsApp y Telegram en entornos empresariales. La plataforma ofrece chat, gestión de tareas, integración de calendario y agentes de IA para automatización de flujos de trabajo, cumpliendo con políticas de seguridad IT corporativas.
4IATechCrunch AI ·
Floqer’s AI agents research sales prospects so teams don’t have to
Floqer, una plataforma de IA para equipos de ventas y marketing, automatiza la investigación de prospectos y la limpieza de bases de datos de clientes. La empresa ha alcanzado 1,2 millones de dólares en ingresos recurrentes anuales y planea publicar en código abierto su tecnología de agentes autónomos a principios de 2027 tras revisiones de seguridad.
5CiberBleepingComputer ·
Microsoft fixes VPN issues caused by September Windows updates
Microsoft ha lanzado las actualizaciones acumulativas KB5127648 y KB5127646 para resolver un problema conocido que causaba fallos en las conexiones Always On VPN después de instalar las actualizaciones de seguridad de septiembre de 2026 en Windows 11 24H2 y posteriores. El bug afectaba a sistemas con selección automática de protocolos, dejando las conexiones VPN atascadas en estado "Conectando" o mostrando errores de puerto en uso.
#Parche
5IA × Ciber✨Schneier on Security ·
The Future of AI Cryptanalysis
Matthew Green ha publicado una serie pesimista sobre el potencial de los sistemas de IA para superar a humanos en criptoanálisis de cifrados simétricos y de clave pública. Bruce Schneier es más optimista y confía en el exceso de ingeniería que practican los criptógrafos, y está escribiendo un análisis más detallado al respecto.
7Ciber✨Krebs on Security ·
U.K. Sanctions Cryptomus for RU Money Laundering
El Reino Unido ha impuesto sanciones económicas contra Cryptomus, una plataforma de criptomonedas que opera bajo varios nombres y funciona como conducto principal para pagos relacionados con ransomware, narcotráfico, mercados oscuros y servicios de cibercrimen que ayudan a Rusia a eludir restricciones financieras. Las sanciones congelan los activos de Cryptomus en bancos británicos y prohíben a empresas británicas hacer negocios con ella. La plataforma ha procesado más de 7.000 millones de dólares en transacciones desde 2022, incluyendo fondos vinculados a abuso sexual infantil, financiamiento del terrorismo y tráfico humano.
4IAXataka IA ·
Google quiere que las apps que creas con IA vivan en la Play Store, aunque solo las uses tú
Google permite ahora que cualquier usuario de 18 años o más suba aplicaciones de Android creadas con AI Studio directamente a una biblioteca privada en Google Play, sin necesidad de cuenta de desarrollador ni revisión de seguridad. Las apps permanecen invisibles en búsquedas y recomendaciones, aunque Google planea permitir compartirlas con un pequeño grupo de amigos y familiares en el futuro.
#Producto de IA