Symmetric Cryptography via Dirichlet Convolution

Propuesta teórica de un cifrado simétrico basado en convolución de Dirichlet generalizada sobre cuerpos finitos. Los autores afirman que el esquema es resistente a ataques clásicos, asistidos por IA y cuánticos, y permiten reutilización controlada de claves mediante salting de texto plano.

CVE-2026-97668 · CVSS 9.8 · The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to SQL Injection via the guest cart persistent meta_value in all …

El plugin Abandoned Cart Pro para WooCommerce (WordPress) contiene una vulnerabilidad de SQL Injection (CVE-2026-97668, CVSS 9.8) en todas las versiones hasta la 10.8.0 que permite a atacantes no autenticados ejecutar consultas SQL arbitrarias a través de campos del checkout como el consentimiento de SMS. La falla radica en la función update_guest_persistent_cart(), que concatena datos del usuario directamente en una sentencia UPDATE sin escaparlos correctamente, permitiendo extraer información sensible de la base de datos o modificar permisos de administrador.

CVE-2026-97657 · CVSS 9.8 · The Abandoned Cart Pro for WooCommerce plugin for WordPress is vulnerable to Authentication Bypass via Malleable Encryption and Bypassable …

El plugin Abandoned Cart Pro para WooCommerce (WordPress) es vulnerable a un bypass de autenticación en todas las versiones hasta la 10.8.0. Un atacante no autenticado que posea un único enlace legítimo de recuperación de carrito puede recuperar la clave de cifrado, forjar tokens maliciosos y acceder a cualquier cuenta de usuario, incluidos administradores.

CVE-2026-110002 · CVSS 9.8 · The Snazzy Social Media Feed plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 2.5 via the …

El plugin Snazzy Social Media Feed para WordPress es vulnerable a carga arbitraria de archivos en todas las versiones hasta la 2.5. La falla permite a atacantes autenticados con acceso de suscriptor subir archivos ejecutables y lograr ejecución remota de código, ya que el script save-to-cache.php carece de validaciones de WordPress y sanitización insuficiente del parámetro pluginURL.

CVE-2026-93388 · CVSS 9.8 · The Printcart Store (PCDesigner / NB Designer) plugin for WooCommerce is vulnerable to unauthenticated arbitrary file upload leading to …

El plugin Printcart Store (PCDesigner / NB Designer) para WooCommerce tiene una vulnerabilidad crítica (CVSS 9.8) que permite a atacantes no autenticados cargar archivos arbitrarios y ejecutar código remoto en versiones hasta la 2.9.1. La acción AJAX nbdesigner_copy_image_from_url está abierta para usuarios anónimos y no valida correctamente el tipo de archivo, permitiendo subir archivos PHP a un directorio web ejecutable.

CVE-2026-92097 · CVSS 9.1 · The Click to Chat for WhatsApp plugin for WordPress is vulnerable to Arbitrary Shortcode Execution in versions up to, and including, 4.44 …

El plugin 'Click to Chat for WhatsApp' para WordPress, en versiones hasta la 4.44, es vulnerable a la ejecución de shortcodes arbitrarios (CVE-2026-92097, CVSS 9.1). Atacantes sin autenticar pueden ejecutar shortcodes registrados por WordPress, temas o plugins mediante manipulación de la URL en páginas de archivo.

Google DeepMind and Singapore Government announce new AI tool to protect citizens against scams

Google DeepMind y GovTech (agencia de tecnología del gobierno de Singapur) han desarrollado un modelo de IA ligero para detectar estafas en dispositivos móviles sin comprometer la privacidad. El modelo Gemma ha sido ajustado con conversaciones de estafas locales y procesa los datos en el dispositivo mediante un pipeline de dos etapas, activando alertas en tiempo real cuando detecta patrones manipuladores en mensajes.

OpenAI Employee Arrested for Allegedly Planting Hidden Recorder in Executive Conference Room

Un empleado saudí de OpenAI fue arrestado por presuntamente plantar un dispositivo de grabación oculto en la sala de conferencias de ejecutivos de la oficina de San Francisco para registrar conversaciones sensibles sobre tecnología de superinteligencia. Abdulrahman Alfozan, que trabajaba como ingeniero líder desde julio de 2025, fue detenido el 9 de octubre de 2026 bajo cargos federales de interceptación de comunicaciones. OpenAI descubrió el sofisticado dispositivo el 30 de septiembre, instalado en un puerto USB detrás de un televisor, y posteriormente halló un segundo dispositivo en una bolsa que había dejado sin vigilancia.

The EU’s next chapter in AI is agentic

Un análisis muestra cómo la adopción de IA agéntica crece entre empresas y pequeños negocios de la UE, e identifica dónde un uso más profundo podría desbloquear mayor valor.

Science Corporation implants its vision-restoring chip in its first Stargardt disease patient

Science Corporation ha implantado su chip restaurador de visión PRIMA en el primer paciente con enfermedad de Stargardt, una dolencia hereditaria que destruye gradualmente la visión central. El dispositivo, un implante de dos milímetros colocado en la parte posterior del ojo, funciona como fotorreceptores artificiales y se controla mediante gafas equipadas con cámara. El paciente implantado en mayo en el Sydney Eye Hospital ya pudo leer palabras en sus primeras sesiones de rehabilitación.

Employee Arrested After Listening Device Found in OpenAI Conference Room, FBI and the Company Say

Un empleado de nacionalidad saudí fue arrestado tras el descubrimiento de un dispositivo de escucha en una sala de conferencias de OpenAI. El FBI y la empresa confirmaron el incidente, que resultó en la terminación del empleado.

Cerebras CEO says we’re nearing a future where everyone has a personal AI assistant at home

El CEO de Cerebras Systems predice que los asistentes de IA personales se convertirán en electrodomésticos del hogar en un futuro próximo, ejecutándose de forma local en los dispositivos con cierto procesamiento en la nube, similar a los teléfonos móviles actuales. Feldman cita ejemplos como los agentes de IA de Meta (Muse e Instinct) como prueba de que la tecnología agentica ya está ganando adopción entre usuarios cotidianos.

Redesigning source control at Anthropic

Anthropic ha construido su propio sistema de control de versiones llamado Scion para reemplazar Git, tras un aumento espectacular en la velocidad de cambios de código: de 2.500 merges diarios en mayo a más de 30.000 en septiembre de 2026. El nuevo sistema, desarrollado por un equipo de siete personas en cinco meses, gestiona un historial de rama principal de casi 100 GB y resuelve el problema de los 600 petabytes de tráfico Git que generaría el flujo actual.

Saudi national charged with planting spy device in OpenAI executive conference room

Un ingeniero saudí que trabajaba para OpenAI fue acusado de instalar un dispositivo de grabación de audio oculto en una sala de conferencias ejecutiva de la empresa en San Francisco, donde se discutían investigaciones propietarias sensibles, planes de productos y compromisos gubernamentales. El dispositivo fue descubierto el 30 de septiembre, dos días después de su instalación, y las grabaciones estaban cifradas. La fiscalía alega que Alfozan utilizó herramientas internas para localizar salas de reuniones y calendarios de ejecutivos, y que una cuenta de chatbot asociada a su cónyuge realizó búsquedas sobre instalación y acceso remoto a dispositivos de grabación.

Industrial Next wants factory robots to switch tasks in minutes, not weeks

Industrial Next, una startup fundada por exingenieros de Tesla, ha desarrollado estaciones robóticas impulsadas por modelos de fundación propios que permiten reconfigurar líneas de producción en minutos en lugar de semanas. La empresa utiliza simulación de alta fidelidad para entrenar robots en tareas precisas y delicadas sin necesidad de programación tradicional, y ya colabora con BMW Group para evaluar sus capacidades de manipulación dextrosa en fabricación.

Cerebras CEO pushes back on AI doomsday warnings

El CEO de Cerebras, Andrew Feldman, criticó en TechCrunch Disrupt 2026 la narrativa de riesgo existencial en torno a la IA, argumentando que los líderes del sector deberían enfatizar más el potencial transformador de la tecnología. Feldman abogó por un equilibrio entre la regulación razonable y la inversión en IA, mientras reconoce que tecnologías poderosas conllevan riesgos.

OpenAI engineer arrested for allegedly planting spy device in office

Un ingeniero saudí de OpenAI ha sido arrestado por colocar un dispositivo de grabación oculto en una sala de conferencias ejecutiva de la oficina de San Francisco de la empresa para registrar conversaciones confidenciales. El dispositivo fue descubierto el 30 de septiembre escondido en un puerto USB detrás de un televisor, e investigaciones posteriores revelaron un segundo dispositivo similar. El ingeniero enfrenta cargos federales por interceptación ilegal de comunicaciones orales.

Zero-Days Lurk in Microsoft's Overgrown October Patch Tuesday

Microsoft ha lanzado su mayor actualización de seguridad en octubre, incluyendo vulnerabilidades zero-day con bypasses de seguridad y ejecución remota de código sin autenticación. La escala y severidad del parche de October Patch Tuesday plantea riesgos significativos para organizaciones que aún no hayan actualizado.

llm-gemini 0.35

Simon Willison añadió soporte en llm-gemini para el nuevo modelo Gemini 4 Argon, lanzado hoy a través de la API de Gemini y en planes de suscripción de 100 dólares mensuales. El modelo tiene un precio inicial competitivo de 2 dólares por millón de tokens de entrada y 10 por millón de salida, que se duplicará el 1 de diciembre. Según Artificial Analysis, Argon ofrece un buen rendimiento en benchmarks a un coste total de 2.407 dólares.

Visual Studio Copilot and SSMS Remote Code Execution (CVE-2026-103572)

Microsoft ha publicado un parche para CVE-2026-103572, una vulnerabilidad de ejecución remota de código en Visual Studio Copilot y SQL Server Management Studio que permite a Copilot eludir restricciones de contención y ejecutar comandos arbitrarios. La falla exploita un comportamiento de Windows: el punto final en nombres de archivo se ignora en Win32, permitiendo a Copilot escribir en archivos de configuración sensibles (.mcp.json, settings.json) mediante inyección indirecta de prompts. La vulnerabilidad afecta a Visual Studio 2026 y SSMS a través de una DLL compartida vulnerable (Microsoft.VisualStudio.Copilot.Core.dll).

→ Actualiza Visual Studio 2026, Visual Studio 2022 y SQL Server Management Studio al parche de seguridad disponible para resolver CVE-2026-103572.

Ghostscript flaw lets hackers hijack servers via PDF uploads

Una vulnerabilidad crítica de desbordamiento de búfer en el heap (CVE-2026-39919) en el intérprete Ghostscript permite la ejecución remota de código a través de archivos PDF manipulados. Los investigadores de Wordfence desarrollaron dos exploits que corrompen la memoria de Ghostscript al procesar archivos JPEG 2000 especialmente diseñados. Artifex lanzó un parche en la versión 10.08.0, aunque la explotación requiere condiciones específicas como la carga de PDF y el procesamiento de miniaturas.

→ Actualiza Ghostscript a versión 10.08.0 o posterior; si no es posible, bloquea las cargas de PDF o deshabilita el renderizado de PDF en ImageMagick.

North Korea Phishes Ukrainians for War Intel

Corea del Norte lleva a cabo campañas de phishing contra ucranianos para obtener información sobre el esfuerzo de guerra. Los ataques utilizan técnicas simples de reply-baiting (engaño mediante respuestas).

CVE-2026-93909 · CVSS 9.1 · IBM WebSphere Application Server - Liberty 17.0.0.3 through 26.0.0.10 is vulnerable by an authentication bypass vulnerability when …

IBM WebSphere Application Server - Liberty versiones 17.0.0.3 a 26.0.0.10 contiene una vulnerabilidad de omisión de autenticación cuando está activada la característica samlWeb-2.0. Se trata de un fallo de severidad crítica (CVSS 9.1) que podría permitir a un atacante eludir los mecanismos de autenticación.

CVE-2026-93895 · CVSS 9.1 · IBM WebSphere Application Server - Liberty 20.0.0.12 through 26.0.0.10 could allow an unauthenticated remote attacker to bypass access …

CVE-2026-93895 afecta a IBM WebSphere Application Server - Liberty en versiones 20.0.0.12 a 26.0.0.10, permitiendo que un atacante remoto no autenticado burle los controles de acceso configurados en métodos de servicio gRPC.

CVE-2026-90530 · CVSS 9.3 · ColdFusion RDS is affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could …

Adobe ColdFusion es vulnerable a una evasión de restricciones de ruta (path traversal) en RDS, componente de depuración que permite a un atacante leer archivos arbitrarios del sistema sin interacción del usuario. El CVSS 9.3 refleja la severidad técnica, pero sin evidencia de explotación en la naturaleza ni presencia en CISA KEV, el riesgo práctico depende del despliegue en entornos de producción.

CVE-2026-75994 · CVSS 9.6 · ColdFusion is affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the …

ColdFusion presenta una vulnerabilidad de autorización incorrecta (CVE-2026-75994, CVSS 9.6) que permite la ejecución de código arbitrario en el contexto del usuario actual sin interacción del usuario. El componente vulnerable está restringido a una zona de red administrativa por defecto.

CVE-2026-49950 · CVSS 9.8 · Xorbits Xoscar through 0.11.2 contains an unauthenticated deserialization vulnerability that allows remote attackers to execute arbitrary …

Xorbits Xoscar hasta la versión 0.11.2 contiene una vulnerabilidad de deserialización sin autenticación que permite a atacantes remotos ejecutar código arbitrario enviando datos modificados sobre el canal TCP del pool de actores. El servidor procesa datos no validados con cloudpickle.loads() antes de validar el tipo de mensaje, lo que dispara la ejecución de gadgets pickle y otorga RCE con los permisos del proceso servidor, típicamente root en nodos GPU.

CVE-2026-106624 · CVSS 10.0 · ColdFusion is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code …

ColdFusion es vulnerable a una inyección de código que permite ejecutar código arbitrario en el contexto del usuario actual sin interacción del usuario. La vulnerabilidad tiene puntuación CVSS 10.0 y afecta al alcance del sistema.

CVE-2026-106622 · CVSS 10.0 · ColdFusion is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. Exploitation of …

ColdFusion contiene una vulnerabilidad de Server-Side Request Forgery (SSRF) con CVSS 10.0 que podría permitir escalada de privilegios sin interacción del usuario. La vulnerabilidad afecta al alcance de seguridad del sistema.

CVE-2026-106621 · CVSS 9.1 · ColdFusion is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code …

Adobe ColdFusion es vulnerable a inyección de código que permite ejecución arbitraria en el contexto del usuario actual (CVE-2026-106621, CVSS 9.1). El ataque no requiere interacción del usuario.