CVE-2026-44415 · CVSS 9.1 · Affected systems do not properly restrict access to internal APIs and paths for authenticated users. This could allow an authenticated …

CVE-2026-44415 es una vulnerabilidad con CVSS 9.1 en sistemas que no restringen adecuadamente el acceso a APIs internas y rutas para usuarios autenticados. Un atacante remoto autenticado podría acceder a información sensible interna, lo que en el peor caso facilitaría acceso no autorizado al sistema o eliminación de datos.

Open models have real benefits. Do they outweigh the risks?

MIT Technology Review analiza el debate entre modelos de IA abiertos y cerrados, desencadenado por el informe de Anthropic que advierte sobre riesgos de seguridad cibernética del modelo GLM-5.3 lanzado por la empresa china Z.ai. El artículo examina los beneficios de los modelos abiertos —acceso descentralizado, investigación académica, privacidad de datos sensibles— frente a las preocupaciones de seguridad y concentración de poder.

Cyberattack Prompts Ahold Delhaize to Disconnect Systems

Ahold Delhaize desconectó sistemas de su red tras detectar un incidente de seguridad para contener la amenaza. La empresa, una gran distribuidora multinacional, tomó medidas de contención sin revelar detalles adicionales sobre la naturaleza del ataque.

CVE-2026-109110 · CVSS 10.0 · A flaw has been found in Wavlink WL-WN592AX6 250422. This issue affects the function system of the component wmapd Daemon. Executing a …

Se ha descubierto una vulnerabilidad crítica (CVSS 10.0) en el router Wavlink WL-WN592AX6 versión 250422, en el daemon wmapd, que permite inyección de comandos del sistema de forma remota. El exploit ha sido publicado.

AI labs are buying data from dead startups to train their models

Los laboratorios de IA están comprando datos de startups fracasadas a través de intermediarios como SimpleClosure y Sunset para entrenar sus modelos. La práctica, que emergió hace un año cuando se agotaron los datasets públicos y sintéticos, genera decenas de millones de dólares: Google pagó 10 millones de dólares por los datos de Spirit Airlines, incluyendo 100 millones de correos y 500 millones de mensajes de Teams. Sin embargo, la venta plantea preocupaciones legales sobre privacidad, consentimiento de empleados y falta de regulación.

Attackers Heat French Supermarket Fridges Up to 50°C by Hijacking Danfoss Controllers

Atacantes comprometieron controladores Danfoss en cientos de supermercados franceses la noche del 11 de octubre, calentando frigoríficos y congeladores hasta 50°C y forzando el cierre de miles de tiendas. Los modelos afectados son principalmente series antiguas (AK-SM 800 y AK-SC 355) sin actualizaciones de seguridad desde hace años, aunque también se reportaron incidentes en el modelo actual AK-SM 800A con firmware obsoleto. Las autoridades francesas (CERT-FR) instaron a desconectar o filtrar acceso a estos controladores, y se estiman pérdidas de decenas de millones de euros.

→ Desconecta los controladores Danfoss AK-SM 800 y AK-SC 355 de internet o filtra su acceso; en el AK-SM 800A, actualiza el firmware a la versión 5.3.x, cambia las contraseñas por defecto y aplica las recomendaciones de hardening de CERT-FR.

Two Critical MarkLogic Flaws Could Give Delegated Managers Persistent Admin Control

Progress Software ha publicado 31 vulnerabilidades en MarkLogic Server, cinco de ellas críticas, que permiten a cuentas con privilegios delegados obtener control administrativo persistente del servidor. Los parches están disponibles desde septiembre en MarkLogic 11.3.7 y 12.1.0, aunque no se reportan ataques activos ni figuran en el catálogo CISA KEV.

GitLab Patches CVSS 10.0 Flaw That Could Let Unauthenticated Users Run Server Code

GitLab ha publicado parches para CVE-2026-97229, una vulnerabilidad de severidad máxima (CVSS 10.0) que afecta a Community Edition y Enterprise Edition y permite a usuarios no autenticados ejecutar código arbitrario en el servidor GitLab mediante una expresión regular malformada en configuraciones CI/CD. Los parches están disponibles en las versiones 19.4.2, 19.3.5 y 19.2.8. Se corrigieron también tres vulnerabilidades de severidad alta: CVE-2026-92883 (XSS), CVE-2026-16301 (autorización incorrecta en pipelines descendentes) y CVE-2026-14814 (envenenamiento de caché).

→ Actualiza GitLab CE/EE a 19.4.2, 19.3.5 o 19.2.8 según tu versión actual.

Refrigeration Controller Hack Spoils Food Across European Supermarkets

Un ciberataque dirigido a controladores de refrigeración causó que cientos de neveras y congeladores en supermercados europeos se descongelaran, arruinando inventarios de alimentos. El ataque afectó a múltiples establecimientos y destaca la vulnerabilidad de sistemas de control industrial en entornos comerciales críticos.

CVE-2026-109109 · CVSS 10.0 · A vulnerability was detected in Wavlink WL-WN530BE1-A 251117. This vulnerability affects the function strcpy of the file …

Se ha detectado una vulnerabilidad de desbordamiento de búfer en pila (CVSS 10.0) en el router Wavlink WL-WN530BE1-A 251117, afectando a la función strcpy en /cgi-bin/ExportAllSettings.cgi. El ataque se puede ejecutar remotamente manipulando la cabecera HTTP_COOKIE o X-Cmd, y ya existe un exploit público disponible.

CVE-2026-109108 · CVSS 9.9 · A security vulnerability has been detected in Wavlink WL-WN530BE1-A 251117. This affects the function popen of the file …

Se ha descubierto una vulnerabilidad de inyección de comandos OS en el router Wavlink WL-WN530BE1-A (versión 251117) en la función popen del fichero /cgi-bin/uploadVpn.cgi. El ataque se puede ejecutar remotamente manipulando el parámetro Type, y el exploit ya ha sido divulgado públicamente.

Cross-Site Scripting en la aplicación web de YouMind

INCIBE ha coordinado la publicación de una vulnerabilidad XSS de severidad media (CVSS 5.1) en la aplicación web de YouMind, descubierta por Miguel Jiménez Cámara. La falta de sanitización en el endpoint de actualización de avatar permite inyectar código JavaScript embebido en ficheros SVG, que se ejecuta en el contexto del dominio del CDN. No hay solución reportada por el momento.

Múltiples vulnerabilidades en NonStop Servers de HPE

HPE ha publicado 45 vulnerabilidades en NonStop Servers, incluyendo una de severidad crítica (CVE-2002-0391) que afecta a XDR Streams T0248 y podría permitir denegación de servicio o ejecución de código remoto. La vulnerabilidad crítica se corrige mediante la actualización a XDR Streams T0248L01^AAF, que requiere un coldload del sistema.

Desbordamiento de búfer basado en montículo en NX-OS Software de Cisco

Cisco publica una vulnerabilidad crítica de desbordamiento de búfer en NX-OS Software que afecta a switches Nexus 3000 y 9000 Series (con NX-API habilitada) y a Fabric Interconnects UCS 6300. Un atacante remoto no autenticado podría ejecutar código arbitrario con privilegios de root o provocar denegación de servicio mediante una solicitud HTTP manipulada. Cisco recomienda actualizar inmediatamente a versiones corregidas.

Múltiples vulnerabilidades en productos de GitLab

GitLab ha publicado parches para 24 vulnerabilidades en sus ediciones Community y Enterprise, incluyendo una de severidad crítica que permite ejecutar código remoto mediante un desbordamiento de enteros en el compilador de expresiones regulares de CI/CD. Se recomienda actualizar a las versiones 19.4.2, 19.3.5 o 19.2.8 según la rama instalada.

CVE-2026-108971 · CVSS 9.6 · A flaw has been found in D-Link DCS-930L B1.08B4. This impacts the function mpfd_decode of the file bootloader_region.bin of the component …

Se ha descubierto una vulnerabilidad crítica (CVSS 9.6) en el D-Link DCS-930L B1.08B4 que permite manipular la verificación de firmas criptográficas en el servidor de recuperación HTTP de emergencia. El exploit ha sido publicado, aunque no hay reportes de explotación en la naturaleza.

Low-Cost Android Phones Ship With Preinstalled Malware That Turns Them Into Residential Proxies

Smartphones Android de bajo coste enviados con malware preinstalado en el firmware permite a atacantes instalar aplicaciones silenciosamente, perpetrar fraude publicitario y convertir dispositivos en proxies residenciales. El malware, rastreado por Bitdefender como Midnight Mimosa, afecta a plataformas MediaTek de múltiples marcas, con la mayoría de dispositivos infectados en México, seguido de Francia, Italia, España y otros países.

web-edit 0.1a1

Simon Willison publica web-edit 0.1a1, una herramienta que incluye optimizaciones de rendimiento escritas por Claude Opus 5.5 a partir de un informe de profiling generado por GPT-6 Astra. Se trata de un anuncio de lanzamiento de versión alpha de un proyecto personal.

CVE-2026-89110 · CVSS 9.9 · SAP NetWeaver Visual Composer does not perform sufficient authorization checks in certain portal functionality. An attacker with low …

SAP NetWeaver Visual Composer contiene un defecto de autorización insuficiente en ciertas funciones de portal que permite a un atacante con privilegios bajos invocar operaciones internas en sistemas remotos preconfigurados. Dependiendo de la configuración de la conexión remota, esto podría comprometer completamente el sistema objetivo.

CVE-2026-89108 · CVSS 9.1 · SAP Manufacturing Integration and Intelligence does not sufficiently enforce authorization boundaries within certain administrative …

CVE-2026-89108 afecta a SAP Manufacturing Integration and Intelligence por falta de validación de límites de autorización en funcionalidad administrativa. Un atacante con permisos de administrador de MII podría elevar privilegios en el servidor de aplicaciones Java subyacente, logrando control administrativo total del sistema.

CVE-2026-89107 · CVSS 9.9 · SAP S/4HANA (Manage Substitution/Validation Rules) does not sufficiently validate input processed by rule definition functionality that …

SAP S/4HANA presenta una vulnerabilidad crítica (CVSS 9.9) en la funcionalidad de gestión de reglas de sustitución y validación que no valida suficientemente la entrada de usuarios autenticados. Un atacante con privilegios empresariales específicos podría inyectar código ABAP ejecutable a través de definiciones de reglas, comprometiendo completamente el sistema.

CVE-2026-96119 · CVSS 9.9 · IBM i 7.3, 7.4, 7.5, and 7.6 could allow a remote authenticated attacker to obtain sensitive information or execute arbitrary code on the …

CVE-2026-96119 afecta a IBM i 7.3, 7.4, 7.5 y 7.6: un atacante autenticado remotamente podría obtener información sensible o ejecutar código arbitrario mediante una sanitización inadecuada de datos en la aplicación web de administración del servidor HTTP. Aunque el CVSS es crítico (9.9), no hay evidencia de explotación activa ni prueba de concepto pública.

llm-meta-ai 0.2

Meta anuncia Muse Wonder y Muse Wonder Full, descritos como sus modelos más capaces, potencialmente su primera línea de modelos Fable equiparable a GPT-6.1 Sol según Artificial Analysis. Simon Willison actualiza su plugin llm-meta-ai para soportar los nuevos modelos con seis niveles de razonamiento.

CVE-2026-82110 · CVSS 9.6 · IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to execute arbitrary code due to improper …

Una vulnerabilidad de path traversal en IBM DataStage en Cloud Pak for Data 5.4.0.0 permite a atacantes autenticados remotos ejecutar código arbitrario. La falta de validación adecuada de rutas de ficheros es la causa raíz del defecto.

CVE-2026-82103 · CVSS 9.6 · IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to obtain sensitive information due to an exposure …

IBM DataStage en Cloud Pak for Data 5.4.0.0 contiene una vulnerabilidad de exposición de información sensible (CVSS 9.6) que permite a un atacante autenticado remotamente acceder a datos confidenciales.

CVE-2026-82101 · CVSS 9.6 · IBM DataStage on Cloud Pak for Data 5.4.0.0 could allow a remote authenticated attacker to cause a denial of service due to a path …

IBM DataStage en Cloud Pak for Data 5.4.0.0 contiene una vulnerabilidad de path traversal que permite a un atacante autenticado remotamente provocar una denegación de servicio. El defecto tiene una puntuación CVSS de 9.6, pero no hay constancia de explotación en la naturaleza ni de público exploit disponible.

CVE-2026-19622 · CVSS 9.8 · IBM Planning Analytics 2.0, and 2.1 could allow a remote attacker to bypass authentication and escalate privileges due to improper …

IBM Planning Analytics 2.0 y 2.1 contienen una vulnerabilidad (CVE-2026-19622, CVSS 9.8) que permite a un atacante remoto eludir la autenticación y escalar privilegios debido a una validación incorrecta de sub-solicitudes.

CVE-2026-90920 · CVSS 9.8 · IBM Maximo AI Service 9.1.0, and 9.2.0 could allow a remote attacker to execute arbitrary code due to improper control of code generation.

IBM Maximo AI Service versiones 9.1.0 y 9.2.0 contienen una vulnerabilidad crítica (CVSS 9.8) que permite a un atacante remoto ejecutar código arbitrario mediante control inadecuado de la generación de código. No hay evidencia de explotación activa ni exploit público disponible.

NVIDIA tiene motivos para preocuparse. Microsoft apuesta por su propio chip Maia 300 para su infraestructura de IA

Microsoft ha presentado Maia 300, la tercera generación de sus aceleradores de inteligencia artificial, que comenzará a desplegarse en producción en 2027. El chip está diseñado especialmente para inferencia y promete procesar un 40% más de tokens por megavatio que sistemas basados en GPU, con siete veces el rendimiento de Maia 200 en un rack con 96 aceleradores. Esta apuesta forma parte de la estrategia de Microsoft para reducir su dependencia de NVIDIA y controlar su propia infraestructura de IA a gran escala.

Maximum-Severity SSRF Flaw in SonicWall SMA Devices Under Attack

Una vulnerabilidad crítica de SSRF en los dispositivos SonicWall SMA 1000 está siendo explotada activamente. Los atacantes están dirigiéndose a los clientes de SonicWall que usan estos aparatos.