El equipo de seguridad de PHP advierte de dos vulnerabilidades críticas de ejecución remota de código (RCE) con CVSS 9.2 que afectan a las versiones 5, 6, 7 y 8. Los parches de emergencia serán lanzados mañana 21 de octubre a las 14:00 UTC, después de que detalles sobre estos flaws zero-day se filtraran antes de la divulgación planeada.
Fortinet ha parcheado una vulnerabilidad crítica en FortiSIEM (CVE-2026-106173, CVSS 9.4) que permite ejecutar código remoto sin autenticación. Investigadores han divulgado un PoC que aprovecha una falla de traversal de directorios en el servicio gRPC del producto, afectando principalmente a FortiSIEM 7.5.0 y versiones anteriores. El fallo permite a atacantes sobrescribir archivos críticos del sistema, incluyendo scripts ejecutados por cron, para lograr ejecución remota de código.
→ Actualiza FortiSIEM 7.5.0 a 7.5.1 o posterior de inmediato.
⚠ Acción requeridaThe Hacker News · hace 7 horasFuente ↗
Palo Alto Networks confirma la explotación activa de CVE-2026-0257, una falla de autenticación en PAN-OS y Prisma Access ya parcheada en mayo de 2026, por los grupos de ransomware Qilin (Spikey Scorpius) e INC (Tarnished Scorpius). Los atacantes aprovechan la vulnerabilidad para eludir la autenticación multifactor (MFA), establecer conexiones VPN no autorizadas y obtener acceso inicial a redes corporativas de múltiples sectores.
→ Aplica el parche de Palo Alto Networks de mayo 2026 si aún no está instalado; realiza búsqueda proactiva de indicadores de compromiso (IoCs) de eventos exitosos conectados a gateway y activa protocolos de respuesta a incidentes si se detectan.
⚠ Acción requeridaThe Hacker News · hace 7 horasFuente ↗
Actores chinos utilizan agentes autónomos basados en IA (Cairn) para atacar más de 1.200 sitios web de empresas estadounidenses, incluidas John Deere, SharkNinja y Cummins, instalando web shells con mínima intervención humana. Un investigador de seguridad descubrió la campaña al encontrar paneles de control expuestos en internet, accediendo a los registros de ataques en tiempo real y confirmando compromisos en múltiples víctimas.
Un atacante secuestró una cuenta de colaborador en GitHub y reemplazó los archivos descargables de cinco versiones del CLI de OVHcloud con malware diseñado para robar secretos del disco. Los binarios maliciosos estuvieron disponibles durante 94 minutos el 19 de octubre y afectaron a usuarios que instalaron o actualizaron la herramienta durante esa ventana temporal en macOS, Linux y Windows. OVHcloud publicó una versión limpia (v0.16.0) inmutable y aconseja a los afectados rotar todas las claves y secretos almacenados en los equipos comprometidos.
→ Rota todos los secretos del ordenador desde una máquina diferente y actualiza a OVHcloud CLI v0.16.0 o posterior verificando el hash con gh release verify-asset.
⚠ Acción requeridaThe Hacker News · hace 14 horasFuente ↗
→ Parchea inmediatamente los sistemas contra CVE-2020-3259, CVE-2023-20269, CVE-2023-27532, CVE-2024-40711 y CVE-2024-40766, refuerza la autenticación multifactor, revisa los registros de acceso remoto y deshabilita herramientas de escritorio remoto no autorizadas.
→ Actualiza AOMEI Backupper inmediatamente y ejecuta la herramienta de detección gratuita proporcionada; realiza búsquedas exhaustivas de compromiso en sistemas que usaron el software durante abril–julio.
SonicWall ha parcheado una vulnerabilidad de máxima severidad (CVE-2026-102255) en los dispositivos SMA1000 que ya está siendo explotada activamente por atacantes tres días después del parche. La flaw afecta a los modelos 6210, 7210 y 8200v, permitiendo a atacantes no autenticados realizar solicitudes en nombre del dispositivo y acceder a funcionalidades internas no autorizadas. Este es el tercer zero-day crítico en los SMA1000 en cuatro meses, con más de 400 dispositivos expuestos en Internet según Shadowserver.
→ Actualiza SonicWall SMA1000 con el parche del martes (9 de octubre de 2026) o posterior inmediatamente.
CISA añadió cinco vulnerabilidades al catálogo de vulnerabilidades conocidas explotadas (KEV) tras su abuso por Flax Typhoon, un actor vinculado a China. Las cinco flaws afectan a ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts e ISC BIND, y se explotan para obtener acceso inicial a organizaciones y exfiltrar datos sensibles. Una advertencia conjunta de siete países, incluyendo España, advierte de operaciones atribuidas a Integrity Technology Group que explotan ocho vulnerabilidades en total. CISA ha fijado la fecha límite del 11 de octubre de 2026 para que las agencias federales estadounidenses apliquen parches o cesen el uso de los productos afectados.
→ Aplica parches o cesa el uso de ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts, ISC BIND y las demás soluciones afectadas antes del 11 de octubre de 2026.
Desde el 21 de septiembre, se han intensificado los intentos de explotación remota de código contra cámaras Hikvision sin actualizar, aprovechando la CVE-2021-36260 (CVSS 9,8), una vulnerabilidad crítica de inyección de comandos identificada en 2021. GreyNoise documentó un pico de actividad entre el 23 de septiembre y el 1 de octubre, principalmente desde direcciones IP ucranianas y nodos de salida de PureVPN, utilizando plantillas públicas de escaneo automatizado. Aunque se registraron intentos confirmados de explotación, no se han reportado tomas de control efectivas de sistemas de vigilancia reales.
→ Actualiza los dispositivos Hikvision a una versión que parche la CVE-2021-36260 o restringe el acceso a la interfaz web desde Internet.
Un resumen de noticias secundarias incluye el compromiso del SDK npm de Tensorlake, el tribunal sentencia al cofundador de Empire Market a 40 años de prisión, la fuga de telemetría de monitores GPU de NVIDIA, y el uso de IA en brechas bancarias coreanas. Se menciona también un botnet guiado por poemas.
Piratas informáticos secuestraron los ccTLD .gh, .sl y .as e instigaron certificados HTTPS para varios dominios de Google. El ataque demuestra la vulnerabilidad de la infraestructura de dominios de nivel superior de código de país.
Un informe de SailPoint revela la «paradoja de velocidad» en la seguridad empresarial: mientras las organizaciones despliegan agentes de IA autónomos a velocidad de máquina, sus controles de seguridad siguen operando a velocidad humana. El 54% de las organizaciones no tiene programas formales de seguridad de identidad para agentes no humanos, un problema de cobertura arquitectónica que las estrategias tradicionales de gestión de acceso no pueden resolver.
Un ciudadano ucraniano-ruso ha confesado dirigir Your Mule Cashout (YMCO), una operación de blanqueo de dinero que utilizó más de 15.000 mulas en EE. UU. para lavar millones de dólares robados por ciberdelincuentes. La red procesó más de $14.7 millones en pérdidas confirmadas y operó también en Alemania, Italia, Reino Unido y Australia reclutando a las mulas mediante correos de spam de empresas falsas.
Se explotan activamente en la naturaleza dos vulnerabilidades sin parche en AhsayCBS que permiten a los atacantes eludir la autenticación e inyectar comandos del sistema operativo. Se trata de fallos críticos que ponen en riesgo los sistemas que ejecutan este software de copia de seguridad.
Se ha descubierto una vulnerabilidad de path traversal en gvproxy, el reenviador de red del paquete gvisor-tap-vsock. El endpoint /services/forwarder/expose sin autenticación no valida la ruta del socket proporcionada por el atacante, permitiendo eliminar archivos arbitrarios del sistema.
Microsoft anuncia que los dispositivos con versiones de Windows no soportadas dejarán de recibir actualizaciones de seguridad tras la rotación de certificados de Windows Update en mayo y junio de 2027. Los administradores y usuarios deben actualizar a una versión soportada de Windows antes de que expiren los certificados el 17 de mayo y el 19 de junio de 2027, o perderán el acceso a los servicios de Windows Update.
Una campaña de malware llamada Midnight Mimosa se distribuye preinstalado en dispositivos Android de bajo coste en más de 150 países. El malware viene integrado en el firmware de fábrica, lo que dificulta su eliminación mediante métodos convencionales.
OpenAI defiende el despido de tres investigadores de seguridad de IA (Jasmine Wang, Tomek Korbak y Mikita Balesni) argumentando que violaron políticas sobre manejo de información sensible, no por plantear preocupaciones sobre seguridad. Los investigadores publicaron una carta abierta afirmando que fueron despedidos por sus preocupaciones sobre seguridad de IA.
Jamie Dimon, consejero delegado de JPMorgan Chase, afirma que el riesgo de ciberseguridad se ha multiplicado por 10 desde la llegada de Claude Mythos, el modelo de Anthropic, debido a su capacidad para encontrar y exploitar vulnerabilidades de día cero. Dimon participa en el programa Glasswing de Anthropic, que permite a organizaciones probar el modelo para fortalecer sus defensas, mientras que la empresa y sus socios han detectado miles de vulnerabilidades críticas que están parcheando.
Dell Secure Connect Gateway (SCG) Policy Manager en versiones anteriores a la 5.34.00.16 contiene una vulnerabilidad de restricción insuficiente de intentos de autenticación excesivos (CVSS 9.8). Un atacante remoto no autenticado podría explotarla para elevar privilegios, eludir mecanismos de protección y acceder sin autorización.
Un fallo en GoBalance, herramienta que utilizan muchos sitios de la dark web para mantenerse accesibles durante ataques DDoS, permite a los atacantes recuperar la clave privada que controla una dirección .onion usando solo información pública y secuestrar el sitio. El defecto está en el proceso de firma: GoBalance pasa solo 32 de los 64 bytes de la clave privada de Tor al firmante, exponiendo el valor secreto de cada firma. El fallo afectó públicamente a Dread, el mayor foro de la dark web, cuyas dos direcciones fueron secuestradas entre octubre de 5 y 7, y también a otros mercados como Omega.
Los modelos de lenguaje actuales están entrenados para rechazar solicitudes peligrosas, pero esta capacidad de rechazo es probabilística e imperfecta. El artículo argumenta que confiar en el rechazo como mecanismo principal de seguridad de la IA es arriesgado: los sistemas mantienen intacto su conocimiento de actos nocivos mientras intentan negarse a realizarlos, y gobiernos autoritarios podrían explotar estos mecanismos para censurar discurso legítimo.
Los Estados Unidos ha desarticulado herramientas de hacking utilizadas por grupos de APT patrocinados por China, entre ellos Flax Typhoon, que usaban MicroScan y FishHub para escanear y comprometer infraestructura crítica de EE.UU. y otros países.
Citrix advierte sobre CVE-2026-107406, una nueva vulnerabilidad crítica en NetScaler ADC y NetScaler Gateway que permite ejecución remota de código (RCE) mediante un desbordamiento de memoria en dispositivos configurados como proveedor de identidad SAML. Aunque Citrix afirma no tener constancia de explotación activa, recomienda actualizaciones inmediatas porque más de 21.000 direcciones IP con NetScaler están expuestas en Internet, y la empresa ha registrado 27 vulnerabilidades de Citrix activamente explotadas desde noviembre de 2021.
Tres equipos de investigadores consiguieron acceso remoto a Google Pixel 10 completamente parcheados en Pwn2Own Ireland el 8 de octubre, un concurso donde los investigadores demuestran exploits que luego se transmiten a los proveedores. El equipo ganador, Ikotas Labs, recibió el premio máximo de 300.000 dólares tras encadenar múltiples fallos; dos de los tres ataques utilizaron bugs previamente conocidos según las reglas del concurso.
→ Actualiza Google Pixel a nivel de parche 2026-09-05 o posterior para el fix de CVE-2026-58704; espera actualizaciones de Google cuando se publiquen los parches para las vulnerabilidades de Pwn2Own.
Anthropic ha lanzado OSS Scanner, una herramienta que utiliza IA para generar reportes de vulnerabilidades en software de código abierto y enviarlos directamente a los mantenedores que lo soliciten, sin revisar previamente los hallazgos. La compañía también colabora con 11 firmas en seguridad operacional (OT).
Citrix ha publicado parches para CVE-2026-107406, una vulnerabilidad de desbordamiento de memoria en NetScaler ADC y NetScaler Gateway que podría permitir ejecución remota de código o denegación de servicio en despliegues SAML. La vulnerabilidad tiene una puntuación CVSS de 9,5 pero no hay evidencia de explotación en la naturaleza; sin embargo, otros tres fallos de NetScaler están siendo explotados activamente.
→ Actualiza NetScaler ADC y Gateway a versión 14.1-73.46 o posterior, o a 13.1-64.29 o posterior si usas la rama 13.1.
INCIBE ha coordinado la publicación de una vulnerabilidad de Cross-Site Scripting reflejado (CVE-2026-4264) en la plataforma eCommerce de BeeTienda. La falla, de severidad media, afecta al parámetro 'search' de la página de productos y permite ejecutar código JavaScript arbitrario en navegadores de víctimas debido a una sanitización inadecuada. No hay parche disponible por el momento.
Microsoft ha actualizado PC Manager, su herramienta gratuita de optimización para Windows 10 y 11, con nuevas funciones de IA. La aplicación centraliza utilidades de limpieza de almacenamiento, gestión de memoria y seguridad, y ahora incorpora Círculo para actuar, una herramienta asistida por IA que captura pantallas, transcribe, traduce e inicia búsquedas visuales con Bing.
HPE ha publicado un aviso sobre una vulnerabilidad de autenticación incorrecta en Intelligent Management Center (iMC) anterior a versión 7.3 E0713. Un atacante remoto no autenticado podría eludir los controles de autenticación y acceder o modificar información sensible en sistemas afectados.
Citrix ha publicado un aviso sobre una vulnerabilidad crítica de desbordamiento de memoria en NetScaler ADC y NetScaler Gateway cuando se configuran como proveedor de identidad SAML. Un atacante remoto no autenticado podría ejecutar código arbitrario o provocar denegación de servicio. Se recomienda actualizar inmediatamente a las versiones parcheadas.
Tenable ha publicado un aviso sobre una vulnerabilidad crítica de inyección de comandos en Tenable Identity Exposure SaaS (versión 3.125.0 y anteriores). Un atacante autenticado con privilegios reducidos podría ejecutar comandos arbitrarios con permisos de SYSTEM en el controlador principal de dominio. La vulnerabilidad se corrige actualizando a la versión 3.126.0 o posterior.
Johnson Controls ha publicado un aviso sobre una vulnerabilidad de severidad alta en su sistema de gestión de vídeo ADVMS, causada por el uso de una clave criptográfica codificada en el ejecutable. Un atacante con acceso local y privilegios reducidos podría extraer información confidencial analizando el archivo ejecutable.
Asana ha reducido los costes de modelo 76 veces mediante pruebas de agentes en navegador con GPT-6 Astra en Codex, consiguiendo también una mejora de 5 veces en velocidad. El resultado permite ofrecer a los clientes modelos más capaces.
Sophos utiliza OpenAI Daybreak para reducir el tiempo de investigación de amenazas cibernéticas un 96% y automatizar el 52% de los casos de MDR (Managed Detection and Response) manteniendo la supervisión humana. Esta integración demuestra el uso de IA generativa para mejorar la eficiencia en operaciones de seguridad.
Citrix insta a parchear inmediatamente una vulnerabilidad crítica en NetScaler (CVE-2026-107406) que permite ejecución remota de código o denegación de servicio.
