CVE-2026-107206 · CVSS 9.4 · LMCache through 0.5.5 contains a missing authentication vulnerability in the multiprocess mode HTTP server that allows remote …

LMCache versión 0.5.5 y anteriores contiene una vulnerabilidad de autenticación ausente en el servidor HTTP en modo multiproceso, que permite a atacantes remotos no autenticados acceder a puntos finales de gestión expuestos por defecto en todas las interfaces. Los atacantes pueden leer credenciales de entorno, acceder a configuraciones, limpiar cachés y modificar cuotas de inquilinos para desalojar datos cacheados de otros usuarios.

CVE-2026-107204 · CVSS 9.8 · LMCache through 0.5.5 contains an unauthenticated remote code execution vulnerability that allows remote attackers to execute Python code …

LMCache versión 0.5.5 y anteriores contiene una vulnerabilidad de ejecución remota de código sin autenticación en el endpoint /run_script. Los atacantes pueden inyectar código Python que se ejecuta con los privilegios del proceso LMCache, permitiendo acceso al sistema operativo mediante técnicas de bypass de restricciones.

SonicWall Patches CVSS 10.0 Pre-Authentication SSRF Flaw in SMA1000 Appliances

SonicWall ha publicado parches de emergencia para cuatro fallos en sus aplicaciones SMA1000, incluido un SSRF de acceso previo a autenticación calificado con CVSS 10.0 en el portal WorkPlace (CVE-2026-102255). El fallo permite a un atacante sin credenciales enviar peticiones a través de la aplicación y acceder a funciones internas no autorizadas. Aunque SonicWall afirma no tener evidencia de explotación activa, este es el tercer fallo crítico similar en WorkPlace que corrige este año, después de que en julio y septiembre revelara dos pares de SSRF que ya estaban siendo explotados.

→ Actualiza SonicWall SMA1000 a la versión 12.4.3-03670 o superior (rama 12.4.3) o 12.5.0-03082 o superior (rama 12.5.0) descargando el hotfix desde el portal MySonicWall.

ChatGPT is getting college planning tools

OpenAI añade herramientas de planificación universitaria a ChatGPT for Teens, incluyendo un College Planner que ayuda a estudiantes a seguir plazos de solicitudes y ayuda financiera. También llegan nuevas funciones de estudio: captura multifotos para crear PDFs y generación automática de tarjetas de memoria.

Microsoft Outlook to block MSIX attachments starting November

Microsoft anunciará el bloqueo de archivos .msix y .msixbundle en Outlook Web y el nuevo cliente Outlook para Windows a partir de noviembre de 2026, añadiéndolos a la lista de tipos de archivo bloqueados por defecto. El cambio se desplegará gradualmente en Exchange Online con disponibilidad general prevista para mediados de noviembre, aunque las organizaciones podrán usar una lista blanca si es necesario.

Muse launches on the iPad

Meta lanzó soporte nativo para iPad en su aplicación Muse, su asistente de IA diseñado para competir con ChatGPT y otros agentes. La actualización incluye nuevas integraciones con herramientas como Canva, Dropbox, Figma y GitHub, dirigidas a propietarios de pequeñas empresas que puedan usar Muse para planificación de marketing y desarrollo de productos.

Unpatched Critical LMCache Flaw Lets Unauthenticated Attackers Run Code Remotely

Una vulnerabilidad crítica sin parche en LMCache, software de código abierto que acelera servidores LLM como vLLM, permite a atacantes no autenticados ejecutar código remoto en el servidor de caché. El fallo afecta a las versiones 0.3.9 a 0.5.5 y reside en el modo multiproceso de LMCache, donde un mensaje de red malformado desempaquetado con pickle puede ejecutar comandos con los privilegios del proceso LMCache, frecuentemente root en contenedores oficiales. Aunque por defecto el servidor escucha solo en localhost, la documentación de LMCache incluye ejemplos de Kubernetes que lo exponen a todas las interfaces de red, lo que lo hace accesible remotamente.

PoeLLM Malware Infects 3,400+ Servers to Expand Crypto Mining Botnet

Investigadores de ciberseguridad descubrieron PoeLLM, una familia de malware que ha infectado más de 3.400 servidores con infraestructura expuesta de IA y modelos de lenguaje para desplegar minadores de criptomonedas. La campaña, atribuida a un actor de habla italiana, utiliza una técnica creativa para ocultar la dirección de comando y control (C2) dentro de un poema alojado en un repositorio de GitHub, cambiando palabras clave cada vez que se configura un nuevo C2. Los servidores comprometidos se reutilizan como exploradores y servidores de exploit para encontrar y comprometer sistemas adicionales.

Healthleap raises $38M for its AI that flags hospital patients who may need a closer look

Healthleap, una startup fundada en Sudáfrica que construye una plataforma de IA para identificar pacientes hospitalizados con enfermedades no diagnosticadas, ha recaudado $38 millones en rondas de financiación seed y Series A. La plataforma analiza registros electrónicos de salud utilizando modelos de lenguaje para detectar signos de malnutrición, delirio, neumonía por aspiración y otras condiciones a partir de notas clínicas escritas. La empresa opera actualmente en más de 50 hospitales, incluyendo instituciones como Penn Medicine y Cedars-Sinai, y reporta un crecimiento de ingresos superior a 10 veces en el último año.

PoeLLM malware infects exposed AI servers in cryptomining attacks

La campaña PoeLLM, activa desde abril, ha infectado más de 2.100 servidores de IA expuestos (LiteLLM, Ollama y otros) para minería de criptomonedas, usando un método inusual: extrae direcciones de comando y control de un poema alojado en GitHub. El malware incorpora funcionalidad de shell remoto, mineros de criptomonedas y capacidades de exploit, y ya ha comprometido hasta 800 sistemas simultáneamente en Estados Unidos y Europa Occidental.

→ Aplica las últimas actualizaciones de seguridad, reduce la exposición pública de activos críticos y restringe el acceso externo solo a direcciones IP de confianza.

Atacantes aprovechan un fallo crítico en Atlassian Data Center tras publicarse una prueba de concepto

La vulnerabilidad crítica CVE-2026-21589 en productos Atlassian Data Center registra intentos de explotación activos pocas horas después de publicarse una prueba de concepto. El fallo permite leer ficheros sin autenticación (CVSS 9,3) y, en entornos con integración Crowd, facilita escalada hasta permisos de administrador. Afecta a Jira, Confluence, Bitbucket, Bamboo y otros productos Data Center ampliamente utilizados en organizaciones.

→ Actualiza inmediatamente Atlassian Data Center a la versión parcheada indicada por Atlassian y busca evidencias de acceso a ficheros WEB-INF/classes/crowd.properties en los registros.

Oklahoma judge’s Flock ruling shows the power of Supreme Court’s digital evidence decision

Un juez federal de Oklahoma anuló pruebas de reconocimiento automático de matrículas (ALPR) de la marca Flock en un caso de tráfico de metanfetamina, argumentando que las búsquedas sin orden judicial violan la Cuarta Enmienda. La decisión se fundamenta en el histórico fallo Chatrie de la Corte Suprema de junio sobre búsquedas de geolocalización, estableciendo que el seguimiento de vehículos mediante datos históricos de ALPR constituye vigilancia masiva indiscriminada cuando se realiza sin mandamiento judicial.

Anti-Patterns in Software Blogging

Michael Lynch publica consejos sobre cómo evitar antipatrones en blogs de software: no abusar de introducciones divagatorias, explicar la terminología sin depender de enlaces, ajustar el nivel técnico al lector y escribir con voz propia en lugar de con formalidad excesiva. Lynch señala que muchos desarrolladores recurren a IA para escribir, lo que hace el contenido monótono y homogéneo.

Tony Fadell on why the first wave of AI gadgets failed — and what comes next

Tony Fadell, creador del iPod y cofundador de Nest, analiza por qué fracasaron los primeros gadgets de IA (Rabbit R1, Humane Ai Pin, Limitless) y qué debe cambiar. Según Fadell, estos dispositivos no resolvían problemas reales sino que eran tecnología interesante para entusiastas, y la mayoría de consumidores no entienden ni confían en asistentes personales de IA. Fadell sostiene que el futuro pasa por ejecutar la IA completamente en el dispositivo, con máxima privacidad, algo que solo empresas como Apple podrían lograr hoy.

Google invests millions in Mark Zuckerberg’s efforts to create a ‘virtual cell’

Google DeepMind, Meta e Isomorphic Labs invierten 300 millones de dólares conjuntamente en Biohub, la organización de investigación biomédica fundada por Mark Zuckerberg y Priscilla Chan. La iniciativa, parte de un programa de 1.800 millones de dólares, busca crear datasets de IA que permitan a los investigadores simular y predecir procesos biológicos digitalmente para desarrollar nuevas formas de prevenir y gestionar enfermedades.

Google experiments with an AI-powered gaming platform

Google Labs ha lanzado Playground, una plataforma experimental para crear juegos basada en IA que permite a usuarios sin experiencia en programación desarrollar juegos en navegador usando prompts de texto. La herramienta soporta juegos 2D y 3D, modalidades individuales y multijugador, y permite compartir los proyectos públicamente o mantenerlos privados, con planes de integración con Unity Spark en futuras versiones.

OpenAI’s Alexander Embiricos is coming to TechCrunch Disrupt 2026 — days after the launch of Dots

OpenAI anunció Dots, su nuevo agente de IA personal autónomo que va más allá del chatbot tradicional: puede ejecutarse continuamente en la nube, conectarse a aplicaciones externas y trabajar hacia objetivos sin intervención del usuario. Alexander Embiricos, responsable del producto, participará en TechCrunch Disrupt 2026 para discutir el futuro de los agentes personales y los desafíos de privacidad y confianza que conllevan.

Advierte que FortiBleed sigue activo tras recopilar 86.644 credenciales de dispositivos Fortinet

El FBI y el Servicio Secreto estadounidense advierten que FortiBleed, una campaña activa de recopilación de credenciales dirigida a firewall Fortinet FortiGate y puertas de enlace VPN SSL expuestos a Internet, ha comprometido más de 86.644 credenciales válidas en 194 países. Los actores rusos explotan credenciales filtradas y sistemas heredados de almacenamiento SHA-256 para acceder masivamente a dispositivos Fortinet, escaneando continuamente sistemas expuestos con credenciales previamente comprometidas.

→ Habilita autenticación resistente al phishing, finaliza sesiones administrativas y VPN SSL activas, restablece contraseñas de administrador y VPN, cambia el almacenamiento de credenciales a PBKDF2, y revisa los logs de acceso en busca de actividad sospechosa.

Georgia Power, Alabama Power Data Breach Hits 400,000 Accounts

Southern Company notifica a clientes que información de cuentas de Georgia Power y Alabama Power fue accedida por hackers, afectando a 400.000 cuentas. El incidente expone datos de usuarios de servicios eléctricos de dos estados estadounidenses.

Get hands-on: The full lineup of interactive roundtables at TechCrunch Disrupt 2026

TechCrunch Disrupt 2026 anuncia su agenda de mesas redondas interactivas para el evento de octubre en San Francisco, donde se reunirán más de 10.000 emprendedores, inversores y líderes tecnológicos. Las sesiones cubren temas como IA física, software empresarial, finanzas impulsadas por IA, datos de post-entrenamiento especializado y adopción de IA en industrias tradicionales.

Cyber experts call on CISA to create mandatory federal OT rules

Un grupo de expertos de la Operational Technology Cybersecurity Coalition ha publicado un informe solicitando a CISA que establezca normas federales vinculantes para la ciberseguridad de la tecnología operativa (OT) en agencias federales estadounidenses. El llamamiento surge tras los recientes ataques a sistemas de agua en al menos 12 estados, que revelaron dispositivos conectados a Internet con contraseñas predeterminadas o sin segmentación de red.

Ransomware has a new target. Is your backup ready?

Los grupos de ransomware han intensificado sus ataques contra infraestructuras de copia de seguridad, borrando puntos de recuperación antes de cifrar los sistemas principales para presionar a las víctimas a pagar el rescate. Casos como ALPHV/BlackCat contra Change Healthcare (rescate de 22 millones de dólares) y Gunra demuestran que los atacantes utilizan credenciales comprometidas para acceder a todas las copias de seguridad, incluso en ubicaciones separadas si comparten la misma clave de administración. Las organizaciones deben aislar las copias de seguridad de la red de producción, limitar el acceso administrativo y implementar almacenamiento inmutable para que los atacantes no puedan destruir la vía de recuperación.

6 days to TechCrunch Disrupt 2026: Save on your pass before doors open

TechCrunch anuncia descuentos para el registro en TechCrunch Disrupt 2026, que se celebrará del 13 al 15 de octubre en San Francisco. El evento reunirá a más de 10.000 personas de la industria tecnológica y startups, con cientos de empresas, 200+ sesiones y la competición Startup Battlefield 200.

Google’s new SynthID website can identify AI-generated media

Google ha lanzado un sitio web público para que cualquiera verifique si una imagen, vídeo o archivo de audio ha sido generado con IA utilizando su tecnología SynthID. La herramienta, que ya estaba disponible para periodistas y investigadores desde Google I/O del año pasado, ahora es accesible a todos y procesa más de un millón de solicitudes diarias de verificación.

Senate passes healthcare cybersecurity bill after 190 million impacted by Change Healthcare breach

El Senado estadounidense aprobó por unanimidad la Ley de Ciberseguridad y Resiliencia en Sanidad tras el ataque ransomware a Change Healthcare que afectó a 190 millones de personas. La norma ordena al Departamento de Salud y Seguridad Social (HHS) establecer estándares mínimos de ciberseguridad para entidades sanitarias privadas, incluyendo autenticación multifactor, y coordinarse con la CISA para mejorar la respuesta ante incidentes.

ShinyHunters Extorted Boeing Spin-off Prior to Arrests

El líder adolescente de ShinyHunters, el grupo de robo de datos y extorsión prolífico conocido como «Rey», ha sido detenido en Ammán, Jordania, y coopera con el FBI para identificar otros miembros de la banda. ShinyHunters explotaba una vulnerabilidad (CVE-2026-35273) en PeopleSoft de Oracle para robar datos de organizaciones en múltiples sectores, incluido el FBI, y estaba extorsionando a Jeppesen ForeFlight, unidad de navegación recientemente vendida por Boeing.

→ Aplica el parche de Oracle para CVE-2026-35273 si aún no lo has hecho; implementa reglas de firewall de aplicaciones web de Mandiant actualizadas para detectar evasiones por codificación URL.

Qilin Ransomware Suspect Arrested in Japan, Extradited to Germany

Un sospechoso vinculado al ransomware Qilin ha sido detenido en Japón en mayo y extraditado a Alemania para enfrentarse a cargos de hacking. Este caso representa un avance significativo en la lucha contra una operación de ransomware activa.

Russian cyberattacks against UK are 'Putin Tax' costing $3.3 billion, says lawmaker

Un informe del diputado laborista Graeme Downie estima que los ciberataques rusos contra el Reino Unido cuestan entre 2.600 y 3.300 millones de dólares anuales, cifra que denomina el "Impuesto Putin". El gobierno británico no dispone de estimaciones oficiales del impacto económico de las actividades vinculadas al Kremlin, incluyendo los ataques de ransomware contra el Servicio Nacional de Salud y Royal Mail. El informe pide que el gobierno mida y publique anualmente el coste de la actividad hostil de Estados extranjeros para fundamentar mejor las inversiones en defensa cibernética.

Introducing Falcon ASR

Falcon ASR es un modelo de reconocimiento de voz árabe de 1.600 millones de parámetros desarrollado por TII (Technology Innovation Institute) en Abu Dabi, con enfoque especial en el dialecto emiratí. El modelo logra un WER (word error rate) del 20,92% en árabe, superior a los resultados publicados anteriormente, y también soporta inglés, francés, español y portugués.

Hadrian Raises $40 Million to Expand Autonomous Offensive Security Platform

Hadrian ha recaudado 40 millones de dólares para expandir su plataforma ofensiva de seguridad autónoma. La plataforma utiliza agentes de IA que permiten a los defensores operar a la misma velocidad que los atacantes.