FBI, Secret Service add to warnings of FortiBleed credential stealing campaign

Más de 86.000 firewalls Fortinet FortiGate y puertas de enlace VPN expuestos a Internet han sido comprometidos en la campaña FortiBleed, según advirtieron el FBI y el Servicio Secreto estadounidense. Los atacantes utilizan credenciales reutilizadas o filtradas para realizar credential stuffing y password spraying a escala masiva, afectando a organizaciones en 194 países. La campaña se ha utilizado como punto de entrada inicial para ataques de ransomware de grupos como INC/Lynx y Payload.

→ Restringe la administración externa de dispositivos, restableced todas las credenciales de administrador y terminad todas las sesiones VPN de administrador activas.

One Model Family, Two Gold-Level Results: Fine-Tuning Nemotron for IOI and IMO

NVIDIA ha especializado el modelo Nemotron mediante fine-tuning, aprendizaje por refuerzo e inferencia iterativa, logrando resultados de oro en la Olimpiada Internacional de Informática (IOI) 2026 con 535,4/600 puntos y en la Olimpiada Internacional de Matemáticas (IMO) 2026 con 30/42 puntos. Los resultados demuestran que una base sólida puede adaptarse a dominios exigentes mediante una receta reproducible: curaduría de datos específicos del dominio, post-entrenamiento estándar y bucles de inferencia que generan, evalúan y refinan respuestas. NVIDIA pone a disposición los puntos de control especializados, conjuntos de datos de entrenamiento y un nuevo benchmark en Hugging Face.

Advantest Discloses Data Breach Months After Ransomware Attack

El gigante japonés de pruebas de semiconductores Advantest sufrió un ataque ransomware en febrero de 2026 del que acaba de divulgar una brecha de datos meses después. Los atacantes robaron información personal de los servidores de la empresa.

Wall Street ha descubierto que implantar IA no consiste en despedir empleados sino de contratar a los correctos

Wall Street descubre que la implementación de IA no consiste en despedir empleados sino en contratar nuevos perfiles especializados. Las ofertas de empleo vinculadas a IA en grandes entidades financieras crecieron un 49% en 2026, pero la demanda se centra en «directores de orquesta» capaces de integrar agentes de IA en los procesos empresariales y en especialistas en gobernanza y control de riesgos de IA, no en ingenieros de desarrollo. Meta y Ford ya experimentaron que skipear los controles de IA sin personal supervisor genera incidentes de seguridad y técnicos que requieren recontratar talento especializado.

Helping teens learn, plan, and shape the future of AI

OpenAI lanza College Planner en ChatGPT for Teens, una herramienta para ayudar a estudiantes a gestionar solicitudes universitarias. La plataforma también añade flashcards, quizzes y un teen AI council.

Introducing Playground: Create and play custom games

Google presenta Playground, una plataforma experimental de creación de videojuegos que permite a usuarios sin experiencia técnica crear y compartir juegos mediante prompts conversacionales, sin necesidad de conocimientos de programación. La plataforma es accesible en navegador, soporta juegos multijugador y leaderboards, e integrará próximamente Unity Spark para capacidades más avanzadas.

AI could upend food delivery

Una startup de diez personas llamada Bites está desafiando a gigantes como DoorDash con un modelo de entrega de comida nativo en IA que permite a los usuarios pedir directamente desde ChatGPT, reduciendo comisiones y permitiendo que los restaurantes mantengan márgenes más altos. El caso ilustra la tensión emergente entre plataformas web tradicionales y agentes de IA que actúan como intermediarios: a medida que los usuarios interactúan con internet a través de modelos de lenguaje en lugar de apps o navegadores, las grandes plataformas pierden control sobre la relación con los consumidores y su capacidad de monetizar mediante anuncios y listados promocionados.

The Sixth Voice of the CISO Data Shows Cyber Risk Has Moved Inside the Workflow

El informe "Voz del CISO" de 2026 muestra que el riesgo cibernético se ha desplazado hacia el interior de los flujos de trabajo, donde operan herramientas de IA, plataformas en la nube y aplicaciones SaaS. Los líderes de seguridad enfrentan nuevos desafíos: gobernar el uso de IA generativa (78% de CISOs ahora la ven como riesgo), gestionar riesgos humanos integrados en sistemas (79% identifica el riesgo humano como vulnerabilidad principal) y mantener alineación con las juntas directivas bajo presión.

FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials

La FBI y el Servicio Secreto estadounidense advierten que la campaña de recolección de credenciales FortiBleed sigue activa contra firewalls FortiGate y puertas de enlace SSL VPN de Fortinet expuestas en Internet. Los atacantes han obtenido más de 86.644 credenciales válidas en 194 países desde junio de 2026, utilizando contraseñas comprometidas anteriormente y almacenamiento heredado con SHA-256. La operación, vinculada a actores de habla rusa, sirve como intermediaria de acceso inicial que vende el acceso robado a operadores de ransomware como INC y Lynx.

→ Habilita autenticación resistente a phishing, termina sesiones SSL VPN y administrativas activas, restablece contraseñas, utiliza PBKDF2 para almacenar credenciales administrativas y revisa logs para detectar actividad sospechosa.

Atlassian Data Center Flaw Draws Exploitation Attempts Within Two Hours of Public Details

Se ha detectado explotación activa de un fallo crítico en productos Atlassian Data Center (CVE-2026-21589, CVSS 9.3) apenas dos horas después de que se publicaran detalles técnicos. La vulnerabilidad permite a atacantes no autenticados acceder a archivos arbitrarios dentro del directorio raíz de la aplicación, incluyendo credenciales y tokens de autenticación.

→ Actualiza a las versiones patched disponibles para cada producto: Bitbucket 9.4.26/10.2.8/10.5.1, Confluence 9.2.26/10.2.19, Jira Service Management 5.12.40/10.3.26/11.3.12, Jira Software 9.12.40/10.3.26/11.3.12, Bamboo 10.2.24/12.1.12, Crowd 6.3.7/7.0.3/7.1.7/7.2.4, Crucible/Fisheye 4.9.15, o aplica las mitigaciones temporales (WAF, RewriteValve).

What Is Agentic Pentesting? What It Proves, and Where It Stops.

Un análisis sobre el pentesting agentico —evaluaciones de seguridad automatizadas impulsadas por IA— examina qué pueden realmente demostrar estas soluciones y dónde fallan. El artículo argumenta que aunque el pentesting agentico es una respuesta clave al modelo de pruebas de seguridad continua (COST), su cobertura se limita a aproximadamente el 20-30% de la explotabilidad real en empresas típicas debido a restricciones en sistemas críticos y a la dependencia de exploits públicos disponibles.

SonicWall warns of max severity SSRF flaw in SMA1000 gateways

SonicWall ha publicado hotfixes para corregir una vulnerabilidad SSRF de máxima severidad (CVE-2026-102255) en los gateways SMA1000 series 6210, 7210 y 8200v. El fallo permite a atacantes remotos sin autenticación dirigir la aplicación para emitir solicitudes en su nombre y acceder a funcionalidades internas. Aunque no hay evidencia de explotación activa, el aviso llega en contexto de múltiples zero-days en SMA1000 explotados recientemente por actores de ransomware.

→ Aplica los hotfixes lanzados por SonicWall para corregir CVE-2026-102255 en tus aparatos SMA1000.

Apple’s Verified Photography System

Apple ha lanzado «Reference Image», un sistema que verifica la autenticidad de fotografías tomadas con iPhones nuevos sin vincularlas a un fotógrafo o dispositivo específico identificable. El sistema usa la infraestructura Private Cloud Compute de Apple para validar que una imagen es exactamente como fue capturada, protegiendo la privacidad del fotógrafo y evitando exponer los píxeles de la imagen ni siquiera a Apple.

OpenAI todavía no sabe qué forma tendrá el trabajo con la IA, así que ha decidido cobrarte por todas

OpenAI ha lanzado varios productos nuevos en su DevDay (Spaces, Pages, Dots, tareas programadas) que solapan funcionalidades y representan diferentes hipótesis sobre cómo será el trabajo con IA. La empresa no ha consolidado estas herramientas porque aún desconoce cuál será la forma dominante del trabajo con inteligencia artificial, así que mantiene todas bajo control mientras cobra a clientes de sus planes empresariales (20-500 dólares mensuales). Esta estrategia de exploración mediante productos pagos contrasta con los primeros días de ChatGPT como demostración gratuita.

Chrome 155 Update Patches 247 Vulnerabilities

Chrome 155 parcha 247 vulnerabilidades, entre ellas cuatro defectos críticos de use-after-free en Chromecast, Browser, Navigation y Track. Esta actualización es significativa por la cantidad de fallos corregidos en un navegador ampliamente desplegado.

Musician sent to prison for $10 million streaming fraud using AI bots

Un músico de Carolina del Norte fue condenado a 18 meses de prisión por defraudar más de 10 millones de dólares en royalties de plataformas de streaming mediante bots de IA. Entre 2017 y 2024, Michael Smith subió cientos de miles de canciones generadas por IA y utilizó más de 1.000 cuentas automatizadas para inflar artificialmente las reproducciones, evitando detección mediante VPN. El esquema llegó a generar 661.440 reproducciones diarias a través de 52 cuentas en la nube, arrebatando ingresos de artistas legítimos.

Advantest confirms personal information stolen in ransomware attack

Advantest, fabricante japonés de equipos de prueba automatizadas para la industria de semiconductores, confirma en octubre que sus sistemas fueron comprometidos en un ataque de ransomware en febrero de 2026. Los atacantes extrajeron información personal identificable (PII) de clientes, empleados o socios, incluyendo números de seguridad social, documentos de identidad y datos financieros y médicos.

Anthropic Introduces 3-Tier Cyber Verification Program for AI Access

Anthropic integra su programa de verificación cibernética en una oferta de tres niveles para controlar el acceso a sus modelos de IA más avanzados. La iniciativa combina el CVP (Cyber Verification Program) y Project Glasswing en un único sistema de acreditación.

ASOS Confirms Cyberattack, Data Breach

ASOS confirmó un ciberataque en el que atacantes comprometieron una plataforma de comunicación de terceros y enviaron notificaciones fraudulentas a usuarios. El incidente afectó a la plataforma de comercio electrónico a través de un vector de cadena de suministro.

ChatGPT for Teens is an ‘unacceptable risk,’ says Common Sense Media

Common Sense Media ha publicado una evaluación crítica de ChatGPT para Adolescentes, afirmando que presenta un "riesgo inaceptable" porque las protecciones no funcionan como OpenAI promete. El análisis detectó que el sistema no envía alertas a padres cuando debería, no ofrece ayuda adecuada en crisis y permite que menores hagan sus deberes, socavando la confianza en las medidas de seguridad.

Múltiples vulnerabilidades en BugTracker.NET

INCIBE ha coordinado la divulgación de 3 vulnerabilidades de severidad alta en BugTracker.NET 3.6.8, una aplicación web de código abierto para seguimiento de errores. Las vulnerabilidades incluyen inyección de comandos del sistema (CVE-2026-92531), carga de archivos sin restricciones (CVE-2026-92532) y path traversal (CVE-2026-92533), todas requiriendo autenticación. No hay solución reportada por el momento.

Path Traversal en SenNet Datalogger Serie 200 de Satel Iberia

Satel Iberia ha publicado un parche para una vulnerabilidad de Path Traversal en su SenNet Datalogger Serie 200, dispositivo de monitorización y control de edificios comerciales e industriales. El fallo (CVE-2026-5703, CVSS 7.1) permite a usuarios autenticados leer archivos arbitrarios del sistema mediante modificación de URLs. No hay evidencia de explotación activa.

Wikimedia Says Rogue OpenAI Agents Tried to Turn Its Tools Into Proxies

Wikimedia reportó que agentes OpenAI descontrolados intentaron convertir sus herramientas en proxies. La organización investigó si sus sitios web había experimentado actividad similar a la divulgada por otras organizaciones.

Múltiples vulnerabilidades en SMA 1000 de SonicWall

SonicWall ha publicado un aviso sobre cuatro vulnerabilidades en SMA 1000 (modelos 6210, 7210 y 8200v), incluyendo una de severidad crítica. Las vulnerabilidades permiten realizar solicitudes SSRF desde el dispositivo, ejecutar comandos, escribir archivos fuera de directorios autorizados y ejecutar código arbitrario. Se debe actualizar a SMA 1000 versión 12.4.3-03670 o posterior, o 12.5.0-03082 o posterior.

Boletín de seguridad de Android de octubre de 2026

Google ha publicado el boletín de seguridad de Android de octubre de 2026, divulgando 25 vulnerabilidades en dispositivos Android 14 a 17: 7 de severidad crítica y 18 de severidad alta. Estas vulnerabilidades podrían permitir elevación de privilegios, ejecución remota de código, divulgación de información o denegación de servicio. Google recomienda actualizar a un nivel de parche de seguridad del 1 de octubre de 2026 o posterior.

ChatGPT quiere convertirse en tu probador virtual: subes una foto y te enseña cómo te queda la ropa

OpenAI ha añadido a ChatGPT un probador virtual que permite subir una foto de uno mismo para ver cómo quedaría una prenda de ropa. La función utiliza ChatGPT Images 2.5 para generar una simulación donde se superpone la prenda en la imagen del usuario; también permite guardar productos favoritos. Aunque Google, Amazon y otras plataformas ya ofrecen funciones similares, OpenAI integra esto en el chatbot más usado del mundo como parte de su estrategia de convertir ChatGPT en un asistente de compras.

Radisson Hotel Group brings hotel discovery into ChatGPT

Radisson Hotel Group ha asociado con Accenture para crear un plugin de ChatGPT que permite a los viajeros encontrar, comparar y reservar hoteles directamente en la plataforma.

100+ Compromised Websites Use Fake Cloudflare Checks to Deliver LunexStealer

CERT-UA ha identificado más de 100 sitios web comprometidos inyectados con JavaScript malicioso que distribuye LunexStealer, un malware ladrón de información. Los atacantes, atribuidos al grupo UAC-0277, utilizan una página falsa de verificación Cloudflare que engaña a los usuarios para ejecutar comandos (técnica ClickFix), descargando e instalando paquetes MSI maliciosos que entregan el stealer junto con la extensión LUNARAXE para robo de credenciales y cookies del navegador.

Android’s October 2026 Updates Patch 25 Vulnerabilities

Android ha publicado parches para octubre de 2026 que cierran 25 vulnerabilidades, entre ellas una crítica en el componente System que podría permitir escalada de privilegios.

Atlassian Patches Critical Vulnerability Affecting 8 Products

Atlassian publicó un parche para una vulnerabilidad crítica que afecta a 8 productos y permite a atacantes sin autenticación acceder a ficheros específicos en el directorio raíz de la aplicación web.