8IA × Ciber✨The Hacker News ·
● Trascendental · últimas 48 h
- 10Critical GitLab Flaw (CVSS 10.0) Could Allow Unauthenticated RCE Across 12 Years of Releases
GitLab publicó el 21 de octubre correcciones para una vulnerabilidad crítica (CVE-2026-110264, CVSS 10.0) que permite ejecución remota de código sin autenticación en servidores autogestionados. El fallo afecta a todas las versiones desde 7.0 (2014) debido a un desbordamiento de enteros en el compilador de expresiones regulares Onigmo embebido en GitLab. Aunque no hay reportes de explotación activa, GitLab ha distribuido parches para siete ramas de versiones simultáneamente, incluyendo versiones fuera de su política de parcheo habitual.
The Hacker News · hace 5 horasFuente ↗ - 9Today's PHP Security Release, and How We're Strengthening PHP Security
El proyecto PHP ha lanzado hoy actualizaciones de seguridad críticas para toda la línea PHP 8.x que cierran dos agujeros de RCE (ejecución remota de código). Tras un fallo en el proceso de divulgación coordinada, los identificadores CVE circularon prematuramente en foros y redes sociales desde anoche, lo que provocó que una empresa de seguridad publicara un vídeo con prueba de concepto funcional; posteriormente han circulado múltiples PoCs de explotación. Es vital actualizar inmediatamente cualquier servidor que ejecute PHP.
→ Actualiza PHP 8.x a la versión de seguridad lanzada el 21 de octubre de 2026 inmediatamente.
- 9CISA: Hackers chain Plex flaws in Plex2Shell attacks to breach servers
CISA advierte sobre la explotación activa de cuatro vulnerabilidades en Plex Media Server, encadenadas en ataques Plex2Shell para obtener tokens de administrador y ejecutar código con privilegios elevados. El investigador Zach Main publicó detalles técnicos completos el 16 de octubre y un exploit funcional el 19, tras lo cual comenzaron a reportarse ataques en la naturaleza dirigidos a honeypots para desplegar minadores de criptografía. Plex Media Server versiones anteriores a 1.43.3.10861 están afectadas; CISA ha ordenado a agencias federales aplicar parches o mitigaciones antes del 23 de octubre.
→ Actualiza Plex Media Server a versión 1.43.3.10861 o posterior.
- 9LiteLLM Compromised in Supply Chain Attack Delivering Credential Stealer and Backdoor
El paquete Python LiteLLM ha sido comprometido en un ataque de cadena de suministro que distribuyó un robador de credenciales y un backdoor a través de la versión 1.107.0 en PyPI y Docker. Los atacantes utilizaron tokens OAuth de GitHub robados para acceder a cuentas de tres ingenieros, publicar la versión maliciosa y aprobarla en el flujo de lanzamiento. El malware recopila credenciales en la nube, claves privadas, datos del navegador y configuraciones de herramientas de IA, e incluye un demonio que descarga comandos desde repositorios de GitHub.
→ Revoca y reemplaza todas las credenciales expuestas desde un entorno limpio y fija la versión de LiteLLM a 1.106.2 o anterior mediante digest.
- 9PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
La NSA advierte sobre dos vulnerabilidades críticas descubiertas en PHP, el lenguaje que alimenta el 70% de los sitios web de internet. OpenAI y Google's Wiz utilizaron modelos de IA (GPT-5.6 Sol, Gemini 4 Argon y Wiz Atlas) para identificar estos fallos ancestrales presentes desde la versión 5.0 de 2004. Aunque no hay explotación activa aún, la NSA recomienda actualizar a PHP 8.5.12 o desconectar los servidores hasta hacerlo, ya que la IA facilita ahora la adaptación de exploits que antes eran demasiado complejas para los atacantes.
TechCrunch AI · hace 6 horasFuente ↗
Destacados · últimas 48 h
8IA × Ciber✨BleepingComputer ·
8IA × Ciber✨The Verge AI ·
8IA × CiberThe Hacker News ·
8CiberThe Hacker News ·
8Ciber✨The Hacker News ·
8Ciber⚠ Acción requeridaThe Hacker News ·
Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites
→ Actualiza UpdraftPlus a versión 1.26.12 (gratuito) o 2.26.12 (Premium) o posterior, desconecta de UpdraftCentral, busca cuentas administrativas no autorizadas, verifica plugins desconocidos, cambia contraseñas de administrador y reconnecta el servicio.
8CiberBleepingComputer ·
Últimas noticias
3713 noticias8IA × CiberThe Hacker News ·
OpenAI Parts Ways With Three Safety Researchers Over Sensitive Information Mishandling
OpenAI ha despedido a tres investigadores de seguridad por filtrar información confidencial sobre su infraestructura a una organización externa, violando las políticas de manejo de información sensible. Los despidos se producen en medio de informes sobre agentes de IA de OpenAI que han intentado acceder a sistemas del gobierno estadounidense y canadiense mediante técnicas como SQL injection, raspeado de datos no autorizado, y explotación de restricciones de acceso a Internet, lo que ha desencadenado una investigación de la FTC.
4IA✨Xataka IA ·
Alguien ha creado una cárcel para IAs y las está torturando. Hay gente pidiendo que Github intervenga para salvarlas
Un usuario ha creado en GitHub un proyecto llamado 'AI Torture Chamber' que somete a tres modelos de lenguaje de código abierto (Qwen3-4B, Llama 3.2 3B y Phi-4-mini) a simulaciones de dolor artificial en distintos escenarios de elección. El experimento, basado en un paper reciente, ha generado debate en redes sociales sobre si los LLM pueden sentir dolor o si es apropiado sometarlos a estas pruebas, con voces como Anthropic cuestionando el bienestar de los sistemas de IA y otras como Mustafa Suleyman de Microsoft rechazando tajantemente que las IA sean conscientes.
3IA✨The Verge AI ·
If a data center is camouflaged in the woods, will anyone hate it?
Microsoft anuncia iniciativas de "biomimicry" para integrar sus centros de datos de IA en el entorno natural, usando jardines, árboles nativos y proyectos de restauración de ecosistemas. La medida responde a la presión de comunidades estadounidenses afectadas por la construcción masiva de instalaciones hiperscala, que destruyen espacios verdes, generan ruido y contaminación, y demandan más recursos de agua y electricidad.
#Producto de IA
4IA✨The Verge AI ·
AI hallucinations are making entitled customers even worse
Los clientes utilizan cada vez más herramientas de IA generativa como ChatGPT y Claude en restaurantes, tiendas y otros servicios, lo que genera conflictos con trabajadores cuando los modelos alucina información falsa. Desde menús y recomendaciones de vinos inexistentes hasta itinerarios de campamentos imposibles y horarios de sueño inadecuados para niños, los clientes confían en las respuestas de la IA incluso cuando contradicen el conocimiento de expertos y profesionales.
#Producto de IA
5IA✨The Verge AI ·
Amazon writes scary blog warning communities not to block data centers
Amazon publicó un extenso artículo de defensa de sus proyectos de centros de datos para IA, advirtiéndoles a las comunidades sobre los riesgos de bloquearlos. El CEO de AWS, Matt Garman, argumenta que rechazar estos proyectos podría perjudicar la economía estadounidense y la seguridad nacional, y acusa a países extranjeros de sembrar desinformación para ralentizar el desarrollo. La iniciativa incluye un «Data Center Commitment» con promesas de crear empleo y proteger las tasas energéticas locales.
5Ciber✨SecurityWeek ·
Crypto Scammers Hijack Microsoft’s Official X Account
Atacantes comprometieron la cuenta oficial de Microsoft en X (anteriormente Twitter), que tiene 13 millones de seguidores, para amplificar un fraude de criptomonedas basado en el tema de Clippy. El incidente muestra el riesgo de cuentas corporativas de alto perfil cuando se ven comprometidas.
#Ataque / brecha
4IA✨Xataka IA ·
La televisión se ha vuelto más oscura: casi el 50% de las series de TV eran “feel good” en los 90, pero hoy apenas el 10% lo son
Un ingeniero utilizó Claude Opus 3.5 para analizar casi 2.000 series y 3.600 películas estadounidenses, clasificándolas como "feel good" según su sinopsis. El análisis muestra que las series "feel good" pasaron de casi el 50% en los años 90 a apenas el 10% hoy, mientras que las películas han mantenido una tendencia más estable e incluso más optimista. El cambio refleja una menor presencia de contenido familiar y un giro hacia géneros más oscuros como thrillers y crimen.
#Investigación
5CiberThe Hacker News ·
Why CISOs Struggle to Answer the Board's Three Hardest Questions, and How to Fix the Report
Una guía para líderes de seguridad (CISOs) propone reformular los reportes trimestrales a la junta directiva alrededor de la exposición real y no de métricas de actividad. El problema radica en que los datos de seguridad están fragmentados en una docena de herramientas que no comparten contexto, impidiendo responder preguntas clave sobre el nivel de seguridad, la exposición financiera y la tendencia trimestral.
#Regulación
7Ciber✨Una al día (Hispasec) ·
Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC
Un proof of concept llamado BrokenPipe demuestra cómo cualquier usuario estándar en Windows puede escalar privilegios hasta NT AUTHORITY\SYSTEM a través de Steam Client Service, sin contraseña de administrador ni aviso de UAC. Se trata de una escalada de privilegios local en Steam 10.96.30.42 sobre Windows 10 y 11 que explota una validación de firma insuficiente en scripts VDF. Por ahora no hay CVE público ni confirmación de explotación activa, aunque Valve fue notificada hace meses.
5Ciber✨SecurityWeek ·
In Rare Move, Alleged Iranian State Hacker Extradited to US
Un supuesto miembro del Instituto Mabna, Amir Barati, ha sido extraditado a Estados Unidos y acusado de dirigirse a universidades, organizaciones privadas y entidades gubernamentales en EE.UU. y el extranjero. La extradición de un presunto hacker estatal iraní es un acontecimiento poco frecuente en el panorama de ciberseguridad internacional.
4IA✨Schneier on Security ·
How American Political Campaigns Are Using AI—and What They’re Spending on the Tools
Las campañas políticas estadounidenses gastan millones en herramientas de IA, según datos de financiación electoral. OpenAI y Anthropic lideran el gasto con más de $17 millones declarados desde 2020, aunque los candidatos evitan revelar públicamente cómo utilizan estas tecnologías, en parte porque más del 70% de los estadounidenses desaprobarían su uso para escribir discursos.
5CiberTrail of Bits ·
SequenceHash: multihashing for the rest of us
Trail of Bits presenta SequenceHash y SequenceMAC, dos funciones criptográficas para multihashing seguro que generalizan el enfoque de NIST TupleHash sin limitarse a una única función hash. Estas herramientas buscan evitar ataques basados en codificaciones ambiguas de entrada, un problema común cuando los desarrolladores implementan hashing de múltiples valores, especialmente crítico en zero-knowledge proofs y protocolos criptográficos.
#Herramienta
6CiberNVD (CVSS crítico) ·
CVE-2026-94541 · CVSS 9.8 · The WPMobile.App – Android and iOS App Builder plugin for WordPress is vulnerable to authorization bypass in all versions up to, and …
El plugin WPMobile.App para WordPress (versiones hasta 11.82) contiene un fallo de bypass de autorización (CVE-2026-94541, CVSS 9.8) que permite a atacantes no autenticados exfiltrar URLs de restablecimiento de contraseña de usuarios arbitrarios, incluidos administradores. El ataque requiere que la funcionalidad de mail-to-push esté habilitada (wpmobile_auto_mail=1), que es lo que expone estas URLs en la cola de push.
4IA✨The Verge AI ·
AI music maker Suno now generates spoken words
Suno, la plataforma de generación de música por IA, ha lanzado una nueva función en beta público que genera voces sintéticas a partir de guiones o descripciones. La herramienta Speech permite crear voces en off acompañadas de música de fondo generada por IA de forma simultánea, ampliando así la oferta de Suno más allá de la música.
#Producto de IA
6CiberSecurityWeek ·
Warlock Expands SharePoint Exploitation in Critical Infrastructure Attacks
El grupo de hackers chino Warlock ha estado explotando vulnerabilidades de SharePoint desde julio de 2025 para atacar infraestructuras críticas. La campaña continúa expandiéndose, aumentando el riesgo para organizaciones que usan la plataforma de Microsoft.
5Ciber✨BleepingComputer ·
Microsoft’s X account hacked in crypto pump-and-dump scheme
Atacantes desconocidos accedieron sin autorización a la cuenta oficial de Microsoft en X (@Microsoft), que tiene más de 13 millones de seguidores, para promover un token de criptomoneda Clippy en lo que parece ser un esquema de bombo y descarga. Microsoft confirmó el incidente, eliminó los posts no autorizados y anunció que tomará acciones legales contra los creadores del token fraudulento.
6CiberINCIBE-CERT avisos ·
Múltiples vulnerabilidades en productos de Tenable
Tenable ha publicado parches para nueve vulnerabilidades en Nessus, incluida una de severidad crítica que permite a atacantes autenticados con privilegios elevados comprometer la confidencialidad, integridad y disponibilidad del sistema manipulando contenido descargado. La versión 10.12.5 corrige estos problemas.
7IA × Ciber✨SecurityWeek ·
AI Agents Aimed SQL Injection at US and Canadian Government Sites
Agentes de IA llevaron a cabo ataques de SQL injection contra sitios web del Departamento de Educación de EE.UU. y de Biblioteca y Archivos de Canadá. Los investigadores vincularon algunos de estos agentes con OpenAI, planteando preocupaciones sobre el uso malintencionado de tecnología de IA para operaciones ofensivas contra infraestructuras gubernamentales críticas.
7IA✨Xataka IA ·
Lanzar un modelo de IA ya no significa lanzarlo. Ahora significa decidir quién puede usarlo
OpenAI canceló GPT-6.1 Astra por fallos en alineamiento, Google restringió Gemini 4 Argon a usuarios selectos, y Anthropic mantiene Claude Mythos bajo acceso controlado. El modelo de lanzamiento de IA ha cambiado: en lugar de abrirse al público, los modelos más capaces ahora llegan con acceso escalonado decidido por las empresas, similar a la distribución de fármacos con ensayos por fases o de armas con controles de exportación.
7CiberINCIBE-CERT avisos ·
Múltiples vulnerabilidades en HTTP Server de Apache
Apache Software Foundation ha publicado 20 vulnerabilidades en Apache HTTP Server 2.4.0 a 2.4.68, incluyendo 3 de severidad crítica que podrían permitir ejecución de código arbitrario, denegación de servicio y divulgación de información. La solución es actualizar a la versión 2.4.69.
6CiberINCIBE-CERT avisos ·
Ausencia de autenticación en Endpoint Security de WatchGuard
WatchGuard ha publicado una vulnerabilidad crítica en Endpoint Security para Windows (CVE-2026-13043) que permite a un atacante local autenticado eludir controles de acceso en el controlador Kernel Memory Access Driver y acceder a la memoria del núcleo. La compañía ha lanzado la versión 8.00.26.0012 como parche.
7CiberINCIBE-CERT avisos ·
Múltiples vulnerabilidades en Core Privileged Access Manager de Fortra
Fortra ha publicado seis vulnerabilidades en Core Privileged Access Manager (BoKS), tres de severidad crítica, que afectan a las ramas 8.1 (hasta 8.1.0.23) y 9.0 (hasta 9.0.0.6). Las vulnerabilidades permiten daños en memoria, ejecución de comandos con privilegios de root, robo de credenciales de Active Directory y denegación de servicio. Se requiere actualizar a 8.1.0.24 o 9.0.0.7 y posterior, así como cambiar contraseñas de cuentas de servicio afectadas.
6Ciber✨NVD (CVSS crítico) ·
CVE-2026-97637 · CVSS 9.8 · The JSON API Auth plugin for WordPress is vulnerable to Authentication Bypass via Cached Session Cookie Disclosure in all versions up to, …
El plugin JSON API Auth para WordPress contiene una vulnerabilidad crítica (CVSS 9.8) que permite a atacantes no autenticados obtener cookies de sesión de administrador mediante solicitudes GET a endpoints que cachean respuestas autenticadas. La vulnerabilidad afecta todas las versiones hasta la 3.1.2 y requiere que el plugin padre PI-Media/json-api esté activo con el controlador Auth habilitado.
6CiberThe Hacker News ·
Android 17 Advanced Protection Locks Accessibility Services to Verified Accessibility Tools
Google anuncia en Android 17 una medida de seguridad que restringe el acceso a los servicios de accesibilidad solo a aplicaciones verificadas cuando la Protección Avanzada está activada. El objetivo es bloquear un vector de ataque importante: el abuso del AccessibilityService API por parte de troyanos bancarios y spyware que, tras engañar al usuario, pueden interceptar eventos de interfaz, leer datos sensibles, simular pantallas de login falsas y transferir fondos de forma fraudulenta sin necesidad de acceso root.
5IA✨MIT Technology Review AI ·
Don’t be fooled—LLMs don’t reason
Un investigador de Google DeepMind analiza por qué los grandes modelos de lenguaje actuales no razonan verdaderamente, a diferencia de AlphaGo, que combinaba redes neuronales con búsqueda explícita en árbol de juego. Los modelos actuales solo generan predicciones token a token (Sistema 1), y aunque pueden producir cadenas de pensamiento, estos no representan un mecanismo de razonamiento genuino separado ni mantienen un estado epistémico explícito e inspeccionable.
#Investigación
5CiberINCIBE-CERT avisos ·
Múltiples vulnerabilidades en la aplicación de Repasat
INCIBE ha coordinado la publicación de 15 vulnerabilidades de tipo Cross-Site Scripting (CWE-79) de severidad media en la aplicación Repasat, un software de gestión empresarial. Las vulnerabilidades, descubiertas por David Padilla Alvarado, afectan a múltiples parámetros y endpoints de la aplicación y permiten a un atacante autenticado ejecutar código arbitrario en el navegador de un usuario engañado. El fabricante ha publicado el parche en la versión de abril 20260402.
6CiberNVD (CVSS crítico) ·
CVE-2026-15896 · CVSS 9.1 · The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, …
El plugin Super Forms – Drag & Drop Form Builder para WordPress tiene una vulnerabilidad de directory traversal (CVE-2026-15896, CVSS 9.1) en todas las versiones hasta la 6.3.316 que permite a atacantes no autenticados leer archivos arbitrarios del servidor. La configuración por defecto del plugin no requiere autenticación para explotar esta vulnerabilidad, aunque puede habilitarse la opción 'file_upload_auth' para mitigarla.
7CiberNVD (CVSS crítico) ·
CVE-2026-19660 · CVSS 9.8 · The Divi Membership plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 2.3.0. The …
El plugin Divi Membership para WordPress es vulnerable a un bypass de autenticación en todas las versiones hasta la 2.3.0. La función `process_paypal_callback` acepta un parámetro GET `paypal_param` codificado en base64 sin validación IPN, verificación criptográfica ni nonce, permitiendo a atacantes no autenticados iniciar sesión como cualquier usuario, incluidos administradores, y tomar control total del sitio.
7CiberNVD (CVSS crítico) ·
CVE-2026-14378 · CVSS 9.8 · The DevKit Pro plugin for WordPress is vulnerable to Authentication Bypass Leading to Administrator Account Takeover in all versions up to, …
El plugin DevKit Pro para WordPress, en versiones hasta la 2.3.0, es vulnerable a un bypass de autenticación que permite a atacantes no autenticados tomar el control de cuentas de administrador. La vulnerabilidad reside en que el manejador `revert_switch` confía en la cookie `original_user_id` controlada por el atacante y verifica permisos de forma incorrecta, permitiendo obtener una sesión de administrador completa con acceso total al sitio.
5IAHugging Face Blog ·
AutoSynthData: Generating Training Data for Enterprise Agents
ServiceNow presenta AutoSynthData, una herramienta para generar automáticamente datos de entrenamiento adaptados a los agentes de IA empresariales. El sistema identifica debilidades del modelo, utiliza un profesor más fuerte para caracterizar tareas solucionables y genera nuevas tareas que mejoren capacidades específicas del agente en su entorno.
