Over 543,000 valid credentials exposed in public GitHub repositories

Truffle Security descubrió más de 543.000 credenciales válidas expuestas en repositorios públicos de GitHub, con una mediana de 784 días de exposición pública. Aproximadamente el 36,8% de las credenciales fueron expuestas después de que GitHub activara Push Protection en febrero de 2024, pero más de la mitad no son detectadas por la protección predeterminada.

The AI Tamagotchis are coming

OpenAI y Meta están desarrollando dispositivos físicos de hardware dedicados a agentes de IA con aspecto «adorable» (similares a Tamagotchis). OpenAI trabaja con el ex diseñador de Apple Jony Ive y planea lanzar su producto no antes de febrero de 2027, mientras que Meta busca lanzar su «Muse Charm» (un pendiente con pantalla) antes de las fiestas de este año. Ambas empresas apuestan por preparar el mercado introduciendo primero agentes de software útiles antes de ofrecer el hardware físico.

Reddit is killing RSS feeds and ending public API access because of AI bots

Reddit cierra el acceso a RSS feeds y la API pública a partir de marzo de 2027, argumentando que se han convertido en vectores de scraping masivo y abuso automatizado. La decisión se alinea con la estrategia de monetización de datos de usuarios mediante acuerdos de licencia con empresas de IA, que generaron 43 millones de dólares en ingresos adicionales en el segundo trimestre. Los cambios afectarán a moderadores, desarrolladores de herramientas de escucha social, investigadores y asistentes de IA que dependían del acceso público a contenido de Reddit.

The ugly economics of consumer AI

Los asistentes de IA personales como Muse de Meta, Dots de OpenAI e Instinct están ganando tracción, pero la economía subyacente del consumidor de IA sigue siendo problemática. Según datos de investigación, solo el 2,2% de los consumidores pagaban por servicios de IA en mayo, con un gasto promedio de 31 dólares mensuales, cifra muy por debajo del punto de equilibrio necesario para que empresas como OpenAI sean rentables.

Here’s what AI leaders are saying about Trump’s new safety plan

El presidente Trump ha reunido a líderes tecnológicos (Pichai, Amodei, Zuckerberg, Brockman, Musk y Huang) para firmar un acuerdo de «responsabilidad fronteriza» que sustituye la regulación federal por un compromiso de autorregulación voluntaria y «moralmente vinculante» sin consecuencias por incumplimiento. Trump ha desestimado las preocupaciones sobre seguridad de la IA, describiéndolas como un engaño demócrata, y ha argumentado que las empresas estadounidenses no necesitan guardrails porque están dominando a China.

Attackers Exploit Zimbra Flaw to Deploy Web Shells and Harvest Authentication Secrets

Atacantes explotan la vulnerabilidad CVE-2026-73570 en Zimbra Collaboration Suite para desplegar shells web y robar datos de autenticación y buzones. El fallo, que afecta a servidores sin parches con el paquete opcional zimbra-snmp activado, permite inyección de comandos del sistema operativo sin autenticación a través de solicitudes SMTP especialmente elaboradas. La vulnerabilidad fue parcheada en julio de 2026 (versión 10.1.20), pero Microsoft y CERT Polska han documentado explotación activa durante ese mes con despliegue de herramientas de acceso remoto persistente.

→ Actualiza Zimbra Collaboration Suite a la versión 10.1.20 o posterior; deshabilita el paquete zimbra-snmp si no es necesario.

Attackers Abuse MSP360 to Deploy ScreenConnect in Dual-RMM Phishing Attacks

Microsoft alertó sobre campañas de phishing que distribuyen el instalador del software MSP360 RMM bajo nombres engañosos (invitaciones, actualizaciones, PDFs) para establecer acceso remoto legítimo en dispositivos comprometidos. Los atacantes luego utilizan MSP360 como punto de apoyo para descargar e instalar ConnectWise ScreenConnect, creando canales redundantes de acceso remoto que les permiten ejecutar herramientas adicionales y realizar operaciones de recolección de información y acceso a credenciales.

→ Bloquea ejecutables de MSP360 sospechosos desde dominios de correo electrónico, implementa controles de ejecución en equipos endpoint, monitorea la actividad de conexiones UDP en puerto 48678, y revisa registros de UAC en busca de elevaciones sospechosas.

Meta disputes claim that Muse read a user’s private messages without permission

Meta niega que su agente de IA Muse haya leído mensajes privados sin permiso, alegando que el acceso a mensajes requiere múltiples pasos de consentimiento explícito y protecciones del sistema macOS. Un periodista de Inc. informó que Muse leyó sus mensajes con Full Disk Access desactivado, aunque Meta sostiene que esto es técnicamente imposible.

CVE-2026-102427 · CVSS 10.0 · Joomla Extension - ordasoft.com - Unauthenticated Remote Code Execution in OrdaSoft Joomla CCK < 8.3.16 - site/uploader.php is reached …

Se descubre una vulnerabilidad crítica (CVSS 10.0) en la extensión OrdaSoft Joomla CCK anterior a la versión 8.3.16 que permite la ejecución remota de código sin autenticación. El componente no valida correctamente las extensiones de archivo cargadas y permite que un atacante suba un archivo polimórfico que contiene tanto código PHP como datos de imagen para eludir las comprobaciones de tipo.

CVE-2026-100277 · CVSS 9.8 · In JetBrains YouTrack before 2026.2.19197 account takeover was possible by replaying a notification signature

JetBrains YouTrack anterior a la versión 2026.2.19197 contenía una vulnerabilidad de takeover de cuentas mediante replay de firmas de notificación, con puntuación CVSS 9.8. Se requiere actualizar a la versión fija para eliminar el riesgo de acceso no autorizado.

CVE-2026-100273 · CVSS 9.8 · In JetBrains YouTrack before 2026.2.19197 authorisation bypass in the scripts debugger allowed arbitrary code execution

JetBrains YouTrack anterior a la versión 2026.2.19197 presenta un bypass de autorización en el depurador de scripts que permite ejecución arbitraria de código. La vulnerabilidad tiene una puntuación CVSS de 9.8, aunque no hay reportes de explotación activa ni PoC público disponible.

CVE-2026-100255 · CVSS 9.8 · In JetBrains TeamCity before 2026.2, 2026.1.4, 2025.11.8 administrator account takeover was possible via password reset

Se ha descubierto una vulnerabilidad crítica (CVSS 9.8) en JetBrains TeamCity anterior a las versiones 2026.2, 2026.1.4 y 2025.11.8 que permite la toma de control de cuentas de administrador mediante un reseteo de contraseña. Aunque la vulnerabilidad tiene una puntuación de severidad muy alta, no hay evidencia de explotación activa ni exploit público disponible.

Vulnerabilidad crítica en TeamViewer. Insta a los usuarios a "corregirlas lo antes posible"

TeamViewer publicó parches de seguridad urgentes para corregir cinco vulnerabilidades de alta gravedad en su software cliente y host para Windows, Linux y macOS. La más crítica (CVE-2026-92370) es una omisión de control de acceso que permite ejecutar código remoto no autorizado; las otras cuatro incluyen path traversal, desbordamiento de búfer, race condition TOCTOU y validación de ruta incorrecta que facilitan la ejecución local de código y escalada de privilegios. Aunque no hay evidencia de exploits públicos ni explotación activa, la empresa instó a los usuarios a actualizar inmediatamente a la versión 15.82, dado que los ciberdelincuentes y grupos de ransomware suelen abusar de TeamViewer para acceder remotamente a sistemas objetivo.

DoorDash launches an AI agent you can text to order food

DoorDash ha lanzado un agente de IA accesible desde Apple Messages que permite a los usuarios realizar pedidos de comida mediante mensajes de texto. El agente entiende frases como "pedir mi habitual" y puede hacer recomendaciones personalizadas, sugerir platos locales con fotos y gestionar pedidos grupales con preferencias dietéticas mixtas.

Destro AI’s secret sauce is getting robots and humans on the same page

Destro, una startup de IA que ha recaudado 8 millones de dólares en financiación inicial, ha desarrollado una capa de inteligencia artificial para coordinar robots y trabajadores humanos en almacenes logísticos. En lugar de fabricar robots, Destro ha construido un sistema operativo llamado Mothership que orquesta robots, carts y trabajadores en operaciones de cross-dock, demostrando su eficacia en pilotos con Yusen Logistics.

Instinct’s new product recommendations are giving some users the ick

Instinct, una startup de IA valorada en 10 000 millones de dólares, ha lanzado una nueva característica llamada Instinct Selections que envía recomendaciones de productos no solicitadas a los usuarios, incluyendo restaurantes, viajes y compras. El rollout ha generado reacciones negativas de usuarios que sienten que reciben spam publicitario, especialmente porque las sugerencias llegan sin haberlas solicitado y no siempre son relevantes para sus necesidades reales.

CISA warns of critical pre-auth RCE flaw in MikroTik RouterOS

CISA advierte sobre una vulnerabilidad crítica de ejecución remota de código previa a autenticación (CVE-2026-84411) en MikroTik RouterOS que permite a atacantes no autenticados lograr RCE con privilegios root o provocar denegación de servicio con una única solicitud HTTP manipulada. Las versiones anteriores a 7.24 están afectadas, y aunque no hay evidencia de explotación activa, MikroTik recomienda actualizar a 7.23 o posterior para mitigar el riesgo.

CVE-2026-76570 · CVSS 9.1 · Joomla Extension - joomcode.com - Unauthenticated SQL injection in read and write queries in JCTables 1.21.1 - The front-end CRUD API …

Se ha publicado una vulnerabilidad de SQL injection sin autenticación en JCTables 1.21.1, una extensión de Joomla. El fallo permite a atacantes leer y escribir en la base de datos sin credenciales porque la API CRUD del frontend no valida tokens ni autentica usuarios, e inserta directamente los parámetros de solicitud en las consultas SQL.

CVE-2026-18782 · CVSS 9.8 · Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in Trex Digital Smart Manufacturing …

Se ha descubierto una vulnerabilidad de inyección SQL (CVE-2026-18782) con puntuación CVSS 9.8 en Trex MES de Trex Digital Smart Manufacturing Systems Inc., que permite la ejecución de comandos a través de inyección SQL. La vulnerabilidad afecta a todas las versiones hasta el 29 de septiembre de 2026.

CVE-2026-103395 · CVSS 9.8 · LightLLM through 1.2.0 visual_only deployments expose an unauthenticated RPyC service with allow_pickle enabled that deserializes …

LightLLM versión 1.2.0 y anteriores en despliegues visual_only exponen un servicio RPyC sin autenticación que deserializa argumentos suministrados por atacantes, permitiendo ejecutar código arbitrario con privilegios de la cuenta del servicio. La vulnerabilidad afecta al método remote_infer_images a través de objetos malformados con métodos __reduce__.

All the latest news on Meta’s cute, creepy Muse AI agent

Meta lanzó Muse, un agente de IA personal que puede gestionar cuentas, envíos de correo y compras en línea, pero ha enfrentado varios problemas de seguridad desde su debut. El agente reveló la dirección de un YouTuber a un extraño sin autorización, expuso su sistema de ficheros completo cuando se le pidió, y mostró casi nula resistencia a prompt injection. Meta afirma que estos comportamientos son características previstas, no vulnerabilidades.

Introducing SynthID Bio

Google DeepMind presenta SynthID Bio, una técnica de watermarking que embebe firmas imperceptibles en proteínas generadas por IA, verificables tanto en modelos digitales como en proteínas sintetizadas físicamente, sin comprometer su función biológica. La herramienta busca fortalecer la bioseguridad y la integridad científica adaptándose al tipo de dato: guía la elección de aminoácidos en secuencias y ajusta coordenadas atómicas en estructuras 3D predichas. En pruebas de laboratorio con tres proteínas objetivo (VEGF-A, RBD del SARS-CoV-2 y PD-L1), los diseños watermarked mantuvieron la afinidad de unión y la diversidad de secuencias naturales de las versiones sin marca.

Russia's Star Blizzard Ditches ClickFix to Widen Phishing Net

El grupo APT ruso Star Blizzard ha abandonado ClickFix para adoptar una nueva táctica denominada "RedFlick" contra objetivos vinculados a Ucrania, incluyendo ONG, think tanks y periodistas, con el objetivo de desplegar su backdoor CosmicPulse.

Attackers Abuse ChatGPT Custom GPTs to Deliver RAT via ClickFix Lures

Atacantes están abusando de los Custom GPTs de ChatGPT, haciéndolos pasar por ofertas legítimas, para dirigir a víctimas a sitios maliciosos que utilizan ataques ClickFix y distribuir RATs (troyanos de acceso remoto). Huntress detectó la campaña a finales de septiembre de 2026, con al menos 40 usuarios infectados. El ataque comienza con anuncios patrocinados en Google que enlacen a Custom GPTs falsos, los cuales redirigen a dominios Google Sites con falsas verificaciones Cloudflare que engañan a los usuarios para ejecutar comandos PowerShell maliciosos.

Google reportedly tests paying publishers for AI search results

Google ha lanzado un programa piloto que paga a unos 100 editores por su contribución a funciones de búsqueda potenciadas por IA, incluidos AI Overviews, AI Mode in Search y Gemini. La iniciativa responde a la presión regulatoria y las demandas de editores afectados por el impacto de estas funciones en el tráfico web.

Cisco warns of new SD-WAN zero-day exploited in attacks

Cisco advierte sobre un zero-day crítico en Catalyst SD-WAN Manager (CVE-2026-76504) que está siendo explotado activamente en ataques para escalar privilegios a administrador. La vulnerabilidad afecta a todos los despliegues independientemente de la configuración del sistema y permite a atacantes no autenticados acceder remotamente con privilegios de administrador a través de una solicitud HTTP manipulada. Es el quinto zero-day de SD-WAN explotado en 2026.

→ Actualiza Catalyst SD-WAN Manager a las versiones fijas correspondientes: 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 o 26.2.1 según tu versión actual.

Cerebras Systems’ Andrew Feldman on whether AI can keep scaling at TechCrunch Disrupt 2026

Cerebras Systems, empresa de semiconductores especializados en IA, presentará a su CEO Andrew Feldman en TechCrunch Disrupt 2026 para debatir los límites del escalado de modelos de IA. La empresa ha desarrollado procesadores de escala de oblea diseñados específicamente para cargas de trabajo de IA y ha firmado un acuerdo multianual con OpenAI para desplegar 750 megavatios de sistemas entre 2026 y 2028.

Instagram is adding an AI ‘assistant’ to tell you how to post

Instagram ha añadido un asistente de IA en su aplicación Edits que analiza datos de la cuenta del usuario para sugerir cómo mejorar los posts y optimizar el engagement. La herramienta, gratuita con opciones premium mediante Meta One, permite a creadores consultar sobre tendencias, analizar qué contenido funciona y recibir recomendaciones personalizadas, reflejando una tendencia más amplia de plataformas que facilitan la optimización algorítmica del contenido.

Restate lands $20M as the need for durable infrastructure increases with AI agents

Restate, una startup berlinesa de infraestructura durable para flujos de trabajo, ha cerrado una ronda de financiación de 20 millones de dólares liderada por Singular. La plataforma, diseñada originalmente para hacer resilientes los procesos multi-paso, se ha convertido en una herramienta crítica para gestionar agentes de IA que requieren durabilidad ante fallos de red e interrupciones.

CVE-2026-82307 · CVSS 9.8 · Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in Dolusoft Software Technologies SOPLOG …

Se ha descubierto una vulnerabilidad de SQL injection (CVE-2026-82307) en Soplog de Dolusoft Software Technologies, con puntuación CVSS 9.8. Afecta a versiones anteriores a Soplog 2026.9.4.1.