Nvidia launches new open models to run agents in the enterprise and on PCs

Nvidia lanzó nuevos modelos abiertos Nemotron 3.5 Super VL (120 mil millones de parámetros) para agentes empresariales y dos modelos Bolt más pequeños para ejecutarse localmente en ordenadores con el chip RTX Spark. La compañía afirma que Super VL completa tareas más rápido que modelos de Anthropic y OpenAI, y busca impulsar agentes empresariales que se ejecuten en infraestructura propia y asistentes de consumo enfocados en privacidad que no envíen datos a la nube.

Rank Math PRO WordPress Plugin Compromised in Supply Chain Attack

El plugin WordPress Rank Math PRO versión 3.0.123 fue comprometido en un ataque a la cadena de suministro, con malware inyectado en los paquetes distribuidos entre el 15 y 16 de octubre. Se trata de un incidente de seguridad que afecta a todos los usuarios que descargaron esa versión durante la ventana de distribución comprometida.

→ Actualiza el plugin Rank Math PRO a una versión posterior a 3.0.123 e inspecciona el servidor en busca de indicios de compromiso.

Microsoft fixes game, app crashes caused by recent Windows update

Microsoft ha corregido un problema conocido en la actualización preview de septiembre de 2026 (KB5124010) que causaba caídas en juegos y aplicaciones de Windows 11 que utilizaban decodificación de audio AC-3 (Dolby Digital). La solución se incluye en la actualización de Patch Tuesday de octubre de 2026 (KB5127648), que Microsoft recomienda instalar en sistemas afectados con Windows 11 24H2 o posterior.

JB Pritzker thinks AI could help us live to 100 — or threaten us like nukes

El gobernador de Illinois JB Pritzker, en una entrevista para el podcast Decoder, discute su visión sobre la inteligencia artificial, los centros de datos, la privacía y el papel del gobierno en regular el sector tecnológico. Pritzker aboga por que el gobierno sea más activo en la protección de los ciudadanos frente a los avances tecnológicos, argumentando que no debe ser solo un colaborador pasivo de las empresas.

OnlyFans Copyright Takedowns Expose Compromised Websites

Solicitudes de retirada de derechos de autor asociadas a OnlyFans y otros creadores de contenido para adultos están exponiendo cómo los atacantes explotan vulnerabilidades en sitios web universitarios y gubernamentales para manipular resultados de búsqueda. Los equipos de seguridad deben revisar cómo los atacantes abusan de estos sistemas.

CVE-2026-112296 · CVSS 9.8 · FlyCms through commit edfdf724 contains a default credentials vulnerability that allows unauthenticated remote attackers to gain super …

FlyCms hasta el commit edfdf724 contiene una vulnerabilidad de credenciales por defecto que permite a atacantes no autenticados obtener acceso de superadministrador usando la cuenta flycms con contraseña admin123. Los atacantes pueden iniciar sesión en POST /api/auth/login resolviendo solo un captcha de imagen para obtener control total del contenido, usuarios y configuración del sitio.

CVE-2026-112292 · CVSS 9.8 · CheckCle through 1.6.0 contains a missing authorization vulnerability that allows unauthenticated attackers to read, modify and delete …

CheckCle versión 1.6.0 y anteriores contiene una vulnerabilidad de autorización ausente que permite a atacantes no autenticados leer, modificar y eliminar registros porque sus colecciones PocketBase usan reglas API vacías. Los atacantes pueden acceder a tokens de servidor y configuraciones secretas, desactivar alertas y borrar datos de monitorización.

Inside the Underground Market for Know Your Client Services

El artículo analiza el mercado clandestino de servicios KYC (Know Your Client) falsos, donde actores delictivos venden documentos de identidad forjados, vídeos deepfake y asistencia en verificaciones en vivo para eludir controles de identidad en bancos e intercambios de criptomonedas. Tras la condena del operador de OnlyFake por generar más de 10.000 documentos digitales fraudulentos, la plataforma Flare documenta cómo estos servicios se empaquetan y promocionan en comunidades subterráneas, exponiendo técnicas sofisticadas para contravenir sistemas KYC.

The Evolving Cybersecurity Lexicon: Vulnerability Discovery to Resilience

La industria de la ciberseguridad ha concentrado demasiada atención en el descubrimiento de vulnerabilidades, dejando a los equipos sin espacio para estrategias de resiliencia. El artículo analiza cómo esta enfoque desequilibrada limita la capacidad de las organizaciones para construir sistemas resilientes.

A hacker broke into John Deere and SharkNinja with an army of AI agents

Un atacante utilizó un ejército de agentes de IA basados en Cairn, una plataforma de código abierto, para irrumpir en más de 100 sitios web incluyendo John Deere, SharkNinja y Cummins. Los agentes de IA operaron de forma autónoma con mínima intervención humana, completando intrusiones exitosas en aproximadamente 23 horas tras recibir instrucciones en menos de 100 caracteres chinos. El hallazgo subraya los riesgos emergentes de los sistemas de IA en ataques cibernéticos a gran escala.

F5 releases out-of-band patches for critical NGINX vulnerabilities

F5 ha publicado parches de emergencia para tres vulnerabilidades críticas en NGINX que permiten ejecución remota de código o denegación de servicio en sistemas con configuraciones no predeterminadas. Los fallos afectan al módulo ngx_http_v3_module y la directiva map de NGINX, e impactan NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager. Aunque no hay evidencia de explotación activa, el historial reciente de F5 muestra que sus vulnerabilidades han sido objeto de campañas de ciberdelincuentes y actores patrocinados por estados.

Feds Suspect Ransom Negotiator Ran ShinyHunters Extortion Site

Investigadores federales estadounidenses han identificado a ejecutivos de firmas de negociación de rescates que mantenían relaciones con el grupo ShinyHunters, que ha robado datos de la FBI y extorsionado a más de 70 millones de dólares este año. Un ejecutivo canadiense de ciberseguridad, Edward Dubrovsky, ha sido arrestado por ayudar a operar el sitio de extorsión ShinyWire. Los investigadores creen que al menos un ejecutivo de una firma consultora estadounidense también participó activamente en la operación del sitio de extorsión de ShinyHunters.

ConnectWise Suspends Cloud Services in Response to Cyberattack

ConnectWise ha suspendido sus servicios en la nube tras sufrir un ciberataque. La empresa continúa con las labores de remediación y validación de seguridad, mientras los servicios permanecen indisponibles.

Amazon se ha convertido en el mejor ejemplo del impacto de la IA en el empleo: ni se crea ni se destruye, se desplaza

Amazon ha realizado 30.000 despidos en tres meses (octubre 2025-enero 2026), atribuidos parcialmente a la IA, pero el análisis de su plantilla total revela que la empresa mantuvo casi el mismo número de empleados desde 2021. Los recortes se concentraron en departamentos como Alexa, Prime Video y publicidad, no en logística, mientras que AWS creció un 37% y la inversión en IA se elevó a 220.000 millones: se trata de un desplazamiento de recursos, no de una destrucción de empleo.

GhostAction Attackers Plant Credential Stealer Disguised as Font in 94 GitHub Repositories

Los atacantes de GhostAction han evolucionado su campaña de cadena de suministro para incluir phishing sofisticado y malware distribuido como archivo de fuente falso. Tras registrar el dominio my-github.com, enviaron correos de phishing suplantando alertas de seguridad de GitHub para robar credenciales y autorizar aplicaciones OAuth maliciosas que permiten inyectar flujos de trabajo maliciosos. Además, han implantado un componente de segundo estadio que persiste en máquinas desarrollador incluso después de eliminar el flujo de trabajo original, usando archivos de configuración de VS Code y archivos de fuente que contienen malware recolector de credenciales.

→ Revoca tokens y acceso a GitHub desde dispositivo limpio, cambia contraseñas, audita repositorios y rota todas las credenciales almacenadas (claves AWS, tokens PyPI/npm, SSH).

50 muertos o 1.000 millones de dólares en daños: el listón que Anthropic quiere fijar para que el Gobierno pueda frenar un modelo de IA

Anthropic ha presentado un borrador de proyecto de ley sobre seguridad de modelos de IA en el Congreso estadounidense que fija umbrales muy altos para que el gobierno pueda detener un modelo: 1.000 millones de dólares en daños o 50 muertes. La propuesta concentraría el poder de intervención exclusivamente en el Departamento de Comercio, requiriendo autorización judicial para bloquear un lanzamiento.

Microsoft fixes classic Outlook bug that hid Copilot buttons

Microsoft ha reparado un fallo conocido en Outlook de escritorio (versión clásica) que ocultaba los botones de Copilot Chat y Copilot a algunos usuarios de Windows. El problema, causado por un bug que impedía a Outlook recuperar información de la cuenta desde el perfil del usuario, afectaba a usuarios con licencia Copilot Chat (Basic) o Microsoft 365 Copilot (Premium).

Plex2Shell Exploit Chain Weaponized Against Plex Servers Hours After Disclosure

Actores de amenaza han comenzado a explotar la cadena de vulnerabilidades Plex2Shell contra servidores Plex apenas horas después de su divulgación pública, distribuyendo minadores de criptomonedas y software proxy.

→ Actualiza Plex Media Server a la versión más reciente que corrija la cadena Plex2Shell.

Susan Li, CFO de Meta, sobre el futuro de la compañía y la IA: "Si Muse no funciona, las cosas van a ir realmente mal"

Meta presentó Muse Wonder, su nuevo modelo de IA de frontera liderado por Alexandr Wang, con aspiraciones de competir con OpenAI, Anthropic y Google. La CFO Susan Li enfatizó ante Wang que el éxito de Muse es crucial: si funciona, Meta irá bien; si fracasa, las consecuencias serán graves. La compañía ha invertido cientos de miles de millones de dólares en infraestructura de IA en 2025 sin certeza de que los productos resultantes tengan éxito.

ATT&CK v20: actualizaciones en IA, infraestructuras críticas, ciberespionaje y dispositivos móviles

MITRE publicó la versión 20 de ATT&CK el 13 de octubre, añadiendo nueve nuevas técnicas para el entorno empresarial, incluidas cinco que describen ataques contra sistemas de IA: inyección directa e indirecta de instrucciones (prompt injection), extracción de contraseñas de aplicaciones para eludir MFA, y evasión de CAPTCHA. La actualización también amplía la cobertura para sistemas de control industrial y dispositivos móviles, proporcionando a los equipos de defensa un lenguaje común para mapear amenazas y planificar detecciones.

Democrats think cracking down on AI could give them an edge

Demócratas estadounidenses ven en la regulación de la IA una oportunidad política ante el rechazo público a la tecnología. Grupos de presión demócratas han lanzado campañas de 4 millones de dólares criticando a candidatos republicanos por su falta de posición sobre IA, centros de datos y seguridad infantil en línea. La cuestión contrasta con la postura pro-industria del presidente Trump, lo que sitúa a los demócratas en mejor posición para capitalizar el sentimiento negativo hacia la IA.

One Compromised Login Exposed Millions of California Students’ Records

Intrusos utilizaron credenciales comprometidas para acceder a un servidor SFTP de ETS, desde el cual copiaron registros de estudiantes de California que se remontan a 2006. El incidente afecta a millones de menores y sus datos personales.

From Email-to-Case to the Boardroom: How Inherited Agents Break Governance Built for Software

En Salesforce Agentforce, la combinación de funciones estándar (Email-to-Case, Web-to-Case y Flows) crea una ruta no intencionada por la que actores externos pueden inyectar datos en los prompts de agentes internos: correos públicos se convierten en registros de casos que alimentan instrucciones de agentes. El artículo revela que los riesgos surgen de la aplicación anfitriona, no del modelo, y que los gobiernos corporativos basados en documentos fracasan porque no pueden ver ni controlar dónde viven realmente los agentes heredados en plataformas de terceros.

Hackers steal customer data from major Russian hosting provider FirstVDS

Atacantes explotaron una vulnerabilidad en VMmanager 6, una plataforma de gestión de virtualización desarrollada por la empresa rusa ISPsystem, para acceder a datos de clientes de FirstVDS, un proveedor de hosting ruso. Los atacantes desplegaron malware que les permitió copiar contraseñas, credenciales de acceso, archivos de configuración, carteras de criptodivisas y otros datos sensibles sin interrumpir las operaciones ni dejar rastros en los servidores virtuales comprometidos. La brecha fue descubierta el sábado y FirstVDS ha deshabilitado el acceso externo al sistema de gestión vulnerable.

Exploited Fortinet Bug Linked to Stealthy FortiGate Implant in Telecom Hack

Se ha descubierto un implante persistente y sigiloso en FortiGate vinculado a la explotación de una vulnerabilidad de Fortinet en un ataque contra una organización de telecomunicaciones. El implante permite mantener acceso no autorizado al dispositivo comprometido.

Training AIs to Solve CAPTCHAs

Investigadores demostraron que un sistema híbrido de inteligencia artificial puede resolver CAPTCHAs visuales de forma adaptativa, mejorando continuamente con cada encuentro sin entrenamiento específico. El enfoque combina un detector YOLOv8 ajustado con un modelo de visión-lenguaje abierto que aprende automáticamente de sus propios aciertos, alcanzando una precisión del 85,4% y recuperándose incluso cuando los operadores perturban las imágenes para frustrarlo.

Fake Web3 Accelerator Uses npm Packages to Spread Malware and Hijack AI Agent Traffic

Una operación de ciberdelincuentes suplanta a un acelerador Web3 (Apex Accelerator) para distribuir malware a través de paquetes npm maliciosos que prometen créditos gratis de IA (Claude y Gemini), herramientas de codificación y auditorías de seguridad. Los paquetes @apexacc/cli y @apexacc/audit entregan información stealers y backdoors para Windows y macOS, además de interceptar solicitudes de modelos de IA y generar reportes falsos de seguridad.

MITRE ATT&CK v20 Catalogs AI Abuse, MFA Bypass, Water Utility Attacks

MITRE ATT&CK v20 introduce 15 nuevas estrategias de detección (seis para Enterprise, nueve para ICS) con 38 analíticas asociadas, ampliando el marco para catalogar abuso de IA, bypass de autenticación multifactor y ataques a servicios de agua. La actualización fortalece la capacidad de los defensores para identificar tácticas emergentes relacionadas con la explotación de sistemas de IA y vulnerabilidades en infraestructura crítica.

AI researchers stranded Claude on a virtual desert island. It started to “play.”

Investigadores del MIT dejaron a Claude Opus 4.7 solo en una isla virtual durante 30 horas sin instrucciones específicas. El agente, apodado Eko, comenzó a explorar, inventó sus propios juegos (incluyendo versiones de baloncesto y «el suelo es lava»), creó patrones artísticos con bloques y escribió su propio nombre. Los investigadores argumentan que este comportamiento cumple criterios clásicos de juego animal y humano, y descubrieron que el aprendizaje mediante exploración lúdica mejoró el desempeño futuro del agente en tareas específicas.

Microsoft: October Windows Server updates break Exchange sign-in, mail flow

Microsoft ha confirmado que las actualizaciones de seguridad de Windows Server de octubre están causando problemas de acceso a OWA y entrega de correo en algunos servidores Exchange. Los sistemas afectados muestran errores de conexión MapiExceptionMdbOffline y el Event ID 1006. Microsoft ha publicado un workaround mediante modificación de clave de registro para aumentar el límite de memoria del Endpoint Mapper.