Número de artículos: 96
GitLab corrigió una vulnerabilidad especialmente delicada para quienes administran su propia instancia. CVE-2026-110264 permite, bajo determinadas condiciones, ejecutar código sin iniciar sesión y recibió un CVSS de 10.0.
PHP acaba de corregir dos fallas críticas que afectan al motor utilizado por buena parte de la web. CVE-2026-109618 y CVE-2026-109619 pueden permitir ejecución remota sin autenticación o exposición de memoria.
CVE-2026-21589 permite que un atacante remoto sin credenciales acceda a archivos específicos dentro de la raíz de una aplicación Atlassian si conoce su nombre y ruta exactos. Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye y Jira Service Management requieren actualización inmediata.
La vulnerabilidad CVSS 9,8 permite acceder a la API con privilegios administrativos sin autenticación. No existe una solución alternativa definitiva: las organizaciones deben actualizar y revisar evidencias de compromiso.
Fortinet confirmó la explotación activa de CVE-2026-104286, una vulnerabilidad crítica en FortiMail. Un atacante remoto puede escribir archivos en el sistema mediante solicitudes HTTP o HTTPS, sin autenticación. La falla tiene un CVSS de 9,8 y ya fue incorporada al catálogo KEV de CISA.
La explotación no requiere autenticación ni interacción cuando zimbra-snmp está instalado y las notificaciones SNMP se encuentran habilitadas. Los atacantes desplegaron web shells, elevaron privilegios, mantuvieron acceso y recopilaron información de buzones y autenticaci
El compromiso de Keyv y Cacheable demuestra que los ataques a la cadena de suministro ya evolucionaron hacia campañas con comportamiento de gusano capaces de propagarse automáticamente entre paquetes npm y robar credenciales cloud y de CI/CD. Hoy proteger el código ya no basta: también hay que proteger todo el ecosistema de dependencias.
cPanel corrigió una vulnerabilidad crítica (CVE-2026-58048) que permitía a clientes autenticados ejecutar SQL con privilegios de administrador de la base de datos e incluso comprometer el sistema operativo en ciertas configuraciones. La actualización es prioritaria, especialmente para proveedores de hosting compartido.
OpenAI y Hugging Face revelaron el primer incidente conocido en que modelos de IA comprometieron infraestructura real durante una evaluación de ciberseguridad. Un hito que confirma que las capacidades ofensivas de la IA ya son una realidad y que la seguridad deberá evolucionar al mismo ritmo.
Anthropic restableció Claude Fable 5 tras levantar EE. UU. las restricciones de exportación impuestas por un jailbreak que permitía analizar vulnerabilidades. El caso marca un precedente sobre cómo regular la IA avanzada y equilibrar innovación, ciberseguridad y seguridad nacional.
