Vulnerabilidades
Fallo CVSS 10 en LXD y MicroCloud permite suplantar clientes de confianza
CVE-2026-112816 permite entrar en LXD y MicroCloud como cliente de confianza con solo un certificado público. Ya hay snaps corregidos.
Vulnerabilidades
Fallos explotados activamente, días cero, parches e investigación de exploits.
Vulnerabilidades
Extensión troyanizada de Claude Code en el marketplace de Cursor
Extensión troyanizada de Claude Code en el marketplace de Cursor dejó una puerta trasera SSH en hasta 5.000 equipos. Anthropic niega haber sido vulnerada.
Vulnerabilidades
GitLab: RCE CVSS 10 en KEV de CISA tras el ataque a Alpine
CISA añade a KEV un RCE con CVSS 10 en GitLab escondido en el motor de regex de Ruby; el caso de Alpine muestra que actualizar GitLab quizá no basta.
Vulnerabilidades
Zero-day de PeopleSoft de ShinyHunters: tres fallos encadenados
Tres fallos encadenados bajo un mismo CVE, explotados cinco meses en PeopleSoft. ¿Basta un parche con un solo identificador para estar cubierto?
Vulnerabilidades
Apple lleva a iPhones antiguos el parche de un fallo explotado
CVE-2026-86950, un RCE explotado en CoreGraphics, ya tiene correcciones para los iPhone XS y los iPad antiguos, y Apple publicó además 304 parches.
Vulnerabilidades
RCE en el decodificador Brotli: Node.js, Bun, Python y Envoy
CVE-2026-111497 es un único fallo en C replicado en cada runtime que incluye el decodificador Brotli de Google. Qué está confirmado y cómo parchearlo.
Vulnerabilidades
CISA alerta de ataques activos a Arista VeloCloud Orchestrator
CISA confirma explotación activa de una inyección SQL en VeloCloud Orchestrator on-premises; las agencias federales tienen plazo hasta el 26 de octubre para parchearla.
Vulnerabilidades
Dos fallos de PHP sin autenticación: 70% de la web contrarreloj
Ya circulan exploits funcionales contra dos fallos RCE sin autenticación en PHP. Calculamos el coste de parchear, el WAF y desconectar.
Vulnerabilidades
Exploit encadena un bug de 37 años y da root en OpenBSD 7.9
Calif encadenó un overflow de 37 años y una escritura OOB para obtener root en OpenBSD 7.9 pese a KARL, SMAP y SMEP. El PoC ya es público.
Vulnerabilidades
BeyondTrust Remote Support: zero-day explotado por espías chinos
CVE-2026-102764 dio a ARMORY CASTLE root en equipos BeyondTrust autoalojados, volcó credenciales y persistió tras reinicios. Plazo de CISA: mañana.