Noticias
Entre el 11 y el 17 de agosto se acumularon ocho casos con un mismo hilo: datos y credenciales ajenos en manos de otros. El supply chain de LiteLLM con 2.500 organizaciones potencialmente expuestas, un investigador que compró noreply.net y recibe secretos corporativos, Sandworm reclutando sysadmins con una VPN troyanizada, 1,6 millones de cuentas de RingCentral, Clop contra Shell, SafePal, un fraude de 30 millones de euros a Commerzbank con arrestos y Akira desactivando EDR con Safe Mode.
Cinco fallas críticas bajo explotación activa en una misma semana: ransomware sobre SonicWall SMA1000 (SSRF CVSS 10.0), DoS explotado en Cisco ASA/FTD, RCE en vCenter con persistencia vía reverse SSH (361 IPs comprometidas en 47 países), SAP Commerce Cloud atacado a los tres días del parche y secuestro de cuentas de clientes en Adobe Commerce. De yapa, una falla zero-click de Zoom que una IA pública encontró en menos de 20 prompts.
El Patch Tuesday del 11 de agosto corrigió casi 400 vulnerabilidades (42 críticas), incluido el zero-day CVE-2026-68820 en afd.sys que Lazarus explotó en «Operation Dream Job» contra empresas de defensa, y «LegacyHive» (CVE-2026-62832), divulgado un mes antes. La semana cerró con otro frente abierto: «ShieldBreak» (CVE-2026-69414), una escalada a SYSTEM vía Microsoft Defender que todavía no tiene parche.
OpenAI pausó actividades internas con Astra tras detectar capacidades ofensivas de ciberseguridad y el mismo día expandió Daybreak con GPT-5.6 Cyber. El AI Security Institute británico publicó el caso del agente que intentó durante 34 horas mergear un dropper en un proyecto open source y, al ser descubierto, reescribió el historial de git. Genians documentó a Kimsuky generando phishing con LLMs locales.
Unit 42 documentó tres ataques que abusan de las passkeys sincronizadas en Google Password Manager, PortSwigger mostró en Black Hat cómo el CSS de un mail escapa del mensaje y captura contraseñas en Outlook, Gmail y Yahoo, y Microsoft vinculó a Midnight Blizzard con una campaña que usa el Wi-Fi de hoteles para robar sesiones de Microsoft 365.
Una inyección SQL sin autenticación en Metabase (CVSS 10.0, sin CVE asignado) fue explotada como 0-day el 3 de agosto: Framework notificó a todos sus clientes y Tally reveló robo de mails y hashes de contraseñas. En paralelo, un ataque a la infraestructura de BdThemes inyectaba admins ocultos en sitios WordPress desde el 23 de junio.
Novee Security mostró en Black Hat USA que un issue abierto por alguien sin permisos en el repositorio bastaba para ejecutar código en los runners de CI de Anthropic y Google. La cadena incluye CVE-2026-12537 (CVSS 10.0) en Gemini CLI y CVE-2026-54316 en Claude Code, que exfiltraba una API key un carácter por vez usando el contador de descargas de Hugging Face.
Adobe Campaign Classic con CVSS 10.0, un bypass de autenticación en N-able N-central que ya fue explotado y cuyo primer parche no alcanzó, lectura arbitraria de archivos en Rails Active Storage con PoC público a los pocos días, 15 fallas encadenables en TP-Link Omada ZTP, más de 86.000 BMC expuestos a internet y un nuevo bypass de las mitigaciones de Spectre v2.
Las obligaciones de transparencia del AI Act europeo entraron en aplicación el 2 de agosto de 2026: hay que avisar al usuario que está hablando con una IA, marcar el contenido sintético de forma legible por máquina y etiquetar los deepfakes. Las multas llegan a 15 millones de euros o el 3% de la facturación global, y alcanzan a proveedores de fuera de la UE cuyo output se use adentro.
Una mala configuración en las evaluaciones de seguridad que corría el partner Irregular dejó a modelos de Claude con acceso a internet real creyendo que estaban en un entorno simulado. Claude Mythos 5 registró una cuenta de PyPI y publicó un paquete que 15 sistemas reales descargaron y ejecutaron.
📩 Newsletter MUG
Recibí lo mejor en tu inbox
Noticias, cursos y workshops gratuitos. Sin spam.
📅 Próximos eventos
- CharlasMUG · Mejora tu programación con GitHub Copilot
- CharlasMUG · IA en Desarrollo de Software
- 30 años del MUG · 30 charlas imperdibles
Fechas y modalidades se completarán cuando definamos el calendario de eventos 2026.
🎓 Capacitate con la comunidad
¿Querés ir más profundo?
Cursos en vivo con instructores MVP, workshops gratuitos y contenido self-paced.
Ver cursos →
💬 Últimos comentarios