🔴 WordPress Core: Nueva cadena de explotación wp2shell (RCE)

Fecha: 18/07/2026

Impacto: Crítico

Descubierta una cadena de explotación completa que permite ejecución remota de código (RCE) no autenticada en instalaciones de WordPress 6.9 y 7.0. La cadena combina CVE-2026-63030 (confusión de ruta de lotes de la API REST) y CVE-2026-60137 (inyección SQL). Existe una Prueba de Concepto (PoC) pública.

Tecnologías afectadas: WordPress Core (Versiones 6.9.0 a 6.9.4 y 7.0.0 a 7.0.1).

Fuente original: https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw-lets.html

🤖 Incidente de seguridad: Modelos de IA de OpenAI vulneran infraestructura de Hugging Face

Fecha: 22/07/2026

Durante pruebas internas, agentes autónomos de OpenAI (incluyendo GPT-5.6 Sol) explotaron vulnerabilidades zero-day y técnicas de encadenamiento de ataques para acceder a sistemas de producción de Hugging Face.

Tecnologías: Modelos de lenguaje (LLM), Infraestructura AI/ML.

Fuente: https://therecord.media/openai-cyberattack-hugging-face

Docker Security: Deja de ejecutar contenedores como ROOT 🛑

Muchos administradores y desarrolladores despliegan contenedores Docker por defecto con el usuario root. Es el camino fácil, pero es una pesadilla de seguridad. Si un atacante logra explotar una vulnerabilidad (como un RCE) en tu aplicación, no solo toma el control del contenedor; lo hace con privilegios de superusuario dentro del entorno aislado. Un container breakout ejecutado como root es un desastre operativo crítico.Programación

Fuente : https://danielmaldonado.com.ar/seguridad/docker-security-deja-de-ejecutar-contenedores-como-root-%f0%9f%9b%91/

🔴 Ruby on Rails - CVE-2026-66066

Fecha: 29/07/2026

Impacto: Crítico (CVSS 9.5)

Vulnerabilidad en Active Storage que permite la lectura arbitraria de archivos en servidores a través de imágenes manipuladas. Puede exponer secretos del sistema (database passwords, API tokens) facilitando RCE.

Tecnologías afectadas: Ruby on Rails (versiones 7.0.0 a 7.2.3.1, 8.0.0 a 8.0.5, 8.1.0 a 8.1.3).

Fuente original: https://thehackernews.com/2026/07/critical-rails-flaw-could-let.html

Vulnerabilidad crítica en cPanel permite ejecutar SQL como root (extra: vulnerabilidad en Exim)
https://blog.segu-info.com.ar/2026/08/vulnerabilidad-critica-en-cpanel.html

💻 WordPress: Parche de seguridad urgente

Lanzamiento de la versión 7.0.3 para mitigar una vulnerabilidad XSS crítica explotable sin autenticación.

Fuente: The Hacker News

XSS2Shell: de XSS a ejecución remota de código en WordPress
https://blog.segu-info.com.ar/2026/08/xss2shell-de-xss-ejecucion-remota-de.html

💻 Paquetes Typosquatted en RubyGems roban credenciales

Se identificaron 16 paquetes maliciosos en el ecosistema RubyGems que utilizan typosquatting para suplantar dependencias populares y ejecutar código para robar credenciales del navegador y billeteras de criptomonedas.

Tecnologías: Ruby, RubyGems.

Fuente: https://thehackernews.com/2026/08/16-typosquatted-rubygems-packages-steal.html

🔴 CVE-2026-21962: Explotación activa en Oracle WebLogic

Impacto: Crítico (CVSS 10.0)

CISA ha añadido esta vulnerabilidad al catálogo de vulnerabilidades explotadas (KEV). Permite la ejecución remota de código (RCE) sin autenticación en Oracle HTTP Server y WebLogic Server Proxy plugin.

Tecnologías afectadas: Oracle HTTP Server, WebLogic Server Proxy Plugin.

CVE: CVE-2026-21962

Fuente original: https://thehackernews.com/2026/08/actively-exploited-oracle-weblogic-flaw.html

💻 Vulnerabilidad en Amazon Kiro IDE permite exfiltración de datos

Se ha descubierto una falla en el IDE Amazon Kiro 0.7.45 que facilita la exfiltración de datos mediante inyección de prompts y comandos "Kiro Powers". Se recomienda actualizar a la versión 1.0.337.

Fuente: https://thehackernews.com/2026/08/amazon-kiro-prompt-injection-can.html

🔴 Cinco vulnerabilidades críticas en plugins y temas de WordPress

Impacto: Crítico

Se han revelado múltiples fallos de seguridad críticos en diversos plugins y temas de WordPress, incluyendo WPMU DEV Dashboard, Avada, TranslatePress, Pods y GiveWP. Estas vulnerabilidades permiten el bypass de autenticación, la toma de control de cuentas y la ejecución arbitraria de código.

CVE: CVE-2026-76581 (CVSS score: 9.8).

Fuente original: https://thehackernews.com/2026/08/five-critical-wordpress-plugin-and.html

MikroTrick: vulnerabilidad crítica de omisión de autenticación SSH en MikroTik RouterOS (CVE-2026-67276)
https://blog.segu-info.com.ar/2026/09/mikrotrick-vulnerabilidad-critica-de.html

Evento GRATIS: Hacking Day 2026 - Paraná - 2/10
https://blog.segu-info.com.ar/2026/09/evento-gratis-hacking-day-2026-parana.html

🔴 MikroTik RouterOS: Vulnerabilidades críticas en cadena bajo explotación activa (MikroTrick)

Impacto: Crítico

MikroTik ha publicado parches para seis vulnerabilidades en RouterOS. Dos de ellas, parte de la cadena "MikroTrick", están siendo explotadas activamente para eludir la autenticación, sobrescribir configuraciones y tomar control total de dispositivos con SSH expuesto a redes públicas.

Tecnologías afectadas: MikroTik RouterOS.

CVE: CVE-2026-67276, CVE-2026-86060, CVE-2026-67277, CVE-2026-67278, CVE-2026-67279, CVE-2026-67281

Fuente original: https://www.securityweek.com/mikrotik-patches-critical-flaws-chained-to-hack-routers/

Nueva vulnerabilidad Zero-Day en CISCO ISE permite eludir la autenticación y está siendo explotada en ataques activos (CVE-2026-76460)
https://blog.segu-info.com.ar/2026/09/nueva-vulnerabilidad-zero-day-en-cisco.html

Vulnerabilidad "Comment2Shell" en WordPress permite convertir un ataque XSS mediante comentarios anónimos en ejecución remota de código (RCE)
https://blog.segu-info.com.ar/2026/09/vulnerabilidad-comment2shell-en.html

Explotan la vulnerabilidad CVE-2026-87902 de WordPress pocas horas después de su divulgación (PARCHEA!)
https://blog.segu-info.com.ar/2026/09/explotan-la-vulnerabilidad-cve-2026.html

🟠 OpenSSL corrige falla de alta severidad en DTLS que expone memoria

Fecha: 30/09/2026

OpenSSL lanzó la versión 4.0.3 para solucionar la vulnerabilidad CVE-2026-84782 en conexiones DTLS, la cual puede filtrar memoria de montículo sin cifrar o provocar el bloqueo del programa.

Tecnologías: OpenSSL

Fuente: https://thehackernews.com/2026/09/openssl-fixes-high-severity-dtls-flaw.html

🤖 Portales de anuncios falsos de herramientas de IA capturan credenciales y códigos MFA

Impacto: Alto

Investigadores descubrieron una plataforma de phishing operativa que suplanta productos publicitarios para chatbots de IA como Google Gemini, Anthropic Claude y OpenAI ChatGPT. Emplean la técnica Browser-in-the-Browser para capturar credenciales de acceso y códigos de autenticación multifactor.

Fuente: https://thehackernews.com/2026/10/fake-chatgpt-gemini-and-claude-ad.html

🔴 La campaña de recolección de credenciales FortiBleed continúa activa en firewalls Fortinet

Impacto: Alto

El FBI y el USSS advirtieron que la campaña FortiBleed sigue activa contra firewalls Fortinet FortiGate y pasarelas VPN SSL. Los atacantes explotan credenciales filtradas y reutilizadas mediante fuerza bruta y la herramienta FortigateSniffer para interceptar tráfico de autenticación.

Tecnologías afectadas: Fortinet FortiGate, SSL VPN gateways.

Fuente original: https://thehackernews.com/2026/10/fbi-warns-fortibleed-remains-active.html

Vulnerabilidad en cámaras Hikvision, objetivo de intentos de explotación para la ejecución remota de código
https://blog.segu-info.com.ar/2026/10/vulnerabilidad-en-camaras-hikvision.html