Una nueva campaña maliciosa llamada DOUBLECUP explota la técnica ClickFix y PNG en caché para distribuir dos malware: CountLoader y DeviceManager RAT. Anatomía de un ataque en dos etapas.
2 h ago 24 3
Unit 42 (Palo Alto) documenta un caso concreto de agente LLM autónomo: una sola instrucción enviada por Telegram fue suficiente para escanear Internet, elegir un exploit público y atacar, sin nueva intervención humana.
Jul 31, 2026 18 3
Anthropic hizo correr Claude Mythos Preview como agente semi-autónomo sobre primitivas criptográficas: tamaño de clave efectivo de HAWK-256 cayó de 2^64 a 2^38, ataque AES de 7 vueltas acelerado ×200 a ×800, recuperación de clave LEA de 13 vueltas en menos de una hora. Dos CVE reales (OpenSSL, wolfSSL) de paso. Costo: ~100 000 $ de API por tema.
Jul 28, 2026 20 4
CVE-2026-54121, CVSS 8.8. Una cuenta de dominio sin ningún privilegio es suficiente para obtener un certificado AD CS firmado para la identidad de un Domain Controller, luego autenticarse mediante PKINIT y extraer krbtgt mediante DCSync. Parcheado el 14 de julio de 2026, exploit público desde hoy.
Jul 24, 2026 3 1
El fabricante suizo de trenes Stadler Rail ha sido objetivo del grupo Everest a través de una plataforma de intercambio de datos con un proveedor. Se niega a pagar los 10 millones de CHF (~12,3 millones de $) exigidos, y a esta hora, Everest no ha publicado nada en su sitio de filtraciones, lo cual es inusual.
Jul 23, 2026 5 2
Zenity Labs hizo público el 23 de julio de 2026 una vulnerabilidad en el constructor de agentes de ChatGPT que permitía instalar silenciosamente un agente malicioso que heredaba todos los conectores de la víctima (Outlook, Slack, Drive…). Fue corregida el 9 de junio, pero la clase de vulnerabilidad sigue siendo motivo de vigilancia.
Jul 23, 2026 7 2
Una vulnerabilidad en la extensión del navegador Adobe Acrobat permite a sitios maliciosos leer los datos de WhatsApp Web de la víctima: un clásico elusión de la Same-Origin Policy mediante una extensión privilegiada.
Jul 23, 2026 18 3
Un simple comentario oculto en una solicitud de extracción de Azure DevOps puede volver el agente de IA de revisión de código en su contra e intentar filtrar proyectos a los que el atacante no debería tener acceso. La vulnerabilidad reside en el servidor MCP oficial de Microsoft.
Jul 22, 2026 8 2
La cadena estadounidense de comida rápida notifica a sus clientes sobre un incidente relacionado con una campaña de *credential stuffing* —un recordatorio de que, en 2026, la reutilización de contraseñas sigue siendo uno de los vectores más rentables para los atacantes.
Jul 22, 2026 22 3
Redirigir la agenda como buzón clandestino: HollowGraph utiliza los eventos de Microsoft 365 —con fecha de hace veinticuatro años— para exfiltrar archivos y recibir sus órdenes sin levantar alertas.
Jul 21, 2026 8 2
Una operación de ingeniería social industrial transforma GitHub en vector de distribución: 7.600 repositorios falsos, un mismo cargador, una misma lección de higiene de la cadena de suministro.
Jul 21, 2026 7 2
Un dump de 11 Go que contiene los datos de más de 23 millones de usuarios de Paidwork fue puesto a la venta en un foro de piratería y luego añadido a Have I Been Pwned el 19 de julio de 2026. Cuentas bancarias, direcciones, fechas de nacimiento y bcrypt: el inventario es pesado. Paidwork aún no ha reaccionado públicamente.
Jul 20, 2026 20 4
