Ciberseguridad

CVE-2026-86950 permite ejecución de código al procesar un archivo malicioso. Apple solo parcheó los trenes viejos (iOS 26.7.1, Sequoia 15.8.1) y CISA dio plazo al 2 de octubre con triage forense obligatorio.

CVE-2026-88771 y CVE-2026-88772, ambas CVSS 9.5, se explotaron antes del parche. La primera afecta TODOS los despliegues, incluso en configuracion default; las builds que parcharon en agosto siguen vulnerables. Sin workaround y sin IOCs.

El atacante no rompio la criptografia: comprometio un backend de la infraestructura de wallets, falsifico datos de transaccion y pidio firmas legitimas. Bitget senala a Corea del Norte.

Cisco publicó 77 CVE en un miércoles: 41 en ISE, uno con CVSS 10.0 sin autenticación, sin workaround y ya explotado. CISA dio tres días para parchear. Dos días después, Check Point confirmó un overflow preauth con root en su management server.

Las tres CVE entraron al catálogo KEV el 18 de septiembre con vencimiento el 21, y Red Hat confirmó explotación activa. La misma semana se publicaron exploits funcionales para otras cuatro escaladas a root local.

CVE-2026-76461 (CVSS 9.8) se explota ya en el mundo real: un mensaje con SQL embebido en el parser de AsyncOS entrega ejecucion de comandos como root. CISA dio a las agencias federales hasta el 17 de septiembre.

Microsoft rastrea desde mayo intrusiones donde el pretexto es «actualiza tu passkey». Nadie inscribe un passkey: se roban tokens de sesión con AiTM y device code. ShinyHunters y Helix detrás.

GreyNoise y Blackpoint documentan la primera campaña masiva orquestada con agentes autónomos: 440 instancias de PaperCut caídas, 11 organizaciones en 26 segundos y una secundaria que pasó de acceso inicial a domain admin en siete minutos.

CVE-2026-86218 permite ejecutar código sin autenticación en el servidor RMM. Afecta incluso a quienes aplicaron el Hotfix 3 un día antes, y hay ~1,500 consolas expuestas en internet.

Tres IPs distintas replicando el exploit contra CVE-2026-19490 el 3 de septiembre, alerta del centro nacional belga y 22,000 appliances expuestos. El parche lleva dos semanas disponible.

El PSIRT del fabricante confirmó explotación activa: un SSRF preauth con CVSS 10.0 en la interfaz WorkPlace se encadena con una inyección de comandos en la consola de gestión. Shadowserver ve más de 400 equipos expuestos y aún no hay IOCs públicos.

Microsoft documenta una variante de ClickFix que lleva a la victima a Windows Terminal para lograr que corran scripts multilinea. El final no es un infostealer: es un tunel reverso con acceso a toda la red interna.

El fabricante confirma incidentes reales en clientes, admite que afecta a TODAS las versiones de NG y MF, y saca un parche de emergencia sin publicar el CVE ni el detalle del bug.

CVE-2026-73570 permite RCE sin autenticación en Zimbra Collaboration Suite. Shadowserver contó 274 instancias ya comprometidas y CISA dio tres días de plazo a las agencias federales.

NSA, CISA, FBI, DOE y EPA firmaron el advisory AA26-231A: actores escanean PLCs S7 expuestos y los atacan con scripts Python generados por modelos de lenguaje, disfrazados de herramientas de monitoreo OT. No buscan robar: se pre-posicionan.

Rapid7 publicó el PoC de CVE-2026-55040 (CVSS 9.1) encadenado a un RCE: cuatro errores en el pipeline de validación de tokens permiten entrar como administrador sin cuenta. El hallazgo salió de un agente de IA con 80,000 llamadas a herramientas — que también leyó secretos que no debía.

Apple parchó CVE-2026-65400 (CVSS 9.8) fuera de ciclo el 6 de agosto. Calif lo revirtió y tuvo exploit en cuatro horas; el NCSC neerlandés ya confirmó explotación activa con root y mineros de Monero. Y había un segundo pre-auth que Apple mató sin decirlo.

361 IPs víctima en 47 países. Un actor China-nexus explota CVE-2026-59310 en VMware vCenter, planta backdoors vía cron y despliega ransomware Babuk-derivado en ESXi como cortina de humo, no como objetivo.