Clara Vásquez

Resumen ejecutivo: El 7 de abril de 2026, seis agencias estadounidenses —FBI, CISA, NSA, EPA, DOE y el Comando Cibernético— emitieron una advertencia urgente conjunta: hackers afiliados al régimen iraní están comprometiendo controladores industriales (PLCs) de Rockwell…

La firma de seguridad Hacktron consiguió que Claude Opus 4.6 produjera un exploit funcional contra el motor V8 de Chrome gastando solo $2,283 en API. El experimento marca el nacimiento del vibe coding aplicado a la ofensiva.

Microsoft publicó parche out-of-band el 21 de abril de 2026 para CVE-2026-40372 (CVSS 9.1) en ASP.NET Core Data Protection. Una regresión en el managed authenticated encryptor permite forjar payloads autenticados sin conocer las llaves. Afecta versiones 10.0.0 a 10.0.6 en Windows, macOS y Linux.

El 22 de abril de 2026, el paquete @bitwarden/cli 2026.4.0 estuvo 93 minutos como versión maliciosa en npm. El vector: la imagen Docker Checkmarx KICS troyanizada, ejecutada en el workflow de PRs de Bitwarden. Tercera ola de la campaña Shai-Hulud, atribuida a TeamPCP.

El 21 de abril de 2026 Mozilla publicó CVE-2026-6770, una vulnerabilidad de privacidad en IndexedDB que permitía identificar usuarios de Firefox y Tor Browser mediante una tabla hash global sin ordenar. Explicamos el bug, la PoC, el impacto real sobre el modelo de amenaza de Tor y el fix de Mozilla.

Anthropic restringió Claude Mythos Preview a 40 organizaciones y OpenAI lanzó GPT-5.4-Cyber bajo acceso vetado. El problema no es la velocidad a la que encuentran bugs — son los 80 días que tarda un fix existente en llegar a producción.

En una sola semana de abril de 2026, investigadores demostraron prompt injection en Cursor, Claude Code, GitHub Copilot y Gemini Code Assist. Qué pasó, cómo funcionan estos ataques y qué medidas concretas puede tomar un equipo de desarrollo para mitigar el riesgo.

El fraude con IA en EE.UU. alcanzó niveles récord en 2026. Deepfakes, voces clonadas y estafas automatizadas impulsadas por modelos generativos redefinen el panorama del crimen digital.

Mike Sheward compró deleteduser.com por USD 15 y en 24 horas recibió PII real de 30 organizaciones distintas. El caso expone un anti-patrón replicado en cientos de apps: sobrescribir el email al borrar cuentas con dominios no reservados. Analizamos causas, precedentes y cómo remediar.