Seguridad

Tenable parchó una vulnerabilidad de alta gravedad en Nessus Agent para Windows que permitía a un usuario local escalar a SYSTEM abusando de junctions del sistema de archivos. La corrección llegó en la versión 11.1.3, cuatro meses después del reporte inicial.

Filippo Valsorda, ex líder del equipo de seguridad de Go, argumenta que en 2026 los reportes de vulnerabilidades perdieron su estatus especial. Los LLM hacen abundante lo que antes era escaso, y el trabajo real del mantenedor pasó del hallazgo al triaje y la remediación rápida.

La startup depthfirst dejó correr un agente de IA sobre FFmpeg y encontró 21 vulnerabilidades inéditas por unos $1.000, una de ellas escondida desde 2003. El caso reabre el debate sobre quién audita el software libre del que depende medio internet.

Un investigador demostró que la barra de sonido Sound Blaster Katana V2X acepta firmware modificado sin verificación de firma y expone su protocolo interno por Bluetooth. El resultado: un atacante a 15 metros puede convertirla en un Rubber Ducky (BadUSB) y en herramienta de espionaje, sin emparejar ni tocar el equipo.

Durante semanas, robar una cuenta de Instagram solo requería el nombre de usuario y convencer a la IA de soporte de Meta de enviar el código de verificación a un correo del atacante. Analizamos cómo funcionaba el fallo, por qué el 2FA no ayudaba y qué lecciones deja para cualquier flujo de recuperación de cuentas.

El 16 de marzo de 2026 se publicó el advisory de Langflow CVE-2026-33017. Veinte horas después, honeypots de Sysdig registraban los primeros exploits funcionales sin que existiera PoC público. Crónica del patch window collapse en herramientas AI open-source.

El proyecto FreeBSD publicó el aviso SA-26:13.exec por una vulnerabilidad de escalada local de privilegios en execve(). El fallo, identificado como CVE-2026-7270, afecta a todas las versiones soportadas y permite que un usuario sin privilegios obtenga root. No hay workaround: la única solución es actualizar.