vulnerabilidad - El Solitario

Programación

PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 cierran dos RCE críticos

PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas que permiten ejecución remota de código sin autenticación. El mayor riesgo recae en mod_php, donde ya existe un exploit demostrado. El aviso oficial insiste en que actualizar es la única solución completa.

Por Andrés Morales, hace 9 horas21 octubre, 2026

Vulnerabilidad de Telegram Desktop representada con un candado y líneas de código

Seguridad

Telegram Desktop 7.2.9 corrige CVE-2026-107181, robo de cuenta con un clic

Un fallo de inyección en el canal IPC de Telegram Desktop permitía leer archivos locales y robar la sesión de la víctima con un solo clic. Telegram lo corrigió en la versión 7.2.9 tras reportarse como CVE-2026-107181.

Por Clara Vásquez, hace 2 semanas10 octubre, 2026

Diagrama de la vulnerabilidad libheif que expuso cuentas de OpenAI en Discourse

Seguridad

Hacktron encadenó dos fallos y accedió a repos internos de OpenAI

Un equipo de investigadores encadenó una vulnerabilidad libheif en el foro de Discourse de OpenAI con un fallo de SSO para tomar cuentas de ChatGPT y Codex de empleados. En menos de 72 horas llegaron a abrir un pull request dentro del repositorio interno de la compañía.

Por Clara Vásquez, hace 1 mes

Diagrama de un workflow de GitHub Actions con la vulnerabilidad de Copilot Autofix en Snowflake

Inteligencia Artificial

Wiz Red Agent explota un bug de Copilot Autofix en un workflow de Snowflake

Un commit co-firmado por Copilot Autofix reemplazó el parseo seguro de un workflow de Snowflake por una interpolación vulnerable a inyección de comandos. Cinco días después, el Red Agent de Wiz, una herramienta de investigación autónoma con IA, encontró y explotó el fallo para robar un token de Jira interno.

Por Andrés Morales, hace 2 meses

Ilustración de código de WordPress auditado por agentes de IA en busca de una RCE

Seguridad

GPT-5.6 Sol Ultra halla una RCE en WordPress: brokers pagan $500.000

Un investigador de Searchlight Cyber gastó $25 en GPT-5.6 Sol Ultra para hallar una cadena de vulnerabilidades que permite ejecutar código remoto en WordPress sin autenticación previa. En el mercado de exploits, un hallazgo así se paga hasta $500.000.

Por Clara Vásquez, hace 3 meses

Seguridad

TP-Link Kasa EC71: RSA global y MD5 sin sal expuestos en CVE-2026-9770

Un investigador extrajo el firmware de una cámara Kasa Spot EC71 y halló una llave RSA compartida por toda la flota, contraseñas en MD5 sin sal y GPS expuesto sin autenticación. TP-Link corrigió los tres fallos en el firmware 2.4.1 tras seis meses de divulgación coordinada.

Por Clara Vásquez, hace 3 meses