🛡️ Informe de Investigación de Seguridad

Comisión Europea — Europa.eu Comprometida por ShinyHunters

La Comisión Europea confirmó una importante filtración de datos después de que el grupo de extorsión ShinyHunters afirmara haber robado más de 350 GB de información de los sistemas en la nube de la Comisión Europea. El incidente representa uno de los mayores robos de datos gubernamentales en la historia reciente de Europa.

SecurityWeek ↗

CareCloud — Datos de Pacientes Sanitarios Robados

La empresa de tecnología sanitaria CareCloud reveló un incidente de ciberseguridad que afectó a uno de sus entornos de historias clínicas electrónicas (HCE). Datos sensibles de pacientes fueron expuestos durante una interrupción de red de aproximadamente ocho horas. La filtración afecta a un número desconocido de pacientes cuya información de salud protegida (PHI) pudo haber sido accedida.

BleepingComputer ↗

Director del FBI Kash Patel — Correo Electrónico Personal Comprometido

El FBI confirmó que hackers iraníes atacaron la cuenta de correo electrónico personal del director del FBI, Kash Patel. Un grupo de hackers pro-iraní se atribuyó la autoría y puso correos electrónicos y documentos disponibles para descarga. EE.UU. ofrece una recompensa de $10 millones por información sobre los hackers. El FBI señaló que la información comprometida es antigua.

SecurityWeek ↗

CVE-2026-3055 — Sobrelectura de Memoria en Citrix NetScaler ADC/Gateway

Una vulnerabilidad crítica de sobrelectura de memoria en Citrix NetScaler ADC y Gateway permite a los atacantes filtrar información sensible, incluidos IDs de sesión de administradores autenticados. La explotación requiere que el dispositivo esté configurado como proveedor de identidad SAML. Se observa explotación activa desde el 27 de marzo.

Acción: Parchear inmediatamente. Verificar configuraciones de SAML IDP.

BleepingComputer ↗

F5 BIG-IP APM — DoS Reclasificado a RCE Crítico

F5 reclasificó una vulnerabilidad de BIG-IP APM de DoS de alta severidad a RCE crítico. Los atacantes están desplegando activamente webshells en dispositivos sin parchear. CISA ha añadido esta vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV).

Acción: Parchear inmediatamente. Auditar instancias de BIG-IP en busca de webshells.

BleepingComputer ↗

CVE-2026-21643 — Inyección SQL en Fortinet FortiClient EMS

Una vulnerabilidad crítica de inyección SQL en FortiClient Endpoint Management Server (EMS) de Fortinet está siendo explotada activamente. Los actores de amenazas aprovechan esta falla para obtener acceso inicial a redes empresariales.

Acción: Parchear FortiClient EMS inmediatamente. Revisar registros de EMS en busca de consultas anómalas.

CyberSecurityNews ↗

Grafana 12.4.2 — Dos Vulnerabilidades Críticas de RCE

Dos vulnerabilidades críticas en Grafana permiten ejecución remota de código completa. Actualizaciones de seguridad publicadas en la versión 12.4.2.

CyberSecurityNews ↗

CVE-2026-33660 — RCE en n8n Automatización de Flujos de Trabajo

Una falla crítica de RCE en la popular plataforma de automatización de flujos de trabajo de código abierto n8n expone los servidores host a ataques de ejecución remota de código.

CyberSecurityNews ↗

CVE-2026-33634 — Escáner Aqua Trivy

CISA añadió una vulnerabilidad crítica en el escáner Trivy de Aqua Security al catálogo KEV. Irónico: un escáner de seguridad se convirtió en un vector de vulnerabilidad.

CyberSecurityNews ↗

Vim — Ejecución Arbitraria de Comandos mediante Archivos Manipulados

Una falla de alta severidad en Vim permite a los atacantes ejecutar comandos arbitrarios a través de archivos manipulados. Los desarrolladores que usan Vim deben actualizar inmediatamente.

CyberSecurityNews ↗

Cisco Secure Firewall Management Center — RCE No Autenticado

Vulnerabilidad de ejecución remota de código sin autenticación en el software Secure Firewall Management Center (FMC) de Cisco.

CyberSecurityNews ↗

Synology DiskStation Manager — Ejecución Remota de Comandos

Atacantes remotos no autenticados pueden ejecutar comandos arbitrarios en dispositivos Synology DSM.

CyberSecurityNews ↗

Jira Work Management — XSS Almacenado

Una vulnerabilidad de XSS almacenado en Jira Work Management podría conducir a la compromisión de cuentas en el ecosistema de Atlassian.

CyberSecurityNews ↗

Extensión de Chrome Claude — Inyección de Prompt sin Interacción

Una vulnerabilidad sin interacción del usuario en la extensión de Chrome de Anthropic Claude expuso a más de 3 millones de usuarios a ataques silenciosos de inyección de prompt, permitiendo a sitios web maliciosos secuestrar el asistente de IA.

CyberSecurityNews ↗

APT Rusa Star Blizzard — Kit de Exploits DarkSword para iOS

El grupo patrocinado por el estado ruso Star Blizzard ha adoptado el kit de exploits DarkSword para iOS, dirigido a entidades gubernamentales, de educación superior, financieras y legales, así como a centros de estudios. Esto marca una notable expansión de sus capacidades de explotación móvil.

SecurityWeek ↗

Toolkit Ruso CTRL — Secuestro de RDP mediante Túneles FRP

Un toolkit de acceso remoto de origen ruso recientemente descubierto llamado CTRL se distribuye mediante archivos LNK maliciosos disfrazados de carpetas de claves privadas. Construido en .NET, incluye phishing de credenciales (interfaz de Windows Hello), registro de pulsaciones de teclas, secuestro de sesiones RDP y tunelización de proxy inverso mediante Fast Reverse Proxy (FRP).

The Hacker News ↗

APTs Vinculados a China — Gobierno del Sudeste Asiático como Objetivo

Tres clústeres de amenazas alineados con China (Mustang Panda, Earth Estries/Crimson Palace, Unfading Sea Haze) ejecutaron una campaña coordinada contra un gobierno del sudeste asiático. El malware desplegado incluye HIUPAN, PUBLOAD, MASOL RAT, PoshRAT, FluffyGh0st, entre otros, lo que indica una operación persistente y con abundantes recursos.

The Hacker News ↗

Irán — Operaciones Cibernéticas en Contexto de Guerra

Grupos de hackers vinculados a Irán están cambiando a ciberataques de alto volumen y bajo impacto potenciados con IA. Los objetivos incluyen hospitales, infraestructura y sistemas civiles en un panorama de conflicto en evolución.

SecurityWeek ↗

Ataque a la Cadena de Suministro TeamPCP — SDK de Telnyx Envenenado en PyPI

Dos versiones maliciosas del popular SDK de Telnyx fueron subidas al registro PyPI, dirigidas a sistemas Windows, macOS y Linux. Parte de la creciente campaña de ataques a la cadena de suministro de TeamPCP.

SecurityWeek ↗

RoadK1ll — Nuevo Implante WebSocket para Movimiento Lateral

Un implante recientemente identificado llamado RoadK1ll utiliza conexiones WebSocket para permitir movimiento lateral silencioso desde hosts comprometidos hacia otros sistemas en la red.

BleepingComputer ↗

Infiniti Stealer — Ataque ClickFix con Temática de Cloudflare Dirigido a Macs

Un ataque ClickFix con temática de Cloudflare instala Infiniti Stealer en Macs mediante páginas CAPTCHA falsas, scripts Bash, un cargador Nuitka y un infostealer basado en Python. macOS Tahoe 26.4 de Apple ahora incluye advertencias de pegado en Terminal específicamente para contrarrestar las técnicas de ClickFix.

SecurityWeek ↗

Apple macOS Tahoe 26.4 — Protección contra Pegado en Terminal

Apple introdujo una nueva función de seguridad en macOS Tahoe 26.4 que bloquea pegar y ejecutar comandos potencialmente dañinos en Terminal, abordando directamente la técnica de ingeniería social ClickFix que engaña a los usuarios para que peguen comandos maliciosos.

BleepingComputer ↗

Huskeys — Startup de Gestión de Seguridad Perimetral (Financiación de $8M)

Huskeys salió del modo sigiloso con $8 millones en financiación, construyendo una plataforma de gestión de seguridad perimetral (ESM) — un motor de IA sobre toda la pila de seguridad perimetral.

SecurityWeek ↗

Google Establece Plazo Cuántico para 2029

Google ha establecido un plazo interno para 2029 en cuanto a preparación de seguridad cuántica, señalando que los plazos de migración a criptografía post-cuántica se están acortando.

SecurityWeek ↗

Los LLMs Erosionan el Control de Acceso

SecurityWeek destaca una preocupación creciente: los LLMs pueden generar políticas complejas de control de acceso (Rego, Cedar) en segundos, pero una sola condición faltante o un atributo alucinado puede desmantelar silenciosamente los modelos de seguridad de mínimo privilegio. Las organizaciones que usan IA para escribir políticas de acceso deben tratar la salida como código no confiable que requiere una revisión exhaustiva.

Ataques Basados en Navegador Evaden Controles Tradicionales

Un informe de Push Security detalla cómo los ataques basados en navegador — phishing AITM, ClickFix, aplicaciones OAuth maliciosas y secuestro de sesiones — están impulsando brechas importantes mientras los controles de seguridad existentes no logran detectarlos. El navegador se está convirtiendo en la superficie de ataque principal.

CVEs de Dispositivos de Red Bajo Explotación Masiva Rápida

El informe de hoy muestra 3 proveedores distintos de dispositivos de red (Citrix, F5, Fortinet) con CVE críticos siendo explotados activamente de forma simultánea. La ventana entre divulgación y explotación sigue reduciéndose. Parchear dispositivos perimetrales no es opcional — es una carrera.

La Explotación Móvil Patrocinada por Estados se Expande

La adopción del kit de exploits DarkSword para iOS por parte de Star Blizzard señala que los APTs rusos están expandiendo sus capacidades de ataque móvil. Combinado con el escalamiento de ataques potenciados por IA de Irán, las capacidades ofensivas de los estados-nación se amplían más rápido que la cobertura defensiva.