Ciberseguridad — edición del 2026-10-31

Lo más reciente Vulnerabilidad

A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private Chats

Investigadores de la firma de seguridad Parameter descubrieron una vulnerabilidad en un enlace compartido de ChatGPT que permitía a un atacante ejecutar código dentro de la sesión activa de la víctima y leer sus conversaciones privadas. El problema funcionaba a través de un chat público ordinario que podía distribuirse por correo, mensajes o redes sociales. Para que el ataque funcionara, la víctima simplemente abría el enlace, ya que en una versión posterior el sistema cargaba la vista previa de forma automática sin requerir la instalación de ningún programa ni inicios de sesión adicionales.

Fuente: The Hacker News Publicado: 31/10/2026 · 05:33 UTC

Leer la noticia completa →

Malware

Sitios JavaScript comprometidos atacan a los administradores de WordPress para implementar una puerta trasera PHP persistente.

Una campaña reciente pone en peligro a los administradores de WordPress que mantienen su panel de control abierto en el mismo navegador que emplean para navegar por internet. La investigación detalla un cargador de JavaScript que identifica cuando un administrador con sesión activa visita un sitio web afectado, aprovechando la confianza del navegador para introducir una puerta trasera de PHP de forma oculta. Los atacantes evitan la necesidad de conocer la contraseña del administrador gracias al uso de las propias sesiones activas en el navegador.

Fuente: Segu-Info Publicado: 31/10/2026 · 14:16 UTC

Ciberseguridad

Reddit to lock content behind logins to fight scrapers

La plataforma de debate Reddit planea transformar su modelo para convertirse progresivamente en un servicio que requiera inicio de sesión, limitando de este modo la visualización de publicaciones para los visitantes que no posean una cuenta de usuario. Esta modificación busca frenar la extracción no autorizada de información y brindar una mayor personalización a los miembros de la comunidad, un aspecto que se ha vuelto insostenible mantener abierto al público general tras dos décadas de funcionamiento. Como parte de este plan, se pondrá en marcha una prueba piloto en regiones seleccionadas fuera de Estados Unidos durante los próximos meses, obligando a los usuarios a iniciar sesión si desean ver el contenido completo.

Fuente: BleepingComputer Publicado: 31/10/2026 · 14:05 UTC

Ciberseguridad

From Beginner to Bug Hunter: Learning Cybersecurity in the AI Era.

Los programas de recompensas por errores de seguridad ofrecen una oportunidad para que quienes aprenden ciberseguridad pongan a prueba sus capacidades en software real y ayuden en su protección. No obstante, las noticias sobre restricciones o cierres de estos programas, impulsados en ocasiones por una gran cantidad de reportes generados mediante inteligencia artificial, han generado incertidumbre sobre este camino. Ante este panorama, el desafío principal para los principiantes radica en comprender el origen de los fallos y en desarrollar las competencias necesarias para producir hallazgos que otras personas puedan verificar y comprobar con evidencia sólida.

Fuente: BleepingComputer Publicado: 31/10/2026 · 13:10 UTC

Filtración de datos

Chainalysis discloses data breach from "offensive agentic techniques"

La empresa de inteligencia de cadenas de bloques Chainalysis reveló un incidente de seguridad después de que un actor externo lograra ingresar sin autorización a sus herramientas y sistemas internos. De acuerdo con la compañía, en el ataque se emplearon técnicas descritas como "agentes ofensivos". Tras la detección del problema, la organización procedió a corregir vulnerabilidades y a reforzar sus sistemas.

Fuente: BleepingComputer Publicado: 31/10/2026 · 12:50 UTC

Filtración de datos

Chainalysis Confirms Intrusion Into Internal Tools and Exposure of Customer Identity Data

La compañía estadounidense de análisis de cadenas de bloques Chainalysis informó que sufrió un ataque informático en el que un tercero logró ingresar de manera ilegal a sus sistemas y herramientas internas. A pesar de esto, la empresa aclaró que los atacantes no obtuvieron acceso no autorizado a los datos de sus investigaciones, las credenciales para autenticarse ni a los tokens de sesión. Como resultado de la vulneración, el actor externo pudo ver información de clientes que no es considerada sensible, la cual incluye nombres completos, correos electrónicos, identificadores de usuario y las etiquetas que indican el rol dentro de la organización de quienes usan la plataforma.

Fuente: The Hacker News Publicado: 31/10/2026 · 12:01 UTC

Malware

Spooky New Infostealer Malware Uses AI to ‘Autodox’ Victims

Investigadores de seguridad han descubierto un nuevo software malicioso de tipo "infostealer", llamado internamente "Volta-Autodoxer", que incorpora funciones de inteligencia artificial. Esta herramienta busca recopilar de forma masiva credenciales, datos de tarjetas, tokens y sesiones de diversas plataformas digitales, enfocándose especialmente en usuarios jóvenes con una fuerte presencia en internet. Una vez que el malware recopila la información inicial, realiza una exploración más profunda en cuentas centrales como el correo electrónico para obtener un perfil más amplio de la víctima.

Fuente: Wired - Security Publicado: 31/10/2026 · 12:00 UTC

Ciberseguridad

Syrian Hacker Gets Prison Time in US After Over a Decade on the Run

Un tribunal federal en Estados Unidos dictó una condena de prisión para un ciudadano sirio vinculado al grupo conocido como Ejército Electrónico Sirio. El hombre, conocido en la red con un seudónimo específico, logró eludir a la justicia norteamericana durante más de una década antes de recibir su sentencia. Las investigaciones de las autoridades judiciales señalaron que esta red de piratería informática operaba bajo las directrices de personas vinculadas al entorno de Bashar al-Assad, incluyendo al líder de la dirección general de inteligencia de Siria.

Fuente: SecurityWeek Publicado: 31/10/2026 · 11:00 UTC

Vulnerabilidad

Attackers Chain Three Ivanti Connect Secure Flaws to Gain Unauthenticated Root Access

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos incorporó dos fallos de seguridad de Ivanti Connect Secure a su catálogo de vulnerabilidades explotadas conocidas, debido a su explotación activa en entornos reales. Estas fallas se suman a una vulnerabilidad de omisión de autenticación previamente añadida a dicho registro. Los reportes indican que un grupo de actores maliciosos vinculados a estas acciones combinó tres fallos distintos para lograr la ejecución de código no autenticado con privilegios de root.

Fuente: The Hacker News Publicado: 31/10/2026 · 08:27 UTC

Phishing

Cómo formarse en Cybercrime: eCrime 2026 en Lisboa del 2 al 6 de Noviembre

Parece que las cosas van pasando casi sin querer, y el bueno de Peter Cassidy - viejo conocido de los años de Eleven Paths (love++) trabajando con la Anti-Phishing Working Group - me contactó por mi buzón de MyPublicInbox para invitarme a dar la Keynote el próximo 3 de Noviembre . " No puedo ", iba a contestarle, " estoy en Lisboa ", me disponía a decir, cuando descubrí que el eCrime 2026 del APWG es en Lisboa .

Fuente: El Lado del Mal Publicado: 31/10/2026 · 05:48 UTC

Filtración de datos

Northflank security breach leads to abuse of customers' AI API keys

La plataforma de alojamiento en la nube Northflank ha emitido una advertencia a sus usuarios para que cambien todas las credenciales y secretos guardados en su sistema, tras sufrir un fallo de seguridad que resultó en el uso no autorizado de claves de API de inteligencia artificial de los clientes. La empresa reveló este problema después de recibir una alerta de la compañía de seguridad en la nube Wiz, momento en el cual pidió a los usuarios que asumieran que sus variables de entorno habían sido descifradas y robadas. Las variables de entorno se emplean habitualmente para guardar información delicada, como contraseñas, credenciales de servicios en la nube, fichas de autenticación y claves de API.

Fuente: BleepingComputer Publicado: 31/10/2026 · 18:01 UTC

Vulnerabilidad

New Android SMS of Death exploit can remotely crash unpatched phones

Un investigador de seguridad ha dado a conocer un código de prueba para una vulnerabilidad que afecta a Android y que permite interrumpir el servicio móvil o bloquear dispositivos de manera remota mediante el envío de un mensaje de texto modificado. Esta falla de denegación de servicio no requiere que la víctima interactúe con el dispositivo, y el sistema operativo procesa el mensaje antes de que llegue a la bandeja de entrada, por lo que el usuario no ve ninguna señal visual que explique el fallo. El problema se origina debido a una validación incorrecta de un valor de longitud de cabecera en una función específica del sistema.

Fuente: BleepingComputer Publicado: 31/10/2026 · 15:35 UTC