Seguridad y Riesgo
142 análisis
En la madrugada del 22 de mayo, un agente con acceso organizacional a GitHub reescribió 502 etiquetas históricas de cuatro paquetes PHP, inyectando un backdoor que exfiltra credenciales de cloud, tokens CI/CD y secretos de Kubernetes sin alertas visibles.
El grupo de extorsión CoinbaseCartel reclamó acceso al dominio panasonic.aero el 22 de mayo de 2026. Panasonic Avionics atiende a más de 200 aerolíneas y cubre aproximadamente el 70% de la flota global de aeronaves equipadas con sistemas IFE.
El CISO de GitHub atribuyó este jueves la invasión de 3,800 repositorios internos a una versión maliciosa de la extensión Nx Console para VS Code, ligada al ataque de cadena de suministro contra paquetes npm de TanStack el 11 de mayo.
El grupo TeamPCP comprometió un dispositivo de un empleado de GitHub con una extensión adulterada de VS Code para exfiltrar alrededor de 3.800 repositorios internos. La empresa confirma que los datos de los clientes no se vieron afectados.
Sin requerir autenticación, la CVE-2026-9082 recibió una puntuación de 20/25 en el sistema de riesgo de Drupal y puede llevar a la ejecución remota de código en instalaciones con PostgreSQL. Parche disponible este jueves.
El grupo Nitrogen reclama la exfiltración de 8 TB en 11 millones de archivos de Foxconn, incluidos dibujos técnicos de proyectos de Apple, Google y Nvidia. AppleInsider confirmó hoy la presencia de esquemáticos de servidores Apple en el material filtrado.
Vulnerabilidad crítica CVE-2026-42945, presente en NGINX desde 2008, fue explotada activamente tres días después de la publicación de prueba de concepto. Afecta todas las versiones entre 0.6.27 y 1.30.0, responsables del 32,8% de los servidores web globales.
SAP S/4HANA recibe corrección para inyección SQL con CVSS 9.6 en el mismo mes en que más de la mitad de los clientes globales concluye la migración a la versión. FortiAuthenticator y FortiSandbox son actualizados contra fallos de control de acceso, y n8n acumula cinco CVEs 9.4.
CVE-2026-20182 permite omitir la autenticación en el Catalyst SD-WAN Controller y escalar a root. El grupo identificado como UAT-8616 ya modificaba configuraciones NETCONF en los sistemas comprometidos. CISA exigió corrección en tres días.
CVE-2026-42897 permite la ejecución de JavaScript a través de un correo electrónico abierto en Outlook Web Access. CISA exigió corrección hasta el 29 de mayo. La falla afecta a Exchange Server 2016, 2019 y Subscription Edition, pero no afecta a Exchange Online.
Un ataque al pipeline de lanzamiento del proyecto TanStack comprometió 84 artefactos en 42 paquetes npm y afectó a OpenAI, que confirmó el compromiso de las claves de firma de aplicaciones para Windows, macOS, iOS y Android e inició el relanzamiento de todas las aplicaciones con nuevos certificados.
Grafana Labs confirmó el 17 de mayo que un tercero obtuvo un token de acceso al GitHub corporativo de la empresa y descargó parte del código fuente. La compañía rechazó la demanda de rescate del grupo CoinbaseCartel y citó orientación del FBI para justificar su postura.