Seguridad y Riesgo
143 análisis
El ciclo de julio es el mayor de la historia del programa. CISA agregó tres vulnerabilidades de SharePoint bajo explotación activa en el mismo día. La triage se convirtió en el verdadero cuello de botella de la operación.
La CVE-2008-4128 regresa al radar 18 años después: la interfaz HTTP administrativa en enrutadores Cisco 871 legados sigue produciendo una cadena de CSRF explotable a gran escala.
Análisis de Group-IB publicado el 12 de julio detalla nueva variante del troyano bancario. El malware activa la depuración a través de accesibilidad y obtiene shell sin cable. Vietnam e Indonesia son el objetivo actual.
Sysdig detectó los primeros escaneos en producción de la CVE-2026-20896 en las imágenes Docker de Gitea. Son alrededor de 6,200 instancias expuestas a Internet, muchas con secretos de CI/CD dentro de los repos.
CVE-2026-59873 permite agotar CPU y disco con un pequeño tarball. La biblioteca realiza 106 millones de descargas semanales en npm y sostiene gran parte de la cadena de build JavaScript.
El atacante comprometió la cuenta npm de jscrambler el 11 de julio y publicó cinco versiones maliciosas de la herramienta utilizada por 43 mil empresas, incluyendo Fortune 500, con infostealer en Rust que captura credenciales de navegadores y cofres Bitwarden.
Progress Software cortó el acceso a la nube de los Storage Zone Controllers de ShareFile el 11 de julio, afectando a 86 mil clientes tras la divulgación del CVE-2026-2699 (CVSS 9.8) encadenado al CVE-2026-2701 (CVSS 9.1) que permite RCE sin credenciales.
La falla de path traversal en Adobe ColdFusion fue corregida el 30 de junio, pero los atacantes comenzaron a explotarla en dos horas. El CISA fijó el 10 de julio como plazo federal.
Falla de control de acceso permite ejecución de comando sin autenticación en red adyacente e integra el paquete SAB-066, que corrige 25 vulnerabilidades en la línea UniFi.
Sysdig detectó el primer intento de explotación 13 días después del parche, contra 6.200 instancias expuestas. El bug proviene de una línea del app.ini que confía en cualquier IP.
Falla de path traversal recibió calificación máxima y se convirtió en objetivo de explotación activa dos horas después del boletín técnico. CISA dio plazo hasta el 10 de julio para el Ejecutivo Civil Federal.
Informe preliminar copresidido por Yoshua Bengio y Maria Ressa desmonta la narrativa de safety-by-design de las grandes desarrolladoras y traspasa la responsabilidad a reguladores y compradores corporativos.