Seguridad y Riesgo
50 análisis
CVE-2026-20182 permite omitir la autenticación en el Catalyst SD-WAN Controller y escalar a root. El grupo identificado como UAT-8616 ya modificaba configuraciones NETCONF en los sistemas comprometidos. CISA exigió corrección en tres días.
CVE-2026-42897 permite la ejecución de JavaScript a través de un correo electrónico abierto en Outlook Web Access. CISA exigió corrección hasta el 29 de mayo. La falla afecta a Exchange Server 2016, 2019 y Subscription Edition, pero no afecta a Exchange Online.
Un ataque al pipeline de lanzamiento del proyecto TanStack comprometió 84 artefactos en 42 paquetes npm y afectó a OpenAI, que confirmó el compromiso de las claves de firma de aplicaciones para Windows, macOS, iOS y Android e inició el relanzamiento de todas las aplicaciones con nuevos certificados.
Grafana Labs confirmó el 17 de mayo que un tercero obtuvo un token de acceso al GitHub corporativo de la empresa y descargó parte del código fuente. La compañía rechazó la demanda de rescate del grupo CoinbaseCartel y citó orientación del FBI para justificar su postura.
Un desbordamiento de búfer en el módulo de reescritura de NGINX, presente en el código desde 2008, llevó a F5 a publicar una corrección de emergencia tras el registro de VulnCheck de intentos de explotación contra honeypots. La falla recibió una puntuación de CVSS de 9.2 y afecta versiones desde la 0.6.27 hasta la 1.30.0.
El informe analizó más de 22,000 incidentes y registra el doble de involucramiento de proveedores y socios como vector de compromiso en un año.
Lanzada el 12 de mayo, la plataforma utiliza GPT-5.5 para identificar vulnerabilidades, validar correcciones y acelerar el ciclo de parches en entornos corporativos. Cisco, CrowdStrike y Palo Alto ya integran el producto.
El primer trimestre de 2026 registró 2,122 organizaciones víctimas de ransomware, el segundo mayor Q1 de la historia. El gran cambio: los diez principales grupos concentraron el 71% de los ataques, señalizando la consolidación del ecosistema criminal y ataques más sofisticados.
Los incidentes de la cadena de suministro de software más que se duplicaron a nivel global en 2025, exponiendo brechas críticas en la preparación empresarial. El ataque a tj-actions en marzo de 2025 comprometió pipelines CI/CD en miles de repositorios. El caso de XZ Utils de 2024, donde un atacante pasó dos años construyendo confianza antes de insertar un backdoor, definió el estándar de la amenaza moderna.
La administración Trump autorizó la venta de chips Nvidia H200 a China, una reversión de la política de restricciones construida bipartidariamente desde 2022. El Congreso reacciona con proyectos de ley para revertir la decisión. Para ejecutivos de tecnología, el escenario redibuja el mapa de riesgo geopolítico de la cadena de IA.
El 63% de las organizaciones mundiales ha implementado Zero Trust al menos parcialmente. Pero el 35% de las iniciativas informaron fracasos que perjudicaron a la organización. Gartner proyecta que el 75% de las agencias federales estadounidenses no podrán implementar políticas de Zero Trust para finales de 2026. Las organizaciones con programas maduros registran un 50% menos de violaciones y reducen el costo promedio de una violación en un 43%.
Las primas de seguro cibernético cayeron un 22% en comparación con el pico de 2022 y retrocedieron un 6% adicional en 2025. En 2024, las pólizas globales registraron una caída en la prima total por primera vez. Para 2026, las aseguradoras proyectan una reversión con un aumento del 15% al 20%, presionadas por la aceleración de ataques a infraestructuras críticas y por la creciente sofisticación de los fraudes con IA.