Google ha confirmado que una vulnerabilidad zero-day de severidad alta que afecta a los smartphones Pixel está siendo explotada activamente. El fallo, identificado como CVE-2026-58704, se encuentra en el subcomponente del módem del dispositivo. Para solucionar este problema, la compañía ha lanzado parches de emergencia incluidos en el boletín de actualización de Pixel de septiembre de 2026.

Hewlett Packard Enterprise ha lanzado actualizaciones de seguridad para sus puertas de enlace HPE Networking EdgeConnect SD-WAN y el SD-WAN Orchestrator tras detectar decenas de vulnerabilidades. Entre ellas, se encuentran fallos críticos que podrían permitir a atacantes remotos tomar el control total de los sistemas afectados, según el boletín de seguridad HPESBNW05135 publicado el 15 de septiembre de 2026.

Un experto de Gartner sugiere que el aumento actual de vulnerabilidades detectadas por IA es positivo, ya que permite limpiar bases de código antiguas. Se prevé que para 2027 disminuya la gravedad de los fallos gracias a que la IA optimizará tanto la detección como la reparación de errores.

Google ha lanzado una actualización de seguridad crucial para Chrome 153 que corrige 42 vulnerabilidades, de las cuales tres son calificadas como críticas. La actualización se implementará gradualmente para Windows, macOS y Linux.

Actores de amenazas chinos utilizaron una cadena de vulnerabilidades en Google Chrome y Windows para atacar a ONGs mediante spear-phishing. El grupo UTA0560 desplegó el backdoor GRIMWEDGE para espiar y ejecutar comandos, mientras que JungleBamboo instaló la extensión LONGTALE para robar credenciales. El ataque aprovechó un vacío de tiempo entre el parche de Chromium y la versión estable de Chrome.

Homebrew ha lanzado la versión 7.0.0, la cual introduce mejoras significativas en seguridad y rendimiento. Entre las novedades destaca la implementación de brew vulns, un escáner de vulnerabilidades nativo apoyado en una base de datos de avisos específica. Además, esta versión ofrece un sandboxing más robusto y flujos de instalación de paquetes más rápidos. Por otro lado, se ha finalizado el soporte para macOS Catalina 10.15 y los Macs basados en Intel han pasado a tener soporte de Nivel 3.

La Agencia Digital de Japón sufrió una filtración de datos que expuso información personal de unos 246,000 empleados gubernamentales y colaboradores debido a una vulnerabilidad en un dispositivo VPN. El ataque no afectó los datos del público general ni incluyó información bancaria o números de identificación críticos. La agencia ya tomó medidas de seguridad y advirtió a los afectados sobre posibles riesgos de phishing.

Atacantes están explotando activamente una falla crítica en la extensión de WooCommerce Wholesale Lead Capture para tomar el control de sitios de WordPress sin necesidad de usuario ni contraseña. La vulnerabilidad, identificada como CVE-2026-27540 y con una puntuación de severidad de 9.8, permite transformar una función rutinaria de subida de archivos en un acceso directo al servidor.

Cisco alertó sobre una vulnerabilidad crítica (CVE-2026-76461) en Cisco Secure Email Gateway que permite a atacantes ejecutar comandos con privilegios de root mediante correos maliciosos. El fallo ya está siendo explotado activamente y la única solución es actualizar el software AsyncOS a las versiones más recientes. Paralelamente, se reportaron ataques masivos de robo de credenciales dirigidos a dispositivos VPN de Fortinet.

Se han descubierto dos vulnerabilidades críticas en el plugin de WordPress The Events Calendar, que afectan a más de 600,000 instalaciones activas. Estos fallos, detectados por el equipo de Wordfence, podrían permitir que atacantes no autenticados tomen el control total de los sitios web vulnerables mediante la ejecución remota de código, el restablecimiento de contraseñas de administrador y el despliegue de malware, comprometiendo así el servidor por completo.

Se ha lanzado Homebrew 7.0.0, que introduce una interfaz gráfica nativa (BrewUI) y un escáner de vulnerabilidades integrado con una base de datos de avisos específica. Esta versión mejora la seguridad mediante un mejor sandboxing y optimiza la velocidad de instalación mediante procesos concurrentes. El objetivo es proteger a los usuarios de macOS frente a amenazas y malware que suelen aprovechar la popularidad de este gestor de paquetes.

La Organización Internacional de Meteoros sufrió un ciberataque que dejó gran parte de su web fuera de servicio por semanas. Aunque ya restauraron el reporte de bólidos, aún no aclaran si hubo robo de datos.

Nintendo ha corregido una vulnerabilidad de alta gravedad (CVE-2026-82079) en la Nintendo Switch original. Este fallo, localizado en la red inalámbrica local y presente en versiones de firmware anteriores a la 23.0.0, consistía en un desbordamiento de búfer basado en pila que podría permitir a un atacante cercano ejecutar código no autorizado y acceder a información almacenada en la consola.

Investigadores descubrieron DDRop, un ataque de hardware que vulnera la computación confidencial de Intel y AMD mediante un dispositivo económico llamado interposador. Este componente anula escrituras en la memoria DDR5, obligando al procesador a leer datos cifrados antiguos y permitiendo el acceso a memoria protegida. Al ser una falla de diseño físico, no existe un parche de software sencillo, aunque Intel y AMD consideran que el riesgo es bajo ya que requiere acceso físico al servidor.

Investigadores han descubierto un servidor de preparación controlado por atacantes que contiene pruebas de una intrusión masiva contra 3BB, la marca de consumo de Triple T Broadband en Tailandia. La operación se originó mediante la explotación de una vulnerabilidad crítica en SSL-VPN de FortiGate, lo que permitió a los atacantes escalar privilegios, robar credenciales, realizar reconocimiento interno, moverse lateralmente y establecer un acceso remoto persistente.

Microsoft ofrece recompensas de hasta 30.000 dólares a los investigadores de seguridad que encuentren vulnerabilidades críticas de IA en Dynamics 365 y Power Platform. El programa se centra especialmente en fallos que permitan manipular la inferencia de la IA o exponer información confidencial a través del comportamiento del modelo.

WordPress implementará revisiones de seguridad automatizadas mediante IA para cada actualización de plugins y temas antes de su distribución. El sistema asignará un puntaje de riesgo y bloqueará automáticamente aquellas versiones que presenten vulnerabilidades o código malicioso. Los desarrolladores deberán corregir los fallos detectados para que sus actualizaciones puedan ser publicadas.

Investigadores descubrieron que un dispositivo físico económico llamado DDRop puede vulnerar la memoria cifrada de Intel y AMD mediante ataques de repetición. Aunque Intel y AMD consideran que el riesgo es limitado al requerir acceso físico, no hay un parche sencillo para corregirlo.