MariaDB ha revelado fallos de seguridad que, bajo condiciones específicas, podrían permitir a los atacantes ejecutar código, acceder a tablas de bases de datos restringidas y robar credenciales de inicio de sesión. Estos problemas afectan a varias ramas del servidor y al MariaDB Connector/C. A pesar de la gravedad, el proveedor califica los fallos de ejecución de código como de riesgo Alto, no Crítico, ya que su explotación depende de los plugins instalados.

El Departamento de Seguridad Vial de Florida (FLHSMV) confirmó una filtración de datos en su base de datos DAVID, presuntamente realizada por el grupo ShinyHunters. Mientras los hackers afirman haber robado más de 200,000 registros mediante un fallo de seguridad, la agencia sostiene que el acceso se logró a través de credenciales comprometidas de un solo usuario. El incidente ya ha sido mitigado y se encuentra bajo investigación criminal.

Se han detectado dos fallos críticos en ArangoDB (versiones hasta la 3.12.10.1) que permiten a un atacante externo evadir los controles de inicio de sesión, leer o modificar datos de la base de datos y, finalmente, lograr la ejecución de código remoto con privilegios de root en el servidor anfitrión. Este riesgo es especialmente grave para bases de datos expuestas a internet y despliegues en contenedores, ya que el ataque no requiere contraseñas robadas ni interacción del usuario.

PostgreSQL lanzó actualizaciones para corregir la vulnerabilidad CVE-2026-6471, que permitía a usuarios con atributos de replicación ejecutar código arbitrario en el servidor. El fallo, presente desde 2014, se soluciona mediante una nueva lista blanca de librerías permitidas llamada output_plugin_libraries. Se recomienda actualizar a las versiones más recientes y configurar manualmente los complementos externos para evitar interrupciones en el servicio.

cPanel ha corregido tres vulnerabilidades críticas, destacando la CVE-2026-58048 que permitía a usuarios autenticados ejecutar comandos SQL con privilegios de administrador y comprometer el sistema operativo. También se solucionó un problema de contrabando de solicitudes HTTP y una falla de escalada de privilegios en Exim. Se recomienda actualizar inmediatamente a las versiones parcheadas o aplicar las mitigaciones temporales sugeridas.

Un actor de amenazas afirma poseer y vender una base de datos de clientes de Decathlon con aproximadamente 160 millones de registros. La información fue anunciada en un foro de cibercrimen, solicitando pagos en criptomonedas. Hasta el momento, la brecha no ha sido verificada de forma independiente ni confirmada públicamente por la empresa.

En mayo de 2026, la base de datos de avisos de GitHub alcanzó un máximo histórico al publicar 1,560 avisos de seguridad revisados, lo que representa más de cinco veces su producción mensual habitual. A pesar de este logro, la plataforma ha tenido dificultades para seguir el ritmo del creciente volumen de informes de vulnerabilidades, lo que refleja un cambio general en el ecosistema global de divulgación de vulnerabilidades.

Investigadores de SpecterOps han advertido que las nuevas capacidades de inteligencia artificial de Microsoft SQL Server 2025 presentan riesgos de seguridad críticos. Se ha demostrado que los atacantes pueden abusar de estas funciones legítimas para realizar la exfiltración sigilosa de datos y establecer comunicaciones de comando y control (C2) directamente desde el motor de la base de datos.

Un hombre de Virginia y su hermano fueron condenados por borrar aproximadamente 96 bases de datos gubernamentales tras ser despedidos de su empleo como contratistas federales. Los hermanos, que ya tenían antecedentes penales por hackeo, intentaron eliminar evidencia y ocultar sus rastros usando inteligencia artificial. Ahora enfrentan penas severas que podrían alcanzar los 21 y 45 años de prisión, respectivamente.