Se ha publicado una prueba de concepto (PoC) sobre una falla crítica en Zammad, identificada como CVE-2026-102489. Esta vulnerabilidad permite que usuarios remotos no autenticados roben cookies de sesiones activas y, potencialmente, ejecuten código en los servidores afectados. Este problema está relacionado con una brecha de seguridad reportada en septiembre en el Instituto Neerlandés de Divulgación de Vulnerabilidades (DIVD), donde se explotaron dos vulnerabilidades de día cero para obtener acceso.

Se ha detectado un fallo en un sistema personalizado de cookies de sesión que permitía a atacantes no autenticados suplantar la identidad de empleados y administradores en una plataforma de gestión de patios. Es importante destacar que el problema no radicaba en Microsoft Entra ID, sino en una capa de sesión débil de la aplicación que aceptaba identidades falsificadas tras evadir los controles normales de inicio de sesión.

El sistema de medición publicitaria de OpenAI utiliza una cookie entre sitios llamada __obi, la cual permite vincular la actividad de un usuario en sitios web de anunciantes directamente con su cuenta de ChatGPT. Este mecanismo rastrea a los usuarios cuando visitan ChatGPT y posteriormente los redirige a OpenAI al cargar sitios que utilizan el píxel publicitario de la compañía.

Se insta a los usuarios de Kimai que utilizan la imagen oficial de Docker a actualizar sus instalaciones urgentemente. Se ha revelado una vulnerabilidad crítica (CVE-2026-52824) que afecta a las versiones 2.57.0 y anteriores, la cual permite que atacantes no autenticados falsifiquen cookies de autenticación y tomen el control de cuentas, incluidas las de superadministrador. El problema ya ha sido resuelto en las versiones más recientes.

Los chatbots Grok, Claude, ChatGPT y Perplexity utilizan rastreadores que comprometen la privacidad de las conversaciones, pudiendo filtrar datos incluso si se rechazan las cookies.

Google ha lanzado la función de seguridad DBSC en Chrome para prevenir el robo de cuentas. Esta herramienta vincula criptográficamente las cookies de sesión al hardware del dispositivo (como el chip TPM o Secure Enclave), impidiendo que los hackers usen cookies robadas para saltarse la autenticación multifactor. La función ya se está implementando para todos los usuarios y clientes de Google Workspace.

REMUS es un nuevo malware infostealer que opera como un servicio (MaaS) con un modelo de negocio similar al de una empresa de software, ofreciendo actualizaciones constantes y soporte técnico. A diferencia de otros, se enfoca en el robo de sesiones y cookies para evadir la autenticación de doble factor (MFA), además de atacar gestores de contraseñas. Su evolución demuestra una tendencia en el cibercrimen hacia la profesionalización y la búsqueda de acceso persistente a cuentas ya autenticadas.

BleachBit 6 llega con novedades clave como limpieza más profunda en navegadores, nuevo gestor de cookies y más de 100 mejoras en su interfaz y rendimiento, consolidándose como una herramienta esencial para optimización.

Cuando pensamos en el ejemplo clásico de secuestro de sesión, pensamos en los ataques Man-in-the-Middle (MitM) de la vieja escuela que implicaban espiar el tráfico de red local no seguro para capturar credenciales o, más comúnmente, detalles financieros como datos de tarjetas de crédito. O bien, realizando ataques del lado del cliente que comprometan una página web, ejecutando JavaScript malicioso y utilizando secuencias de comandos entre sitios (XSS) para robar el ID de sesión de la víctima.

Genesis Market, una de las principales webs de comercio de credenciales, ha sido desmantelada en una operación encabezada por el FBI y la Policía Nacional holandesa. Eso sí, según la Europol, para que este trabajo llegara a buen puerto, participaron nada menos que los cuerpos policiales de 17 países. Por desgracia el mercado Genesis en la Dark Web todavía funciona (genesis7...)

Microsoft ha descubierto una campaña de phishing a gran escala que utilizaba sitios de phishing del tipo "adversario en el medio" (AiTM o adversary-in-the-middle en inglés, un tipo de phishing muy poco conocido hasta ahora). Gracias a esta estrategia, la empresa de Redmond vio que estos atacantes robaban contraseñas, secuestraban la información de inicio de sesión de un usuario y se saltaban el proceso de autenticación incluso si el usuario había activado la autenticación multifactor (MFA).

Check Point Software Technologies Ltd., proveedor mundial en seguridad para Internet, ha anunciado el descubrimiento de Misfortune Cookie, una vulnerabilidad crítica que permite a los intrusos tomar control de muchos de los gateways domésticos que dan acceso a Internet. Se le ha asignado el identificador CVE-2.014-9222. Esta grave vulnerabilidad permite a un atacante tomar forma remota a través del dispositivo con privilegios administrativos.