Una vulnerabilidad recientemente confirmada en el demonio telnet (telnetd) de GNU Inetutils ha revivido un fallo de seguridad de 27 años, permitiendo a los atacantes obtener acceso root al explotar una sanitización incorrecta de variables de entorno, sin necesidad de autenticación. Registrada como CVE-2026-24061, la falla existe en GNU Inetutils hasta la versión 2.7 e permite eludir la autenticación remota

Se ha lanzado una actualización de seguridad urgente para el software de servidor de archivos Serv-U con el fin de corregir múltiples vulnerabilidades críticas que podrían permitir a los atacantes comprometer por completo los sistemas afectados. La última versión, Serv-U 15.5.4, aborda cuatro fallos de seguridad de alta gravedad, cada uno con una puntuación CVSS de 9.1. Estas vulnerabilidades son especialmente peligrosas porque permiten la ejecución remota de código

La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de EE.UU. designó el 24 de febrero de 2026 al nacional ruso Sergey Sergeyevich Zelenyuk y a su empresa con sede en San Petersburgo, Matrix LLC, que opera públicamente como Operation Zero, junto con cinco individuos y entidades asociadas, por adquirir y distribuir herramientas cibernéticas que representan un daño directo a la seguridad nacional de EE.UU. 

Vulnerabilidad crítica CVE-2026-2329 en teléfonos Grandstream GXP1600 permite ejecución remota de código sin autenticación, facilitando la interceptación de llamadas y el robo de credenciales; ya existe un parche pero supone un riesgo para empresas sin actualizar.

Un error tipográfico de un solo carácter, consistente en usar "&" (AND bit a bit) en lugar de "|" (OR bit a bit), provocó una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en Mozilla Firefox. El fallo fue descubierto en el motor JavaScript SpiderMonkey, específicamente en el código de recolección de basura de WebAssembly, donde un desarrollador introdujo el error por equivocación. 

Google ha parcheado urgentemente una vulnerabilidad de día cero de alta gravedad en Chrome, confirmando su explotación activa en la naturaleza. Identificada como CVE-2026-2441, la falla es un error de use-after-free en el manejo de CSS del navegador, reportado por el investigador independiente Shaheen Fazim hace solo cinco días, el 11 de febrero de 2026. La compañía reveló el problema junto con su última actualización del canal Stable.

Un actor de amenazas estaría vendiendo una supuesta cadena de exploits de día cero de gravedad crítica dirigida a OpenSea por 100.000 USD en Bitcoin o Monero. La publicación afirma que la vulnerabilidad sigue sin parchear y no ha sido revelada, lo que ha generado alarma en la comunidad de NFT. El exploit supuestamente aprovecha fallos en la lógica de validación de órdenes del protocolo Seaport de OpenSea en Ethereum Mainnet, Polygon y Blast 

Se ha descubierto una nueva y peligrosa clase de ciberataque llamada "Promptware", capaz de convertir tu asistente personal de IA en un agente durmiente que te espía. Investigadores de seguridad de la Universidad Ben-Gurion, la Universidad de Tel Aviv y Harvard han demostrado un exploit aterrador en el que una simple invitación de Google Calendar puede engañar al asistente Gemini de Google

Microsoft ha lanzado un parche de seguridad urgente para una crítica vulnerabilidad de día cero (CVE-2026-21513) que afecta al MSHTML Framework, la cual fue explotada activamente antes de que se dispusiera de una solución. La falla permite a los atacantes eludir las funciones de seguridad de Windows sin necesidad de privilegios elevados, poniendo en riesgo a millones de sistemas.

Una nueva vulnerabilidad crítica descubierta por la firma de investigación de seguridad LayerX ha expuesto un fallo arquitectónico fundamental en la forma en que los modelos de lenguaje grande (LLM) manejan los límites de confianza. La falla de ejecución remota de código (RCE) de cero clics en las extensiones de Claude para escritorio (DXT) permite a los atacantes comprometer un sistema utilizando nada más que un evento de Google Calendar maliciosamente elaborado.

Una nueva herramienta de seguridad ofensiva de código abierto llamada RecoverIt ha sido lanzada, ofreciendo a los equipos rojos (Red Teamers) y a los probadores de penetración un método innovador para establecer persistencia y ejecutar movimientos laterales en sistemas Windows comprometidos. La herramienta, desarrollada por el investigador de seguridad TwoSevenOneT, aprovecha el mecanismo integrado de recuperación ante fallos de los Servicios de Windows para desencadenar la ejecución de código arbitrario.

Una vulnerabilidad crítica de use-after-free (UAF) en la disciplina de cola sch_cake del kernel de Linux afecta a CentOS 9, permitiendo a usuarios locales obtener privilegios de root. La firma de seguridad SSD Secure Disclosure publicó los detalles el 5 de febrero de 2026, destacando que la falla ganó el primer lugar en la categoría Linux en TyphoonPWN 2025. 

Exploit activo de Metro4Shell: servidores de desarrollo con React Native están siendo comprometidos mediante una vulnerabilidad crítica (CVE-2025-11953) que permite ejecución remota de comandos (RCE) sin autenticación, afectando entornos de desarrollo y producción. Equipos DevOps deben actuar con urgencia.

Actores de amenazas están explotando activamente una vulnerabilidad crítica de ejecución remota de código en el servidor de desarrollo Metro de React Native para distribuir cargas maliciosas avanzadas en sistemas Windows y Linux. La red de honeypots Canary de VulnCheck detectó por primera vez la explotación operativa de CVE-2025-11953, denominada “Metro4Shell”, el 21 de diciembre de 2025, con ataques continuos observados en enero de 2026,