D-Link ha lanzado una actualización de firmware para corregir fallos críticos de control de acceso y divulgación de información en su router DIR-X1860Z. Estas vulnerabilidades permitirían que un atacante no autenticado conectado a la red local pueda cambiar la contraseña del administrador y recuperar detalles de la configuración inalámbrica, incluyendo las credenciales de Wi-Fi.

El investigador Olivier Laflamme descubrió dos vulnerabilidades graves de ejecución remota de código (RCE) que afectan al robot Unitree G1 EDU. Estas fallas, identificadas como CVE-2026-76639 y CVE-2026-76640, permiten obtener acceso root mediante rutas de red y Bluetooth. Aunque Unitree corrigió un error de autorización en la nube, aún no se ha confirmado una versión de firmware que solucione completamente ambos problemas.

Se ha descubierto una vulnerabilidad sin parchear (CVE-2026-75501) en los routers Calix GS7 XGS que permite a atacantes remotos crear reglas de redirección de puertos sin autenticación. Esto expone dispositivos internos (cámaras, NAS e IoT) a internet, saltándose el firewall y el NAT del dispositivo. Como solución temporal, se recomienda a los usuarios desactivar la función UPnP en la configuración de seguridad del router.

Investigadores de Kaspersky detectaron un nuevo malware diseñado para infectar pantallas Android de vehículos desarrolladas por DoFun. El ataque utiliza el sistema de actualizaciones legítimo del dispositivo para instalar un botnet destinado al fraude publicitario y la creación de proxies. Se atribuye esta actividad al grupo MoYu, vinculando el caso con la red maliciosa conocida como BADBOX.

Zyxel ha lanzado actualizaciones de firmware para corregir una vulnerabilidad de inyección de comandos de gravedad alta (CVE-2026-6837) que afecta a 18 modelos de puntos de acceso inalámbricos. El fallo se encuentra en el componente export-cgi y podría permitir que un administrador autenticado ejecute comandos del sistema operativo en los dispositivos vulnerables, específicamente durante el proceso de exportación de certificados PKCS#12.

Investigadores de Hunt.io revelaron la Operación CameraSwarm, que comprometió más de 14,530 dispositivos Dahua mediante ataques de credenciales, fallos de autenticación y técnicas de relevo P2P. La actividad se concentró en Ucrania y Rusia, utilizando vulnerabilidades conocidas y herramientas para acceder a cámaras incluso detrás de NAT. Se recomienda a los usuarios actualizar el firmware, usar contraseñas fuertes y desactivar la función P2P si no es necesaria.

Investigadores de SSD Secure Disclosure descubrieron una falla grave en chipsets Unisoc que permite acceso total al kernel de Android mediante llamadas de video VoLTE. El ataque requiere que el atacante controle una red 4G y que la víctima responda la llamada. Afecta a dispositivos de marcas como Motorola, Realme y Xiaomi, y actualmente no existe un parche oficial del fabricante.

Investigadores de ciberseguridad descubrieron una puerta trasera de fábrica llamada ENDLESSDOORS en al menos 20 modelos de routers chinos Zbtlink. Este implante se ejecuta con privilegios de root y se comunica automáticamente con servidores en China para recibir comandos remotos. El fabricante ya retiró el firmware afectado y trabaja en un parche para solucionar esta vulnerabilidad.

TP-Link ha corregido 15 vulnerabilidades en el mecanismo de aprovisionamiento automático (ZTP) de sus dispositivos Omada, las cuales podrían permitir la ejecución remota de código y el secuestro de dispositivos. Estos fallos, descubiertos por Forescout, afectan a controladores, switches y aplicaciones móviles, exponiendo datos sensibles y facilitando la infiltración en redes empresariales. Se recomienda a los usuarios actualizar urgentemente el firmware a la última versión disponible y activar la autenticación de múltiples factores (MFA).

TP-Link ha emitido un aviso de seguridad sobre una vulnerabilidad de alta gravedad que afecta al router inalámbrico TL-WR940N V6. Este fallo, identificado como CVE-2026-12935, se encuentra en la función de seguimiento de conexiones RTSP y podría permitir que atacantes no autenticados provoquen una denegación de servicio o logren la ejecución remota de código en los dispositivos afectados.

Investigadores de seguridad han logrado iniciar una versión con jailbreak de iOS 27 en un iPhone 11 Pro. Para ello, combinaron el exploit usbliter8 SecureROM con un flujo de trabajo de firmware personalizado y modificado. La demostración, centrada en el dispositivo con chip A13, revela que el acceso físico al dispositivo en modo DFU permite evadir las medidas de seguridad.

Se ha descubierto una vulnerabilidad crítica (CVE-2026-40639) en la forma en que Dell almacena las contraseñas de administrador y usuario de la BIOS. Debido al uso de un esquema de cifrado XOR defectuoso en lugar de un hash criptográfico adecuado, es posible recuperar completamente las contraseñas a partir de un volcado de flash en cuestión de milisegundos, sin necesidad de recurrir a la fuerza bruta.

Un nuevo análisis de seguridad de Binarly Research ha revelado seis vulnerabilidades críticas en el cargador de arranque U-Boot. Estos fallos exponen a los sistemas embebidos y plataformas de gestión de servidores a ataques de denegación de servicio (DoS) y a la posible ejecución de código arbitrario. U-Boot es un componente fundamental en el proceso de arranque de numerosos dispositivos, tales como routers, sistemas IoT y controladores de gestión de placa base (BMCs).

El CERT/CC advirtió sobre una puerta trasera no documentada en varias versiones del firmware de dispositivos Tenda. Esta vulnerabilidad permite a un atacante evadir la verificación de contraseñas y obtener control administrativo total del equipo. Actualmente no existe un parche oficial, por lo que se recomienda desactivar la gestión remota y cambiar la IP predeterminada de la red local.

Flipper Devices anunció que el desarrollo de funciones para el Flipper Zero ha finalizado, aunque seguirá manteniendo el firmware con un equipo reducido y mayor apoyo de la comunidad vía GitHub. La empresa ahora se enfocará en nuevos proyectos, como la plataforma Flipper One y la herramienta de productividad Busy Bar. Para gestionar la demanda de sus millones de usuarios, las futuras actualizaciones serán priorizadas mediante votaciones comunitarias.

La firma runZero descubrió siete vulnerabilidades en FatFs, una librería de archivos utilizada en drones, cámaras y dispositivos IoT. Estos fallos permitirían a un atacante ejecutar código malicioso mediante el uso de tarjetas SD o USB manipuladas. Debido a que el desarrollador original no ha respondido, los fabricantes de hardware deberán implementar sus propios parches para mitigar el riesgo.

Se han detectado múltiples vulnerabilidades de gravedad alta en los dispositivos WatchGuard Firebox que utilizan Fireware OS. Estos fallos, identificados como CVE-2026-13053 y CVE-2026-13050 (entre otros), podrían permitir que atacantes autenticados ejecuten código arbitrario y tomen el control total de los equipos afectados. WatchGuard ya ha lanzado parches en las versiones recientes de firmware para corregir estas vulnerabilidades, que han sido calificadas con un puntaje de 8.6 según CVSS v4.0.

AMD ha restaurado el cifrado de memoria TSME en sus CPU Ryzen tras las críticas por haberlo bloqueado mediante firmware mientras la opción seguía apareciendo activa en la BIOS.

Apple actualizó los Beats Studio Buds para corregir una vulnerabilidad grave que permitía a atacantes cercanos escuchar el micrófono sin consentimiento. Por otro lado, se descubrió un fallo de hardware irreparable en los chips A12 y A13 de iPhone que permite la ejecución de código malicioso. La única solución para este último caso es migrar a hardware más reciente.

AGESA 1.3.0.1b es el nuevo firmware para placas AM5 que optimiza los voltajes de SoC, VDDIO y DDR5, aumentando la seguridad de los Ryzen X3D y permitiendo activar EXPO ULL.