Una vulnerabilidad crítica impulsada por IA en GitHub Codespaces, denominada RoguePilot, permitió a los atacantes secuestrar silenciosamente un repositorio al incrustar instrucciones maliciosas dentro de un Issue de GitHub. La falla, descubierta por investigadores del Orca Research Pod, explota la integración fluida entre GitHub Issues y el agente de IA Copilot dentro de Codespaces, sin requerir interacción directa del atacante 

Se ha descubierto una vulnerabilidad crítica en la solución de transferencia de archivos de Soliton Systems K.K., que podría permitir a los atacantes ejecutar comandos arbitrarios del sistema en instalaciones afectadas. El problema, registrado como CVE-2026-25108, ha sido evaluado con una puntuación base de CVSS v3.0 de 8.8, lo que indica una grave falla de inyección de comandos. La vulnerabilidad proviene de un fallo de inyección de comandos del sistema operativo (CWE-78) 

Un implante de hardware de $44 disfrazado como un ratón de computadora común. Este dispositivo actúa como un inyector de pulsaciones de teclas encubierto, similar al Hak5 Rubber Ducky, pero aprovecha el factor de forma inocuo de un ratón para eludir la capacitación básica de concienciación del usuario. Conéctalo y ejecutará de forma autónoma cargas útiles que ejecutan comandos, entregan shells inversas o algo peor.

TP-Link ha lanzado actualizaciones urgentes de firmware para sus routers Archer BE230 Wi-Fi 7 con el fin de solucionar múltiples fallos de seguridad de alta gravedad. Estas vulnerabilidades podrían permitir a atacantes autenticados ejecutar comandos arbitrarios del sistema operativo (OS), lo que les otorgaría control administrativo completo sobre el dispositivo.

El equipo de desarrollo ha emitido actualizaciones de seguridad urgentes para corregir seis vulnerabilidades críticas que afectan a múltiples versiones del popular framework web Python. Los fallos, que incluyen tres vulnerabilidades de inyección SQL de alta gravedad y múltiples vectores de denegación de servicio (DoS), impactan en las versiones 4.2, 5.2, 6.0 de Django y en la rama principal de desarrollo. 

Una alerta de seguridad crítica ha sido publicada sobre una vulnerabilidad de inyección de comandos que afecta al router Archer MR600 v5 de TP-Link. La falla, identificada como CVE-2025-14756, permite a atacantes autenticados ejecutar comandos arbitrarios del sistema a través de la interfaz de administración del dispositivo, lo que podría derivar en un compromiso total del router. La vulnerabilidad reside en el componente de la interfaz de administración del Archer MR600 v5 [.

Una vulnerabilidad de inyección de comandos en la extensión Spring CLI para VSCode representa un riesgo de seguridad para los desarrolladores que aún utilizan esta herramienta obsoleta. La falla, registrada como CVE-2026-22718, permite a los atacantes ejecutar comandos arbitrarios en las máquinas afectadas, lo que resulta en un impacto de gravedad media. La vulnerabilidad afecta a la extensión Spring CLI VSCode versión 0.9.0 y anteriores. 

SAP publicó 17 nuevas notas de seguridad el 13 de enero de 2026, como parte de su Security Patch Day mensual, abordando fallos críticos de inyección y vulnerabilidades de ejecución remota de código en productos clave. No se actualizaron notas anteriores, lo que insta a las organizaciones a actuar con rapidez ante las cuatro vulnerabilidades

El Centro de Respuesta a Emergencias de Seguridad de AhnLab (ASEC) ha informado sobre el uso indebido de mavinject.exe, una utilidad legítima de Microsoft, por parte de cibercriminales para inyectar cargas útiles de DLL maliciosas en procesos legítimos. Esta técnica permite a los atacantes eludir las medidas de seguridad y ocultar sus actividades maliciosas.

 Es fácil engañar a los grandes modelos de lenguaje (LLM, por sus siglas en inglés) que hacen funcionar a chatbots como ChatGPT de OpenAI y Bard de Google. En un experimento realizado en febrero, unos investigadores de seguridad forzaron a Bing de Microsoft a comportarse como un estafador. Las instrucciones ocultas en una página web creada por el equipo ordenaban al chatbot que solicitara a quien lo usaba los datos de su cuenta bancaria. Este tipo de ataque, en el que la información encubierta obliga al sistema de inteligencia artificial (IA) a comportarse de forma no deseada, es solo el principio.