Una vulnerabilidad crítica de inyección SQL previa a la autenticación en LiteLLM, una popular puerta de enlace de IA de código abierto con más de 22.000 estrellas en GitHub, está siendo explotada activamente en la naturaleza. Registrada como CVE-2026-42208, esta grave falla permite a atacantes no autorizados extraer credenciales altamente sensibles de proveedores de nube e IA directamente desde la base de datos PostgreSQL de la plataforma. LiteLLM funciona como un punto central

Atlassian ha revelado dos importantes vulnerabilidades de seguridad que afectan a su producto Bamboo Data Center y Server, incluyendo una falla crítica de inyección de comandos en el sistema operativo y un problema de denegación de servicio de alta gravedad vinculado a una dependencia de terceros. Las organizaciones que utilizan versiones afectadas son instadas con urgencia a aplicar los parches de inmediato. Falla crítica de inyección de comandos (CVE-2026-21571) 

PHP Composer lanzó actualizaciones de seguridad urgentes para abordar dos vulnerabilidades críticas de inyección de comandos. PHP Composer es una herramienta esencial de gestión de dependencias utilizada globalmente por desarrolladores, lo que hace que cualquier fallo de ejecución de código sea altamente preocupante. Estos errores específicos residen en el controlador del Sistema de Control de Versiones Perforce (VCS) y permiten a los atacantes ejecutar comandos arbitrarios en la máquina de una víctima.

La inteligencia artificial está cambiando la forma en que las personas navegan por internet. Los navegadores impulsados por IA ya no solo muestran páginas web: leen contenido, realizan acciones y completan tareas para el usuario. Estas herramientas, llamadas navegadores con LLM autónomos, permiten a los usuarios dar comandos simples como "agenda una reunión" o "resume mis correos", y el navegador se encarga del resto. 

Una vulnerabilidad crítica en AVideo, una plataforma de alojamiento y transmisión de vídeo de código abierto ampliamente utilizada. Registrada como CVE-2026-29058, esta falla de cero clics tiene una gravedad máxima, permitiendo a atacantes no autenticados ejecutar comandos arbitrarios del sistema operativo en el servidor objetivo. Descubierta por el investigador de seguridad Arkmarta, la vulnerabilidad afecta específicamente a la versión 6.0 de AVideo. 

Una vulnerabilidad crítica impulsada por IA en GitHub Codespaces, denominada RoguePilot, permitió a los atacantes secuestrar silenciosamente un repositorio al incrustar instrucciones maliciosas dentro de un Issue de GitHub. La falla, descubierta por investigadores del Orca Research Pod, explota la integración fluida entre GitHub Issues y el agente de IA Copilot dentro de Codespaces, sin requerir interacción directa del atacante 

Se ha descubierto una vulnerabilidad crítica en la solución de transferencia de archivos de Soliton Systems K.K., que podría permitir a los atacantes ejecutar comandos arbitrarios del sistema en instalaciones afectadas. El problema, registrado como CVE-2026-25108, ha sido evaluado con una puntuación base de CVSS v3.0 de 8.8, lo que indica una grave falla de inyección de comandos. La vulnerabilidad proviene de un fallo de inyección de comandos del sistema operativo (CWE-78) 

Un implante de hardware de $44 disfrazado como un ratón de computadora común. Este dispositivo actúa como un inyector de pulsaciones de teclas encubierto, similar al Hak5 Rubber Ducky, pero aprovecha el factor de forma inocuo de un ratón para eludir la capacitación básica de concienciación del usuario. Conéctalo y ejecutará de forma autónoma cargas útiles que ejecutan comandos, entregan shells inversas o algo peor.

TP-Link ha lanzado actualizaciones urgentes de firmware para sus routers Archer BE230 Wi-Fi 7 con el fin de solucionar múltiples fallos de seguridad de alta gravedad. Estas vulnerabilidades podrían permitir a atacantes autenticados ejecutar comandos arbitrarios del sistema operativo (OS), lo que les otorgaría control administrativo completo sobre el dispositivo.

El equipo de desarrollo ha emitido actualizaciones de seguridad urgentes para corregir seis vulnerabilidades críticas que afectan a múltiples versiones del popular framework web Python. Los fallos, que incluyen tres vulnerabilidades de inyección SQL de alta gravedad y múltiples vectores de denegación de servicio (DoS), impactan en las versiones 4.2, 5.2, 6.0 de Django y en la rama principal de desarrollo. 

Una alerta de seguridad crítica ha sido publicada sobre una vulnerabilidad de inyección de comandos que afecta al router Archer MR600 v5 de TP-Link. La falla, identificada como CVE-2025-14756, permite a atacantes autenticados ejecutar comandos arbitrarios del sistema a través de la interfaz de administración del dispositivo, lo que podría derivar en un compromiso total del router. La vulnerabilidad reside en el componente de la interfaz de administración del Archer MR600 v5 [.

Una vulnerabilidad de inyección de comandos en la extensión Spring CLI para VSCode representa un riesgo de seguridad para los desarrolladores que aún utilizan esta herramienta obsoleta. La falla, registrada como CVE-2026-22718, permite a los atacantes ejecutar comandos arbitrarios en las máquinas afectadas, lo que resulta en un impacto de gravedad media. La vulnerabilidad afecta a la extensión Spring CLI VSCode versión 0.9.0 y anteriores. 

SAP publicó 17 nuevas notas de seguridad el 13 de enero de 2026, como parte de su Security Patch Day mensual, abordando fallos críticos de inyección y vulnerabilidades de ejecución remota de código en productos clave. No se actualizaron notas anteriores, lo que insta a las organizaciones a actuar con rapidez ante las cuatro vulnerabilidades