Desde julio de 2025, un grupo criminal ha infectado 953 tiendas online utilizando JavaScript malicioso. La mayoría de las víctimas utilizan Magento, una plataforma popular para el comercio electrónico. La campaña sigue activa y los atacantes cambian de dominio web cada pocos meses para evadir la detección.

TypeScript es una herramienta esencial que permite mantener el control del código en proyectos grandes, superando las limitaciones de JavaScript en aplicaciones extensas.

Se detectó PhantomRaven, un malware basado en JavaScript distribuido mediante paquetes maliciosos en npm para robar credenciales y secretos de CI/CD. CrowdStrike indica que el código fue probablemente generado con inteligencia artificial y que el atacante lo usa para encontrar vulnerabilidades y reclamar recompensas de bug bounty. El actor ha estado activo desde 2022, afectando a diversos sectores tecnológicos y comerciales.

Una grave brecha de seguridad en Manchester Airports Group, donde claves API expuestas durante cuatro años permitieron el robo de datos de 8.8 millones de clientes. El investigador Scott Helme sostiene que no hubo hackeo sofisticado, sino una negligencia técnica masiva.

Se ha detectado una vulnerabilidad crítica de cross-site scripting (XSS) en la popular librería MapLibre GL JS (versiones 6.4.0 y anteriores), identificada como CVE-2026-85061. Este fallo podría exponer a aproximadamente 2,7 millones de usuarios a ataques de "clic cero" (zero-click), afectando a diversas aplicaciones y sitios web que utilizan esta herramienta de mapeo de código abierto.

Se ha detectado un fallo de seguridad crítico en la biblioteca de sandboxing de Node.js, isolated-vm, que podría permitir que JavaScript no confiable escape de su entorno aislado (V8) y secuestre la ejecución en el proceso anfitrión. Este problema afecta a las versiones anteriores a la 7.0.1 y 6.2.0, y los desarrolladores ya han lanzado las correcciones correspondientes el 8 de agosto de 2026.

Cuatro paquetes de npm del espacio de nombres @asyncapi fueron comprometidos para distribuir la botnet Miasma mediante un ataque a la cadena de suministro. El código malicioso se activa al cargar los módulos y descarga la carga útil desde IPFS, permitiendo el robo de credenciales y persistencia en el sistema. El atacante logró publicar estas versiones usando el flujo de trabajo legítimo de GitHub Actions, aunque los paquetes ya han sido eliminados del registro.

Se ha detectado un ataque de cadena de suministro en el paquete npm jscrambler, una herramienta de protección de código JavaScript con más de 15.800 descargas semanales. El equipo de Socket Research identificó que versiones maliciosas instalaban silenciosamente malware nativo en sistemas Windows, macOS y Linux, siendo la primera versión comprometida la 8.14.0, detectada el 11 de julio de 2026.

Se ha detectado una nueva oleada de ataques de cadena de suministro dirigida a desarrolladores, denominada PolinRider. Esta campaña, vinculada a amenazas de Corea del Norte, consiste en ocultar cargadores de JavaScript malicioso dentro de repositorios de código abierto confiables para infectar a quienes los ejecuten.

Se ha detectado que la extensión Adblock for YouTube para Chrome, con más de 10 millones de usuarios, posee la capacidad de ejecutar código JavaScript arbitrario de forma remota. Aunque no hay evidencia de ataques actuales, esta vulnerabilidad permitiría robar datos personales y acceder a cuentas sensibles sin necesidad de actualizar la extensión. El riesgo aumenta debido a que la herramienta tiene acceso a todos los sitios web visitados y vínculos con otros complementos eliminados por malware.

Un atacante manipuló archivos JavaScript de los plugins PushEngage, OptinMonster y TrustPulse para tomar el control de sitios de WordPress. Al detectar a un administrador conectado, el código creaba una cuenta de admin maliciosa e instalaba un plugin oculto para ejecutar comandos remotamente. Se recomienda a los usuarios realizar un escaneo directo del servidor y revisar el sistema de archivos para eliminar cuentas y carpetas sospechosas.

FROST es un ataque basado en JavaScript que permite a sitios web maliciosos rastrear aplicaciones y sitios visitados mediante la sincronización de la SSD y el uso del Origin Private File System (OPFS), sin requerir permisos ni código nativo.

Investigadores austríacos descubrieron el ataque FROST, que permite a sitios maliciosos espiar qué aplicaciones y páginas web usa un usuario midiendo la latencia del SSD a través de una API del navegador. Este método no requiere permisos ni interacción del usuario y funciona entre diferentes navegadores. A pesar del riesgo, Google, Apple y Mozilla no han implementado correcciones inmediatas.

Ciberdelincuentes están explotando una vulnerabilidad crítica de inyección SQL en Ghost CMS para obtener claves de administrador e inyectar código JavaScript malicioso. Esta campaña ha comprometido a más de 700 sitios web, utilizando falsos CAPTCHAs para engañar a los usuarios y ejecutar ataques de ClickFix. El objetivo final es instalar software malicioso en Windows que permite el control remoto de las víctimas.

Un ataque masivo a la cadena de suministro ha afectado el ecosistema npm, comprometiendo cientos de paquetes de JavaScript vinculados a la librería de visualización de datos @antv. El incidente, ocurrido el 19 de mayo de 2026, consistió en la inyección de código malicioso en paquetes utilizados por millones de desarrolladores, incluyendo el popular echarts-for-react.

Se ha detectado una sofisticada campaña de malware a nivel global diseñada para robar criptomonedas. Los atacantes utilizan un cargador multietapa denominado CountLoader, el cual combina JavaScript, PowerShell y shellcode para desplegar un payload capaz de interceptar y redirigir las transacciones de los usuarios.

Se ha detectado un nuevo clon del malware Shai-Hulud en el paquete npm chalk-tempalte, además de otros tres paquetes maliciosos que roban credenciales, claves SSH y carteras de criptomonedas. Estas herramientas, creadas por un mismo usuario, pueden convertir los equipos infectados en botnets para ataques DDoS. Se recomienda desinstalar estos paquetes inmediatamente y rotar todas las claves de seguridad afectadas.

Se ha detectado una vulnerabilidad crítica en el plugin Funnel Builder para WordPress que permite a atacantes inyectar código JavaScript malicioso en las páginas de pago de WooCommerce. El objetivo es robar datos de tarjetas de crédito y direcciones de facturación mediante scripts disfrazados de Google Tag Manager. Se recomienda actualizar el plugin a la versión 3.15.0.3 y revisar los scripts externos configurados.

 Se ha detectado un nuevo ataque a la cadena de suministro en node-ipc, una biblioteca de comunicación entre procesos de JavaScript muy utilizada con más de 822,000 descargas semanales. Socket y Stepsecurity confirmaron que tres versiones recientes (node-ipc@9.1.6, node-ipc@9.2.3 y otras) contienen cargas útiles maliciosas, específicamente stealers y backdoors ofuscados. Este es el segundo compromiso grave de este paquete desde 2022.

Se ha descubierto una falla de seguridad crítica en SandboxJS, una biblioteca de aislamiento de JavaScript muy utilizada en npm. Esta vulnerabilidad, identificada como CVE-2026-43898, permite a los atacantes evadir el sandbox y ejecutar código arbitrario directamente en el sistema anfitrión, alcanzando una puntuación de gravedad máxima de 10.0.