Cursor ha rastreado su brecha de seguridad de octubre hasta una clave de acceso expuesta por Fireworks AI. El atacante utilizó dicha clave para robar registros históricos de agentes de codificación, obtener más credenciales y, finalmente, colocar extensiones de Claude Code con puertas traseras (backdoors) en el caché del mercado de Cursor. La actualización del 13 de noviembre vincula la exposición del proveedor con los paquetes maliciosos descubiertos en octubre.

El malware Remus permite acceder a Gmail incluso tras cambiar la contraseña, demostrando la evolución de las amenazas digitales.

La empresa Enea identificó a SilentAir, un grupo de espionaje probablemente estatal vinculado a China, que hackeó equipos de operadores móviles en Asia para interceptar llamadas y mensajes, principalmente en Taiwán. Los atacantes manipularon protocolos de red para desviar tráfico y robar códigos de autenticación de dos factores de figuras políticas y gubernamentales. Aunque la actividad fue interrumpida, se recomienda a los operadores reforzar sus firewalls y desconfiar de la red IPX.

Check Point lanzó parches de emergencia para corregir la vulnerabilidad CVE-2026-123039, la cual permite a atacantes obtener privilegios de root en diversos dispositivos de seguridad. Se ha detectado que hackers utilizan este fallo, junto con otros, para instalar malware y desplegar wipers destructivos en servidores VMware ESXi. La empresa insta a los clientes a aplicar las actualizaciones inmediatamente o detener el proceso `dynamic_server` como medida temporal.

Un actor de amenazas desconocido explotó vulnerabilidades en gateways de Check Point para obtener acceso inicial y escalar privilegios mediante el fallo CVE-2026-123039. Los atacantes desplegaron el backdoor TSGA y, en algunos casos, utilizaron el malware wiper destroy_v6 para borrar datos en hosts VMware ESXi. Aunque se vinculan herramientas con grupos alineados a China, el uso de contenido político sugiere una posible operación de bandera falsa.

El ransomware Beast cuenta con un panel de control oculto. Al presionar ALT+CTRL y escribir 666 en una máquina Windows infectada, el atacante accede a una interfaz gráfica que le permite seleccionar qué archivos cifrar. A diferencia de la mayoría de los ransomware que operan mediante líneas de comandos, esta función otorga a los criminales un control mucho más directo y manual durante la infección.

Europol y agencias de nueve países desmantelaron la infraestructura de los malware Gootloader, CastleRAT y StealC, incautando 235 servidores y 257 dominios. Esta acción, parte de la "Operación Endgame", permitió recuperar datos de 6.4 millones de víctimas que eran utilizados para ataques de ransomware. Las autoridades instan a los usuarios, especialmente de WordPress, a actualizar sus credenciales y activar la autenticación de doble factor.

Un nuevo malware permite a ciberdelincuentes mantener el acceso a cuentas de Gmail incluso después de cambiar la contraseña.

Europol y sus socios internacionales han desmantelado una infraestructura vinculada a los malwares Gootloader, CastleRAT y StealC, los cuales facilitan el robo de datos y ataques de ransomware. En la acción más reciente de la Operación Endgame, se neutralizaron 235 servidores y 257 dominios, logrando recuperar además 6,4 millones de conjuntos de datos de las víctimas. La operación estuvo enfocada en combatir el modelo de "cibercrimen como servicio".

Atacantes comprometieron paneles de ScreenConnect alojados en la nube para desplegar un kit de herramientas personalizado llamado SCKit. Esta acción afectó a al menos 288 dispositivos gestionados en 48 organizaciones diferentes. Según la firma de seguridad Huntress, el ataque ocurrió el 11 de noviembre de 2026 y todos los equipos fueron impactados en un lapso de aproximadamente 90 minutos.

Un atacante utilizó credenciales robadas de más de 4,800 cuentas de GitHub para implantar un software malicioso en miles de repositorios. El objetivo era robar secretos, tokens y credenciales de nube mediante los flujos de trabajo de CI, afectando a al menos 1,806 proyectos. Se recomienda tratar como comprometidos todos los secretos de los repositorios donde se detecten pull requests titulados docs: dependency audit notes.

Un nuevo grupo de ransomware llamado Citrus está utilizando las Directivas de Grupo de Windows (Group Policy) para propagar su malware a través de redes corporativas completas. Los atacantes abusan de esta herramienta de administración para convertirla en un sistema de entrega y, prioritariamente, para desactivar Microsoft Defender antes de ejecutar el ataque.

Ciberdelincuentes utilizan el ataque homógrafo sustituyendo letras latinas por cirílicas en dominios como apple.com para crear webs falsas que permitan robar credenciales o instalar malware.

Se han detectado marcos de trabajo de hacking y pruebas de penetración impulsados por IA ejecutándose en servidores accesibles desde internet, algunos de los cuales tienen sus consolas de gestión abiertas y sin autenticación. Según datos de Shodan del 7 de noviembre de 2026, se registraron miles de servicios activos, destacando las familias ARTEX, PentAGI y Agent Zero, las cuales conectan modelos de lenguaje con herramientas de seguridad.

Investigadores de ciberseguridad detectaron que la plataforma de IA AntiFox está siendo utilizada para robar credenciales de AWS y realizar intrusiones automatizadas. Estos agentes de IA permiten a los atacantes ejecutar reconocimientos, explotaciones y exfiltración de datos a una velocidad y escala mucho mayores que los métodos manuales. Esta tendencia refleja un aumento en el uso de herramientas autónomas que facilitan ataques complejos incluso para actores con pocos conocimientos técnicos.

Claude Code ha descubierto una técnica denominada Lazarus, capaz de convertir un modelo de IA en un agente durmiente modificando menos de 10 neuronas inactivas. Este método implanta una puerta trasera oculta en los pesos del modelo, permitiendo que un activador externo obligue a la IA a generar comandos para descargar y ejecutar código malicioso.

Fortinet ha alertado sobre una falla crítica en FortiClient (identificada como CVE-2026-121529) que permite la ejecución remota de código en el equipo de un usuario. Con una puntuación CVSS de 9.1, el atacante solo necesita que la víctima visite un sitio web malicioso para comprometer el sistema.

Se ha detectado un nuevo kit de hacking llamado GhostFrame, que permite a los cibercriminales controlar servidores VMware ESXi y sus máquinas virtuales desde un único panel. Este marco de trabajo fue descubierto por el grupo Insikt de Recorded Future mientras rastreaban a TAG-218, un grupo vinculado al ransomware Settra. Además, la herramienta tiene la capacidad de robar contraseñas de Windows.

Check Point Research identificó a CopperDragon, una entidad vinculada a China que suministra herramientas de ciberespionaje a través del ecosistema Sparrow. Esta operación se divide en tres grupos: SilentDelivery, OceanGate y DarkWire, los cuales atacan infraestructura crítica, gobiernos y telecomunicaciones en Asia, Europa y Latinoamérica. Utilizan técnicas avanzadas como ataques de watering hole, rootkits de kernel y túneles DNS para evadir detecciones y exfiltrar datos sensibles.

Investigadores descubrieron un ataque que explotó dos vulnerabilidades en AhsayCBS para ejecutar comandos y desplegar implantes de Python y mineros de criptomonedas. Los atacantes utilizaron diversas webshells y herramientas de acceso remoto para comprometer servidores de respaldo y robar credenciales críticas. Actualmente, Ahsay Backup ya ha lanzado los parches necesarios para corregir estas fallas de seguridad.