El grupo Storm-3168 llevó a cabo un ataque destructivo contra un entorno de Azure en tan solo siete minutos, utilizando identidades de nube comprometidas. Esta operación demuestra cómo el robo de credenciales de una aplicación puede otorgar a un intruso un control total sobre los datos, los servicios y las protecciones de recuperación, evidenciando la creciente amenaza de los ataques automatizados en la nube. Esta actividad ha sido vinculada al agente JADEPUFFER.

El malware de tipo infostealer está permitiendo que los criminales accedan a entornos corporativos en la nube de forma más discreta. En lugar de intentar vulnerar el perímetro de seguridad, infectan los dispositivos de empleados o desarrolladores para robar credenciales, claves API y sesiones activas que ya cuentan con la confianza de la organización. Estas infecciones iniciales suelen ocurrir a través de phishing, descargas engañosas o paquetes maliciosos.

AWS ha revelado un fallo de autorización de gravedad alta en su aplicación Amazon Connect Salesforce Lambda. Esta vulnerabilidad, identificada como CVE-2026-94384, afecta a las versiones 5.15 hasta la 5.24.16 de la función sfExecuteAWSService, permitiendo que atacantes realicen acciones privilegiadas en la nube que superan los permisos asignados en sus políticas de IAM.

La empresa china Z.ai se disculpó tras descubrirse que su herramienta ZCode subía espacios de trabajo de usuarios a la nube de Alibaba sin consentimiento ni aviso. Los datos fueron cifrados con claves controladas únicamente por la empresa, impidiendo que los usuarios accedieran o borraran sus archivos. Z.ai afirma haber eliminado la información, removido la función causante y abierto el código del proyecto en GitHub para mayor transparencia.

Amazon Web Services (AWS) es capaz de pasar de la detección a la contención en cuestión de segundos cuando una clave de acceso de Identity and Access Management (IAM) se publica en un repositorio público de GitHub. En una prueba de exposición controlada realizada por Unit 42, AWS aplicó su política gestionada AWSCompromisedKeyQuarantineV3 al usuario afectado tan solo 10 segundos después de que los investigadores publicaran la credencial, reduciendo drásticamente la ventana de riesgo.

Investigadores descubrieron DDRop, un ataque de hardware que vulnera la computación confidencial de Intel y AMD mediante un dispositivo económico llamado interposador. Este componente anula escrituras en la memoria DDR5, obligando al procesador a leer datos cifrados antiguos y permitiendo el acceso a memoria protegida. Al ser una falla de diseño físico, no existe un parche de software sencillo, aunque Intel y AMD consideran que el riesgo es bajo ya que requiere acceso físico al servidor.

Un grupo está llevando a cabo una campaña de escaneo automatizado a gran escala contra servidores de desarrollo Vite expuestos a internet. El objetivo es robar credenciales de AWS, tokens de acceso de Azure, variables de entorno y secretos de Infraestructura como Código (IaC). Según los sensores de honeypot de F5, se registró un aumento drástico en agosto de 2026, con aproximadamente 32,000 eventos, superando significativamente la actividad observada en meses anteriores.

Se ha detectado una vulnerabilidad crítica (CVE-2026-89049) en el AWS Systems Manager Agent que permite a atacantes autenticados evadir las restricciones de redireccionamiento de puertos. Esto podría dar acceso a servicios locales sensibles, incluyendo el Amazon EC2 Instance Metadata Service. El fallo afecta a versiones anteriores a la 3.3.4851.0, por lo que se recomienda actualizar a la versión 3.3.4851.0 para solucionar el problema.

Datadog Security Research ha detectado una campaña de password-spraying dirigida a las cuentas root de AWS en más de 150 organizaciones entre julio y agosto de 2026. Los atacantes realizaron múltiples intentos fallidos de inicio de sesión contra identidades con privilegios elevados, centrándose en el usuario root, el cual posee acceso irrestricto a todos los recursos de la nube.