Cyberdione Labs descubrió 11 vulnerabilidades críticas en Tailscale y Headscale que podrían permitir el robo de credenciales y la obtención de privilegios de root. El equipo de Tailscale ha confirmado que los fallos son graves y está trabajando en parches urgentes para solucionarlos. Mientras tanto, recomiendan revisar las políticas de acceso SSH y desactivar el reenvío (forwarding) si no es necesario.

Se ha detectado una campaña de ataques contra firewalls y sistemas VPN expuestos a Internet, específicamente dirigidos a dispositivos FortiGate y FortiWeb de Fortinet, así como a portales GlobalProtect de Palo Alto Networks. El objetivo de los atacantes es robar credenciales y obtener un acceso permanente a las redes corporativas, utilizando contraseñas almacenadas en las configuraciones de los dispositivos para desplazarse dentro de la red.

 CISA y otras agencias internacionales advierten que el grupo de ransomware SafePay ha vulnerado a más de 600 organizaciones de infraestructura crítica desde agosto de 2024. Los atacantes acceden mediante credenciales robadas, fuerza bruta y vulnerabilidades en VPNs, utilizando tácticas de doble extorsión. Se recomienda implementar autenticación multifactor (MFA), mantener los sistemas actualizados y evitar el pago de rescates.

Atacantes encadenaron tres vulnerabilidades de día cero en los dispositivos VPN de Ivanti Connect Secure para obtener acceso de nivel raíz sin necesidad de iniciar sesión. Tras el acceso, buscaron credenciales y datos sensibles de Active Directory. Esta actividad, iniciada el 3 de octubre de 2026, afectó a un dispositivo totalmente actualizado, demostrando que mantener el software al día no fue suficiente para evitar el ataque.

SonicWall ha lanzado correcciones urgentes para una vulnerabilidad crítica de SSRF (CVE-2026-102255) que afecta a ciertos modelos de la serie SMA1000. Este fallo permitiría a atacantes remotos no autenticados realizar operaciones no autorizadas en la red interna. Aunque no hay evidencia de que se esté explotando actualmente, la empresa insta a los usuarios a actualizar sus equipos debido al historial de ataques contra estos dispositivos.

Un grupo llevó a cabo la Operación Master entre abril y mediados de septiembre de 2026, infiltrándose en redes empresariales mediante la vulneración de inicios de sesión de VPN y ataques a aplicaciones web. Tras robar registros de clientes, utilizaron dicha información para enviar 2,4 millones de facturas falsas, dirigidas principalmente a usuarios en Brasil.

Opera ahora activa su VPN automáticamente al conectarse a redes Wi-Fi públicas para mejorar la seguridad del usuario sin necesidad de activarla manualmente.

Disney+ actualizará sus reglas y podrá bloquear cuentas o suspender la reproducción si detecta el uso de bloqueadores de anuncios, VPN o accesos no permitidos.

La Agencia Digital de Japón ha confirmado una importante filtración de datos que afecta al Government Solution Service (GSS), una plataforma de TI compartida por diversos ministerios y organismos gubernamentales. El incidente ocurrió después de que unos atacantes aprovecharan una vulnerabilidad en un dispositivo VPN para acceder a servidores internos, comprometiendo aproximadamente 246.000 registros personales.

La Agencia Digital de Japón sufrió una filtración de datos que expuso información personal de unos 246,000 empleados gubernamentales y colaboradores debido a una vulnerabilidad en un dispositivo VPN. El ataque no afectó los datos del público general ni incluyó información bancaria o números de identificación críticos. La agencia ya tomó medidas de seguridad y advirtió a los afectados sobre posibles riesgos de phishing.

Investigadores han descubierto un servidor de preparación controlado por atacantes que contiene pruebas de una intrusión masiva contra 3BB, la marca de consumo de Triple T Broadband en Tailandia. La operación se originó mediante la explotación de una vulnerabilidad crítica en SSL-VPN de FortiGate, lo que permitió a los atacantes escalar privilegios, robar credenciales, realizar reconocimiento interno, moverse lateralmente y establecer un acceso remoto persistente.

Check Point Software ha corregido dos vulnerabilidades críticas relacionadas con sus VPN, identificadas como CVE-2026-85102 y CVE-2026-85103. Ambas fallas presentan una puntuación máxima de CVSS de 9.8 y podrían permitir la ejecución remota de código (RCE) sin autenticación bajo condiciones específicas. Estas vulnerabilidades fueron descubiertas por el propio equipo de investigación de Check Point, quienes informaron que no hay evidencia de que hayan sido explotadas activamente.

SonicWall ha advertido sobre la explotación activa de dos vulnerabilidades "zero-day" en los dispositivos SMA1000, que permiten la ejecución remota de código. Los atacantes combinan fallos de inyección de comandos y SSRF para tomar control de los equipos, afectando especialmente a modelos utilizados por grandes empresas y gobiernos. La compañía insta a todos los usuarios a instalar urgentemente el parche de seguridad (hotfix) disponible.

El proyecto OpenVPN ha lanzado la versión 2.7.7, una actualización centrada en la seguridad que corrige siete vulnerabilidades. Estas fallas afectan tanto a la capa de fiabilidad del núcleo del software como a sus componentes de servicio específicos para Windows. La actualización, publicada el 3 de septiembre de 2026, soluciona problemas que incluyen condiciones de denegación de servicio (DoS), lecturas excesivas de búfer y omisiones de configuración que podrían permitir a atacantes ejecutar configuraciones de VPN no autorizadas.

Un investigador de seguridad ha revelado cinco vulnerabilidades que reportó responsablemente a Palo Alto Networks. Estos fallos afectan a GlobalProtect, el agente de endpoint y VPN utilizado en miles de redes empresariales en todo el mundo. Esta divulgación ha reavivado el debate sobre la gestión de los informes de vulnerabilidades por parte de los proveedores, incluso cuando los investigadores siguen las normas de divulgación coordinada.

Cientos de extensiones de Chrome que se anunciaban como herramientas gratuitas de VPN o proxy han sido vinculadas a una operación masiva de redirección de tráfico. Aunque prometían privacidad y acceso a servicios bloqueados, su código enviaba las sesiones del navegador a través de servidores proxy SOCKS5 controlados por los atacantes. La magnitud del hallazgo es alarmante, ya que los investigadores identificaron un total de 737 extensiones implicadas en esta actividad.

Se detectaron 737 extensiones de VPN fraudulentas en Chrome que suplantan marcas conocidas para interceptar el tráfico de usuarios, principalmente rusos. Estas herramientas redirigen la navegación a través de servidores controlados por atacantes para espiar datos personales. Además, se reportó el regreso de una extensión de IA que, tras ser eliminada, volvió a aparecer con esquemas de monetización engañosos.

Un ataque al sector energético de Polonia ha demostrado cómo un dispositivo de acceso remoto comprometido puede ser la puerta de entrada para una intrusión industrial a gran escala. El 29 de diciembre de 2025, una campaña maliciosa logró saltar desde la red de un parque eólico hacia una central termoeléctrica, aprovechando las conexiones confiables para causar interrupciones. Este incidente formó parte de una serie de ataques destructivos coordinados contra más 30 instalaciones de energía renovable.

Los dispositivos SonicWall Secure Mobile Access (SMA) expuestos a internet enfrentan una amenaza grave debido a que atacantes han combinado dos fallos de seguridad para obtener el control total de la puerta de enlace VPN. Esta campaña permite a un agente externo pasar de una simple solicitud web a un acceso de nivel raíz (root) sin necesidad de contraseñas, sesiones ni interacción del usuario. Se ha detectado que esta actividad comenzó incluso antes de que las vulnerabilidades fueran reveladas públicamente.

A mediados de 2026, se ha detectado que la vector de acceso inicial dominante para los operadores de ransomware es una serie de ataques coordinados contra dispositivos de VPN y firewalls de cuatro proveedores principales: Palo Alto Networks, Fortinet, Citrix y Check Point. Actores de amenazas, incluidos afiliados de la operación RaaS Qilin, están combinando fallos de omisión de autenticación, campañas de robo de credenciales y debilidades en protocolos heredados para vulnerar las redes corporativas.