Microsoft lanzó actualizaciones de seguridad fuera de banda (OOB) para corregir una vulnerabilidad crítica (CVE-2026-40372) en ASP.NET Core Data Protection que permite a atacantes no autenticados obtener privilegios de SYSTEM mediante la falsificación de cookies de autenticación. Los usuarios deben actualizar a la versión 10.0.7 del paquete Microsoft.AspNetCore.DataProtection y rotar el llavero de DataProtection para mitigar riesgos.

PhantomRPC, una vulnerabilidad arquitectónica recién identificada en el sistema de Llamada a Procedimiento Remoto (RPC) de Windows, permite la escalada de privilegios locales hasta acceder al nivel SYSTEM. Esta falla podría afectar a todas las versiones de Windows. La investigación fue presentada por el especialista en seguridad de aplicaciones de Kaspersky, Haidar Kabibo, en Black Hat Asia 2026 el 24 de abril, y detalla cinco rutas distintas de explotación, ninguna de las cuales ha sido revelada en su totalidad.

Más de 400.000 sitios web están en riesgo debido a que hackers explotan una vulnerabilidad en el plugin Breeze Cache (CVE-2026-3844).

Los atacantes están aprovechando un fallo en Breeze Cache (CVE-2026-3844) para subir archivos sin necesidad de iniciar sesión. Investigadores de Wordfence han detectado más de 170 ataques. Los actores maliciosos están explotando una vulnerabilidad crítica, registrada como CVE-2026-3844 (con una puntuación CVSS de 9.8), en el plugin de WordPress Breeze Cache, lo que les permite subir archivos a un servidor sin autenticación.

Se ha descubierto una vulnerabilidad crítica y sin parchear en Ollama, una plataforma de código abierto ampliamente utilizada para ejecutar modelos de lenguaje grandes (LLM) de forma local. Registrada como CVE-2026-5757, esta grave fuga de memoria permite a atacantes remotos no autenticados extraer datos sensibles directamente del heap de un servidor. Fue descubierta por el investigador de seguridad Jeremy Brown mediante investigación de vulnerabilidades asistida por IA y revelada públicamente en abril.

Una investigación importante ha revelado que actores de amenazas sofisticados están explotando vulnerabilidades fundamentales en las redes móviles globales para rastrear usuarios en todo el mundo. Al abusar de los protocolos de señalización heredados SS7 (3G) y Diameter (4G), los hackers logran eludir los firewalls de las telecomunicaciones para llevar a cabo espionaje silencioso y transfronterizo. 

Apple lanza una actualización urgente (iOS 26.4.2 y iPadOS 26.4.2) para corregir el fallo grave CVE-2026-28950, que podía comprometer la privacidad de los usuarios de iPhone.

Apple lanzó iOS 26.4.2 y iPadOS 26.4.2 el 22 de abril de 2026 para corregir una vulnerabilidad crítica de privacidad en notificaciones que permitía a las fuerzas del orden extraer el contenido de mensajes de Signal desde iPhones, incluso después de que la aplicación hubiera sido eliminada. La falla, identificada como CVE-2026-28950, se origina en un problema de registro en los servicios de notificaciones de Apple. 

Microsoft ha lanzado una actualización fuera de banda para solucionar CVE-2026-40372, un fallo crítico en ASP.NET Core Data Protection que puede permitir la falsificación de cookies y tokens por una regresión criptográfica. La respuesta recomendada es actualizar a .NET 10.0.7, redeplegar, y valorar rotación del key ring e invalidación de tokens si hubo exposición durante la ventana vulnerable.

La IA Claude Mythos de Anthropic identificó 271 vulnerabilidades ocultas en una versión de prueba de Mozilla Firefox, demostrando un avance sin precedentes en análisis de seguridad automatizado.

Investigadores descubren una vulnerabilidad crítica en el Protocolo de Contexto de Modelo (MCP) de Anthropic que permite ejecución remota de código (RCE), afectando a más de 7.000 servidores y 150 millones de descargas de SDKs en Python, TypeScript, Java y Rust. El fallo, derivado de una configuración predeterminada insegura en STDIO, expone datos confidenciales y ha generado 10 CVE en proyectos como LiteLLM, LangChain y Flowise. Anthropic se niega a corregirlo, alegando que el comportamiento es "previsible", mientras expertos advierten sobre riesgos en la cadena de suministro de IA.

Un fallo crítico en Cohere AI Terrarium (CVE-2026-5752, CVSS 9.3) permite saltarse el sandbox y ejecutar código como root, afectando despliegues con código no confiable y exponiendo el proceso host de Node.js.

Atlassian ha revelado dos importantes vulnerabilidades de seguridad que afectan a su producto Bamboo Data Center y Server, incluyendo una falla crítica de inyección de comandos en el sistema operativo y un problema de denegación de servicio de alta gravedad vinculado a una dependencia de terceros. Las organizaciones que utilizan versiones afectadas son instadas con urgencia a aplicar los parches de inmediato. Falla crítica de inyección de comandos (CVE-2026-21571) 

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha emitido una advertencia crítica sobre graves vulnerabilidades en los sistemas de jardines inteligentes Gardyn Home Kit. Con una puntuación máxima de gravedad de 9.3 sobre 10, estas fallas podrían permitir a atacantes no autenticados secuestrar dispositivos agrícolas inteligentes desde ubicaciones remotas por completo. 

CrowdStrike ha emitido un aviso de seguridad urgente sobre una vulnerabilidad crítica de recorrido de ruta sin autenticación (CVE-2026-40050) que afecta a su plataforma LogScale. La compañía advierte que un atacante remoto podría explotar esta falla para leer archivos arbitrarios directamente desde el sistema de archivos del servidor sin necesidad de autenticación. La vulnerabilidad reside en un punto final específico de la API de clúster dentro de CrowdStrike LogScale. 

Microsoft ha emitido una actualización de seguridad de emergencia fuera de banda (OOB) para .NET 10, lanzando la versión 10.0.7 el 21 de abril de 2026, para solucionar una vulnerabilidad crítica de elevación de privilegios descubierta en el paquete NuGet Microsoft.AspNetCore.DataProtection. El lanzamiento fuera de banda se produjo después de que los clientes comenzaran a reportar fallos de descifrado en sus aplicaciones ASP.NET Core tras el Patch Tuesday estándar de .NET