Se ha detectado una vulnerabilidad crítica en el plugin de WordPress Kirki (versiones 6.0.0 a 6.0.6), identificada como CVE-2026-8206 con una puntuación de riesgo de 9.8. Este fallo expone a más de 500,000 sitios web a posibles ataques de toma de control de cuentas, estimándose que aproximadamente 150,000 sitios son activamente vulnerables.

Se han descubierto cinco vulnerabilidades de día cero en OpenClaw, una herramienta que integra agentes de IA en plataformas como Slack, Discord, Microsoft Teams, Matrix y Telegram. Estos fallos permitían a los atacantes evadir los límites de confianza y secuestrar el acceso a los agentes de IA, comprometiendo el modelo de listas de permitidos definido por los usuarios.

El investigador Ammar Askar filtró una vulnerabilidad en Visual Studio Code que permite robar tokens de OAuth de GitHub mediante extensiones maliciosas en github.dev. El fallo utiliza archivos de Jupyter Notebook para engañar al sistema y saltarse las alertas de instalación. Askar decidió hacer la revelación pública debido a sus malas experiencias previas con el centro de respuesta de seguridad de Microsoft.

Un investigador reveló una vulnerabilidad "zero-day" en Visual Studio Code que permite robar tokens de autenticación de GitHub mediante enlaces maliciosos. El fallo permite instalar extensiones que acceden a todos los repositorios privados de la víctima a través de github.dev. Mientras llega un parche oficial, se recomienda a los usuarios borrar las cookies y los datos del sitio de github.dev para protegerse.

Google lanzó los parches de seguridad de Android de junio de 2026 para corregir 124 vulnerabilidades, incluyendo 18 críticas. Destaca un fallo de "día cero" (CVE-2025-48595) que ya está siendo explotado en ataques dirigidos para escalar privilegios en dispositivos con Android 14 o superior. La empresa insta a todos los usuarios a actualizar sus dispositivos lo antes posible para mitigar estos riesgos.

Los atacantes están explotando activamente errores de configuración en entornos de Docker y Kubernetes para evadir el aislamiento de los contenedores y tomar el control total de los sistemas host subyacentes. Esta amenaza ha evolucionado hacia operaciones complejas de varias etapas que permiten comprometer la infraestructura completa más allá de un único contenedor.

Un fallo crítico de lógica en el chatbot de soporte con IA de Instagram permitió a los atacantes evadir completamente la autenticación de dos factores. En lugar de descifrar códigos, los hackers simplemente solicitaron al bot que les otorgara el acceso. Durante el fin de semana, se robaron en cuestión de minutos perfiles verificados, cuentas institucionales inactivas y nombres de usuario de alto valor (OG), los cuales ya están siendo listados para su reventa.

Se ha identificado una falla crítica de autenticación en la aplicación de escritorio de StrongDM (CVE-2026-4387) que permite a los atacantes secuestrar sesiones de usuario mediante la reutilización de material de autenticación almacenado localmente. Este fallo, descubierto por SpecterOps, podría exponer infraestructura empresarial sensible y ya ha sido corregido en la versión 23.74.0 de StrongDM Desktop y la versión 53.77.0 de su CLI.

Se ha revelado una vulnerabilidad de gravedad alta (CVE-2026-5509) que afecta a los modelos de routers TP-Link Archer BE450 v1 y Archer BE7200 v1. Este fallo, con una puntuación de 8.5 en la escala CVSS v4.0, podría permitir que atacantes ejecuten comandos arbitrarios del sistema y comprometan totalmente los dispositivos afectados.

Se ha detectado una vulnerabilidad crítica (CVE-2026-41089) en el servicio Netlogon de Windows Server que permite a atacantes obtener privilegios de sistema mediante un paquete UDP malformado. El fallo afecta a controladores de dominio desde la versión 2012 hasta la actual y ya está siendo explotado activamente. Se recomienda a los administradores aplicar urgentemente los parches de Microsoft para evitar el acceso total a la red y posibles denegaciones de servicio.

Palo Alto insta a sus clientes a corregir una vulnerabilidad en PAN-OS (CVE-2026-0257) que permite saltarse la autenticación de GlobalProtect y acceder a redes VPN sin credenciales. Aunque inicialmente se calificó como de severidad media, Rapid7 confirmó que ya existen ataques exitosos mediante la falsificación de cookies. Debido a esto, la falla fue incluida en el catálogo de CISA y se urge a las organizaciones a aplicar los parches disponibles inmediatamente.

Dashlane informó que un ataque de fuerza bruta permitió descargar las bóvedas cifradas de menos de 20 usuarios con planes personales. El atacante intentó vulnerar la autenticación de dos pasos para registrar nuevos dispositivos, aunque la mayoría de las cuentas fueron suspendidas preventivamente. La empresa aclara que los datos siguen protegidos por la contraseña maestra y recomienda a los usuarios revisar sus dispositivos registrados.