La conferencia h-c0n 2026 cumplió su sueño de lanzar un badge electrónico único con un CTF de hardware hacking diseñado por David Reguera (@therealdreg), Adrià Pérez (@b1n4ri0) y Antonio Vazquez, incluyendo firmware, herramientas y guías para análisis en RISC-V. Los ganadores fueron @mrexodia (1º), @M3RINOOOOO (2º) y @p4bl0vx (3º), destacando por enfoques técnicos en extracción de firmware, reverse engineering y explotación de fallos. El proyecto, de código abierto, refleja un escenario realista y educativo para la comunidad.

Investigadores de ETH Zurich han descubierto 25 vulnerabilidades graves en tres de los principales gestores de contraseñas basados en la nube: Bitwarden, LastPass y Dashlane. Estos fallos permiten a un servidor malicioso eludir las afirmaciones de cifrado de conocimiento cero, lo que posibilita el acceso no autorizado, la modificación y la recuperación de las contraseñas almacenadas y los datos de las bóvedas de los usuarios.

Una extensión maliciosa de Chrome que afirma ayudar a los usuarios de Meta Business roba silenciosamente los códigos 2FA del Facebook Business Manager y datos analíticos, poniendo en riesgo de toma de control cuentas publicitarias de alto valor. La extensión, llamada “CL Suite by @CLMasters” (ID: jkphinfhmfkckkcnifhjiplhfoiefffl), aún está disponible en la Chrome Web Store y apunta específicamente a entornos de Meta Business Suite y Facebook Business Manager.

Una vulnerabilidad de alta gravedad recientemente revelada en Apache NiFi expone los sistemas a un bypass de autorización que podría permitir a usuarios con privilegios bajos modificar componentes restringidos. Registrada como CVE-2026-25903, la falla afecta a las versiones de Apache NiFi 1.1.0 hasta 2.7.2 y ha sido corregida en la versión 2.8.0. Según el aviso de seguridad de Apache NiFi, el problema surge por la falta de verificaciones de autorización al actualizar propiedades de configuración 

Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el paquete langchain/community, que afecta a versiones hasta la 1.1.13. La falla, registrada como CVE-2026-26019, tiene una calificación de severidad moderada, con una puntuación CVSS 3.1, debido a su potencial para exponer metadatos sensibles en la nube e infraestructura interna. La vulnerabilidad se origina en la clase RecursiveUrlLoader, que realiza rastreo web recursivo.