Superficie de ataque, cumplimiento y remediación.
CVE-2026-89026 permite forjar tokens JWT y ejecutar comandos como usuario Asterisk en cualquier Issabel PBX sin parchar. El parche existe desde agosto, pero no borra un compromiso que ya haya ocurrido.
CVE-2026-75650 se explotó del 4 al 7 de septiembre de 2026, tres días antes del parche de emergencia de Adobe. Aplicar el parche hoy no borra el backdoor que pudo quedar plantado en esa ventana.
CISA fijó el 12 de septiembre de 2026 para parchar Cisco Secure FMC. El plazo ya venció y tres grupos, entre ellos Sandworm, siguen explotando la falla CVSS 10.0 para instalar Qilin. Qué revisar además del parche.
159 parches para E-Business Suite y 153 para Fusion Middleware, con más de 240 fallas explotables sin autenticación. Hong Kong ya reportó explotación activa. Qué revisar antes de que llegue a tu instancia.
El INAI desapareció en marzo de 2025 y la Secretaría Anticorrupción y Buen Gobierno ya sancionó su primer caso público. Qué revisar en avisos de privacidad, contratos y políticas de retención antes de que te toque a ti.
La ley de ciberseguridad mexicana sigue sin publicarse, pero ya tiene forma reconocible: Agencia Nacional, CISO obligatorio, registro de infraestructura crítica. Qué hacer con los 12 a 18 meses de ventana antes de que sea exigible.
Las aseguradoras dejaron de aceptar cuestionarios y ahora piden evidencia técnica de MFA, EDR, respaldos inmutables y gestión de parches antes de emitir o pagar un ciberseguro. Qué revisar antes de comprar o renovar uno.
80% de las organizaciones tiene extensiones de IA en sus entornos de desarrollo y solo 21% gobierna a sus agentes autónomos. Qué revisar antes de que el próximo incidente empiece adentro.
CVE-2026-76460 permite a un atacante remoto sin credenciales tomar el sistema que autoriza qué dispositivos entran a la red interna. Qué versiones están afectadas, qué parche aplicar y por qué no es 'otro CVE de Cisco'.
CVE-2026-85706 permite leer archivos arbitrarios sin autenticación en GitLab Community y Enterprise autoalojados. GitLab parchó el 10 de septiembre, CISA confirmó explotación activa el 11. Qué revisar antes de dar el tema por cerrado.
CVE-2026-85046 afecta al motor V8 de Chrome y de todo navegador basado en Chromium. Google ya publicó el parche, CISA lo puso en su catálogo de fallas explotadas y el plazo aplica a cualquier empresa, no solo a agencias federales.
Google, Anthropic y OpenAI lanzaron en la misma semana modelos capaces de encontrar y explotar fallas de software por su cuenta. Qué cambia para quien administra la seguridad de una empresa mediana.
CISA agregó cinco fallas ya explotadas en JFrog Artifactory, ConnectWise ScreenConnect y MikroTik RouterOS a su catálogo KEV. Qué preguntarle a tu proveedor de soporte y a tu equipo de TI antes de que te toque a ti.
SAP corrigió el 8 de septiembre de 2026 una falla con CVSS 10.0 en Extended Passport Processing que permite ejecutar comandos sin autenticación. Qué confirmar hoy con tu proveedor o tu equipo de TI.
El parche de septiembre de 2026 corrige entre 966 y 974 vulnerabilidades con dos zero-days ya explotados, mientras gusanos como Shai-Hulud e IronWorm siguen comprometiendo paquetes de npm. Qué preguntar a tu proveedor esta semana.
→ Suscripción
Un correo por artículo, con los datos y las fuentes de cada caso. Automatización de procesos, IA aplicada y plataformas a la medida.
