SquareX revela ataque de suplantación en barras laterales de IA en navegadores
SquareX ha publicado una investigación que expone una nueva clase de ataque dirigido a navegadores con funcionalidades de IA. El ataque, denominado AI Sidebar Spoofing, utiliza extensiones maliciosas para suplantar las interfaces de barras laterales confiables de IA, engañando a los usuarios para ejecutar comandos peligrosos que pueden provocar robo de credenciales, secuestro de dispositivos y exfiltración de contraseñas. Productos afectados FabricanteProductoComponentesPlataformas/SOVariosNavegadores con barras laterales de IA (Comet, Brave, Edge, Firefox, Safari, Chrome)Barras laterales de IAWindows, macOS, Linux Solución Establecer controles granulares en el navegador para la detección dinámica y bloqueo de extensiones maliciosas que manipulan barras laterales de IA….
Vulnerabilidad crítica de path traversal en Jira Software Data Center y Server
Atlassian ha revelado una vulnerabilidad de path traversal de alta gravedad en Jira Software Data Center y Server que permite a atacantes autenticados escribir archivos arbitrariamente en cualquier ruta accesible por el proceso de la Java Virtual Machine (JVM). La falla, identificada como CVE-2025-22167 con una puntuación CVSS de 8.7, afecta versiones desde la 9.12.0 hasta la 11.0.1 y puede ser explotada remotamente sin interacción del usuario, poniendo en riesgo la integridad y disponibilidad de datos críticos. CVE y severidad CVE CVSS base Severidad Alcance CVE-2025-22167 8.7 Alta Jira Software Data Center y Server (escritura arbitraria en sistema de…
Oracle — vulnerabilidades críticas en Oracle VM VirtualBox Core
Oracle ha revelado múltiples vulnerabilidades críticas en el componente Core de Oracle VM VirtualBox versiones 7.1.12 y 7.2.2 que permiten a atacantes locales con altos privilegios comprometer la confidencialidad, integridad y disponibilidad del entorno VirtualBox. Estas fallas de alta gravedad, descritas en el parche crítico de octubre de 2025, facilitan escenarios de toma total del sistema afectado, poniendo en riesgo datos sensibles y la estabilidad de la virtualización. CVE y severidad CVE ID Componente Versiones afectadas CVSS v3.1 Base Score Vector de ataque Complejidad de ataque Interacción usuario Explotación remota CVE-2025-62587 Core 7.1.12, 7.2.2 8.2 Local Baja Ninguna No…
GitLab: vulnerabilidades críticas de DoS y control de acceso
GitLab ha liberado urgentemente las versiones 18.5.1, 18.4.3 y 18.3.5 para Community Edition (CE) y Enterprise Edition (EE) corrigiendo múltiples fallos de seguridad críticos, incluyendo vulnerabilidades de denegación de servicio (DoS) de alta severidad y fallos en control y autorización de accesos para usuarios autenticados. Estas fallas permiten ataques remotos que podrían interrumpir servicios y comprometer la integridad operativa de las instancias auto-administradas, por lo que se recomienda actualizar de inmediato. CVE y severidad CVE Descripción Severidad CVSS Versiones afectadas (CE/EE) CVE-2025-10497 DoS en recolección de eventos Alta 7.5 Desde v17.10 antes de 18.3.5 18.4 antes de 18.4.3 18.5 antes…
Oracle – Vulnerabilidades críticas en Marketing de E-Business Suite
Oracle ha publicado dos vulnerabilidades críticas que afectan a la administración del componente Marketing de su E-Business Suite, permitiendo a atacantes remotos sin autenticación tomar control total. Los fallos, identificados como CVE-2025-53072 y CVE-2025-62481, presentan un puntaje CVSS 9.8 debido a su impacto elevado en confidencialidad, integridad y disponibilidad, explotándose mediante solicitudes HTTP sin interacción del usuario. CVE y severidad CVE ID Componente Vector de ataque CVSS 3.1 Impacto en C/I/A Versiones afectadas CVE-2025-53072 Marketing Administration HTTP (Red) 9.8 Alta/Alta/Alta 12.2.3 – 12.2.14 CVE-2025-62481 Marketing Administration HTTP (Red) 9.8 Alta/Alta/Alta 12.2.3 – 12.2.14 Productos afectados Oracle E-Business Suite, componente Marketing…
Extensiones Maliciosas en Chome que apuntan a WhatsApp Web
Se ha identificado una campaña coordinada que consistió en la publicación de 131 extensiones de navegador (Chrome Web Store), que comparten la misma base de código, diseño e infraestructura, con el objetivo de automatizar mensajes masivos a través de WhatsApp Web. Estas extensiones se presentan como herramientas legítimas para empresas, pero en realidad permiten realizar outreach en masa, evadir límites de spam de WhatsApp, y automatizar envíos sin consentimiento claro del receptor. La campaña utiliza capacidades del Manifest V3 para persistir y actualizarse dinámicamente, dificultando su detección y eliminación. Productos afectados Producto Componente Plataformas/SO Extensiones con nombres como “Organize-C”, “YouSeller”,…
Vulnerabilidad crítica en Microsoft ASP.NET Core permite evasión de seguridad
Microsoft publicó una vulnerabilidad grave en ASP.NET Core (CVE-2025-55315) que posibilita a atacantes autenticados evadir controles de seguridad mediante técnicas de HTTP request smuggling. Esta falla afecta versiones .NET 8 en adelante y .NET 2.3 con el servidor Kestrel, pudiendo comprometer confidencialidad e integridad con un impacto crítico (CVSS 9.9), mediante solicitudes HTTP maliciosas que el servidor malinterpreta. CVE y severidad ID CVE CVSS v3.1 Base Score Severidad Componente afectado Impacto CVE-2025-55315 9.9 Crítica ASP.NET Core (HTTP request handling) Confidencialidad: Alta, Integridad: Alta, Disponibilidad: Baja Productos afectados Fabricante Producto Componente Versiones afectadas Plataformas/SO Microsoft ASP.NET Core Manejo de solicitudes HTTP…
Campaña persistente ataca servicios RDP de Microsoft con miles de IPs diarias
Una campaña coordinada está atacando persistentemente los servicios Microsoft Remote Desktop Protocol (RDP), utilizando más de 30,000 nuevas direcciones IP diarias para explotar vulnerabilidades basadas en tiempos. Relacionada con un botnet global, esta operación ha superado las 500,000 IPs únicas desde septiembre de 2025, principalmente orientada a sistemas en Estados Unidos. Los ataques emplean técnicas de enumeración silenciosa que evitan alertas tradicionales mediante la rotación rápida de IPs. Solución Adoptar bloqueos basados en inteligencia de amenazas actualizada y revisar registros para detectar patrones anómalos en accesos RDP. Recomendaciones Es crucial implementar defensas proactivas que incluyan monitoreo continuado y ajustes en…
Vulnerabilidad en Oracle E-Business Suite explotada en ataques reales
La empresa Oracle Corporation es uno de los proveedores de sistemas ERP (Enterprise Resource Planning) más importantes del mundo, y su suite E‑Business Suite (EBS) es utilizada por numerosas organizaciones para la gestión de finanzas, cadena de suministro, recursos humanos y otros procesos críticos empresariales. El módulo Oracle Configurator, parte de EBS, permite configurar productos y servicios adaptados al cliente mediante una interfaz UI. En el presente boletín se aborda la vulnerabilidad identificada como CVE‑2025‑61884, la cual afecta dicho módulo de Oracle EBS. Productos y Versiones afectadas CVE Productos y versiones afectados CVE‑2025‑61884 Oracle E‑Business Suite: versiones 12.2.3 hasta 12.2.14 del módulo Oracle Configurator (Runtime UI) Solución Recomendaciones…
Amazon Web Services (AWS) — Interrupción masiva afecta disponibilidad global
Amazon Web Services (AWS) reportó el 20 de octubre de 2025 una interrupción significativa que afectó a múltiples servicios en la región US-EAST-1. Durante varias horas, los usuarios experimentaron errores de conexión y latencias al interactuar con diversas API, incluyendo Amazon DynamoDB.AWS comunicó que se encuentran trabajando para restablecer completamente los servicios afectados. Hasta el momento, restauración de los servicios afectados, además Amazon afirma que no se trató de un ciberataque. El evento generó afectaciones en aplicaciones y plataformas globales que dependen de la infraestructura de AWS para sus operaciones, impactando principalmente la disponibilidad de servicios críticos. Productos afectados Recomendaciones…