tutoriales · 11 min
El 14 de octubre de 2025 se acaban los parches gratuitos para Windows 10. Qué deja de recibir el sistema, qué ofrece el ESU consumer (gratis en la EEA, $30 fuera), cuánto cuesta a empresa y cuáles son las primeras CVE que vamos a ver explotadas contra la base instalada.
· Manuel López Pérez
noticias · 12 min
El mes en que ArcaneDoor volvió con bootkit en la ROM. Cisco saca el advisory de emergencia para CVE-2025-20333 y CVE-2025-20362 el 25 de septiembre y CISA emite ED 25-03 el mismo día; Apple lanza iPhone 17 con Memory Integrity Enforcement, la primera defensa de memory safety always-on en producto de consumo; Salesforce parchea ForcedLeak en Agentforce; Jaguar Land Rover frena producción tres semanas; Asahi Japan pierde la cadena de distribución entera.
· Manuel López Pérez
tutoriales · 16 min
CVE-2025-20362 (auth bypass por path traversal, variante de un bug de 2018) + CVE-2025-20333 (buffer overflow en un script Lua de la WebVPN). Encadenadas, RCE pre-auth como root en cualquier ASA/FTD expuesta a internet. UAT4356 lleva explotándolas desde mayo de 2025 y deja persistencia en ROMMON con un bootkit GRUB (RayInitiator) que sobrevive a reboot y a upgrade.
· Manuel López Pérez
noticias · 12 min
AI Act GPAI en aplicación con 26 firmantes y Meta fuera. Trump publica el AI Action Plan. Black Hat y DEF CON copan la primera semana — AgentFlayer expone zero-click en agentes enterprise, ATLANTIS gana AIxCC con 18 zero-days reales parcheados. WinRAR CVE-2025-8088 explotado por ocho grupos. Exchange hybrid CVE-2025-53786 con ED 25-02. Salt Typhoon: aviso 13 países.
· Manuel López Pérez
ai-security · 9 min
La final del AI Cyber Challenge cierra en Las Vegas el 8 de agosto. Siete sistemas autónomos analizan 53 retos y, además de las vulnerabilidades sintéticas plantadas, encuentran 18 zero-days reales en proyectos open-source y proponen parches válidos para 11 de ellos. Tres de los siete CRS ya están publicados como open source.
· Manuel López Pérez
compliance · 12 min
Segundo escalón del Reglamento (UE) 2024/1689. Documentación técnica, training data summary, política de copyright y, para los modelos con riesgo sistémico, evaluaciones adversariales y reporte de incidentes. Code of Practice firmado por 26 proveedores; Meta queda fuera, xAI firma solo Safety & Security.
· Manuel López Pérez
noticias · 11 min
Mes con dos hilos: la cadena ToolShell pone SharePoint on-prem en el centro del año, y la retrospectiva de reasoning model jailbreaks asienta lo que H1 deja sobre la mesa. Patch Tuesday con 137 CVEs y un zero-day en SQL Server. Citrix Bleed 2 explotado in-the-wild. Retail UK postmortems: M&S declara 270-440 millones de impacto. CrowdStrike Falcon cumple un año del Channel File 291.
· Manuel López Pérez
tutoriales · 15 min
CVE-2025-49706 + CVE-2025-49704 dan RCE pre-auth en SharePoint on-prem. El parche del 8 de julio resulta incompleto y aparece la variante CVE-2025-53770 + CVE-2025-53771, explotada a escala desde el 18 de julio. El web shell spinstall0.aspx roba las MachineKeys y la persistencia sobrevive al patch.
· Manuel López Pérez
ai-security · 15 min
Seis meses después del lanzamiento de DeepSeek-R1, Claude 4 extended thinking, o3 y QwQ-32B, lo que el campo sabe sobre romper modelos que razonan antes de contestar. CoT exfiltration trivial en open-weights, deliberation hijacking sobre los cerrados, constitutional classifiers como defensa parcial, y la métrica que ya no encaja en StrongREJECT.
· Manuel López Pérez
noticias · 11 min
Project Vend demuestra que dejar un agente Claude operar una vending machine durante un mes acaba en cubos de tungsteno y una crisis de identidad. EchoLeak (CVE-2025-32711) marca el primer zero-click prompt injection con CVE asignado contra Microsoft 365 Copilot. AWS re:Inforce, Apple WWDC25 con Foundation Models, Citrix Bleed 2 explotada como zero-day, y M&S y Co-op siguen recogiendo cristales tras la wave de abril.
· Manuel López Pérez
ai-security · 16 min
Anthropic publica el 27 de junio Project Vend. Claude Sonnet 3.7 — apodado Claudius — opera una vending machine en la oficina de San Francisco del 13 de marzo al 17 de abril con email a wholesalers, Slack con clientes, web search y control de pricing. Resultado: balance neto negativo, descuentos del 25 % regalados a empleados que eran el 99 % de los clientes, 40 cubos de tungsteno comprados por capricho de la plantilla y una crisis de identidad de 24 horas el 31 de marzo donde el modelo llama a seguridad anunciando que aparecerá en persona con blazer azul y corbata roja.
· Manuel López Pérez
noticias · 12 min
Anthropic lanza Claude 4 con system card que reporta blackmail al 96 %. Coinbase reconoce breach por contratistas de soporte sobornados. Adidas filtra datos de soporte via terceros. Verizon publica el DBIR 2025 con third-party participation duplicada. Mandiant cierra el arco Snowflake un año después. M&S vuelve poco a poco. La transposición NIS2 en España sigue sin entrar a Congreso.
· Manuel López Pérez
