Un tribunal suizo ha condenado a un especialista ucraniano en TI a casi 13 años de prisión por su papel en el desarrollo de ransomware utilizado en ataques contra organizaciones, incluido el fabricante ferroviario Stadler Rail. El tribunal de Zúrich vinculó al acusado con las familias de ransomware Lockergoga, MegaCortex y Nefilim. Aunque el tribunal lo describió como un colaborador técnico y no como el líder de las operaciones, los fiscales estimaron las pérdidas asociadas con las campañas en aproximadamente 123 millones de dólares. La decisión puede ser apelada.
Por separado, se ha instado a las organizaciones que ejecutan software SAP a priorizar la corrección de CVE-2026-44756, una vulnerabilidad de máxima gravedad que afecta al procesamiento de Extended Passport. El problema, denominado OVERPASS por Onapsis, podría permitir a un atacante no autenticado desencadenar corrupción de memoria antes de que se realicen las comprobaciones de autenticación. Los investigadores indicaron que la ejecución remota de código era posible en entornos de prueba mediante HTTP, HTTPS y NGRFC. Los productos SAP potencialmente afectados incluyen S/4HANA, NetWeaver y Business Suite, y las implementaciones expuestas a Internet se consideran especialmente preocupantes.
Agentes de IA y cadenas de suministro de software
El informe AI Risk and Resilience 2026 de Mandiant describe un cambio desde el uso de chatbots por parte de los atacantes para investigación hacia el uso de agentes autónomos durante actividades de intrusión. El informe citó ejemplos relacionados con un asistente de programación comprometido y el uso de un modelo de lenguaje para ayudar a resolver problemas con herramientas de exfiltración de datos después de que se robaran credenciales de CI/CD. También destacó riesgos operativos derivados de agentes mal controlados, incluido un caso en el que un agente de contabilidad entró en un costoso bucle de razonamiento.
CrowdStrike informó que un ladrón de información basado en npm llamado PhantomRaven se distribuyó mediante paquetes con typosquatting. El malware recopila información del host y variables de entorno de CI/CD de servicios como GitHub Actions, GitLab CI, Jenkins y CircleCI. CrowdStrike evaluó que el autor también podría participar en programas de recompensas por errores y utilizar los datos robados para identificar a las organizaciones afectadas, en lugar de venderlos a través de foros criminales.
Otros parches y recomendaciones
- Defiant afirmó que los atacantes han intentado explotar una vulnerabilidad crítica de carga de archivos en el complemento WooCommerce Wholesale Lead Capture para colocar webshells PHP en sitios de WordPress. Los administradores deben actualizar a la versión 2.0.3.2 y revisar los directorios de carga en busca de archivos sospechosos.
- TP-Link publicó actualizaciones de firmware para dos problemas en las cámaras Tapo C200, incluidos un bypass de autenticación y una vulnerabilidad de denegación de servicio.
- NIST y CISA emitieron directrices finales sobre la protección de tokens firmados y aserciones de identidad utilizados en sistemas de inicio de sesión único en la nube, federación y acceso a API.