Una nueva vulnerabilidad de seguridad en routers residenciales Calix GS7 XGS (GS5239XG) pone en riesgo a usuarios de múltiples proveedores de banda ancha en Estados Unidos. Identificada como CVE-2026-75501, la falla permite que atacantes remotos y no autenticados creen reglas arbitrarias de reenvío de puertos y expongan dispositivos conectados a una red doméstica directamente a Internet.

El problema afecta a equipos que utilizan el firmware EXOS/6.6.47 y, hasta el momento de la publicación de los detalles, no existe un parche disponible para corregir la vulnerabilidad. El hallazgo fue realizado por el investigador de seguridad Brian Khan Quintana, quien intentó comunicarse con Calix desde el 7 de junio sin obtener respuesta. Posteriormente, el caso fue reportado al CERT Coordination Center (CERT/CC) de Carnegie Mellon, que coordinó la divulgación pública de la información.

CVE-2026-75501 afecta a routers Calix GS5239XG

El modelo vulnerable Calix GS5239XG también se comercializa bajo el nombre GigaSpire 7u10txg. Se trata de un gateway residencial de gama alta que integra conectividad Wi-Fi 7 con un terminal de fibra óptica XGS-PON, una combinación diseñada para ofrecer velocidades elevadas y conectividad avanzada en hogares modernos.

El problema resulta especialmente relevante porque Calix trabaja con numerosos proveedores de servicios de banda ancha. Entre las compañías relacionadas con sus soluciones se encuentran Cox Communications, Brightspeed, ALLO, CityFibre y Conexon, por lo que el alcance potencial de una vulnerabilidad en determinados equipos puede extenderse a un número considerable de usuarios.

Según la información técnica divulgada por CERT/CC, CVE-2026-75501 se debe a la ausencia de controles de autenticación adecuados en el servicio MiniUPnPd del router.

En las versiones afectadas del firmware, el servicio UPnP WANIPConnection SOAP queda expuesto en la interfaz WAN pública mediante el puerto TCP 5000, sin mecanismos de autenticación que impidan que un usuario externo interactúe con él.

El fallo permite modificar el reenvío de puertos

Universal Plug and Play, conocido como UPnP, permite que diferentes dispositivos y aplicaciones de una red local configuren automáticamente determinadas conexiones de red. Aunque esta tecnología puede resultar útil para juegos, aplicaciones multimedia y otros servicios, una implementación insegura puede convertirse en un importante vector de ataque.

En el caso de los routers Calix afectados, un atacante conectado a Internet puede enviar solicitudes SOAP sin autenticación al servicio vulnerable. Estas solicitudes permiten, entre otras acciones:

• Crear reglas arbitrarias de reenvío de puertos.
• Eliminar reglas de reenvío existentes.
• Enumerar los mapeos de puertos configurados.
• Consultar la dirección IP pública del router.

El principal riesgo se encuentra en la capacidad de crear reglas de port forwarding desde el exterior. Un atacante podría utilizar esta funcionalidad para establecer una ruta desde Internet hacia un dispositivo específico situado detrás del router.

Normalmente, la traducción de direcciones de red, conocida como NAT, y las reglas del firewall del router ayudan a impedir que los dispositivos internos sean accesibles directamente desde Internet. Sin embargo, una regla de reenvío creada mediante el servicio UPnP puede modificar ese comportamiento.

Cámaras, NAS y dispositivos IoT podrían quedar expuestos

El impacto de CVE-2026-75501 no se limita al propio router. Una vez creada una regla de reenvío, un atacante podría intentar exponer servicios que se ejecutan en otros dispositivos de la red doméstica.

Entre los objetivos potenciales se encuentran cámaras de seguridad, sistemas NAS, interfaces de administración, servidores domésticos, dispositivos IoT y otros equipos conectados a la red local.

El investigador Brian Khan Quintana demostró el problema realizando solicitudes desde fuera de su propia red para crear un mapeo de puertos que permitía acceder a una dirección interna. Además, señaló que una regla configurada sin fecha de expiración podía permanecer activa incluso después de reiniciar el router.

Este comportamiento incrementa el riesgo porque un reinicio del dispositivo no necesariamente elimina la configuración maliciosa. En determinadas circunstancias, una regla creada por un atacante podría continuar proporcionando acceso desde Internet hasta que sea eliminada manualmente.

Un ataque que no requiere contraseña

Uno de los aspectos más preocupantes de CVE-2026-75501 es que el ataque no requiere que el ciberdelincuente conozca la contraseña de administración del router ni que tenga acceso previo a la red Wi-Fi.

El servicio vulnerable está expuesto en la interfaz WAN y acepta determinadas solicitudes sin autenticación. Por ello, el atacante puede operar de forma remota desde Internet.

Quintana describió el escenario como la posibilidad de abrir un acceso permanente en el firewall del router mediante una única solicitud no autenticada. Esto convierte a la vulnerabilidad en un problema especialmente relevante para hogares y pequeñas oficinas que dependen de estos gateways para proteger todos sus dispositivos conectados.

Además, la posibilidad de enumerar los mapeos existentes y consultar la dirección IP externa puede proporcionar información adicional que ayude a un atacante a comprender la configuración de la red.

Calix todavía no ha publicado un parche

La situación es especialmente delicada porque CVE-2026-75501 permanece sin parchear. El investigador afirmó haber realizado varios intentos para contactar con Calix antes de acudir a CERT/CC, pero no recibió una respuesta del fabricante.

CERT/CC coordinó posteriormente la divulgación pública de la vulnerabilidad y publicó información técnica sobre el problema. Hasta el momento de la publicación original, Calix tampoco había confirmado públicamente qué otros modelos podrían estar afectados ni cuándo estaría disponible una actualización de firmware.

La ausencia de un parche significa que los usuarios deben recurrir a medidas de mitigación mientras esperan una solución oficial.

Cómo proteger un router Calix vulnerable

La recomendación principal para los propietarios de dispositivos afectados es desactivar UPnP siempre que sea posible. Quintana indica que esta opción puede encontrarse en la interfaz de administración del dispositivo siguiendo la ruta:

Advanced → Security → UPnP

Deshabilitar UPnP impide la apertura automática de determinados puertos y reduce la superficie de ataque asociada con esta vulnerabilidad.

Sin embargo, esta medida puede afectar a determinadas aplicaciones. Algunos videojuegos y servicios utilizan UPnP para configurar automáticamente las conexiones necesarias. En esos casos, los usuarios pueden recurrir a la configuración manual de los puertos específicos que realmente necesiten.

El problema es que algunos proveedores de Internet pueden bloquear el acceso a determinadas opciones de configuración del router. Si la opción UPnP no puede desactivarse desde el panel de administración, CERT/CC recomienda contactar directamente con el proveedor de servicios de Internet y solicitar que deshabilite esta funcionalidad o aplique una mitigación disponible.

Qué deben hacer los usuarios mientras esperan una solución

Los propietarios de un Calix GS5239XG/GigaSpire 7u10txg deberían comprobar la versión del firmware de su dispositivo y consultar con su proveedor si el equipo ejecuta EXOS/6.6.47.

Mientras no exista una actualización oficial, es recomendable:

• Desactivar UPnP si la interfaz del dispositivo lo permite.
• Revisar periódicamente las reglas de reenvío de puertos configuradas.
• Eliminar cualquier mapeo desconocido o que no haya sido creado por el usuario.
• Evitar exponer innecesariamente interfaces administrativas, cámaras o sistemas NAS a Internet.
• Consultar con el proveedor de banda ancha sobre posibles mitigaciones.
• Instalar inmediatamente cualquier actualización de firmware que Calix publique para solucionar la vulnerabilidad.

También es importante recordar que desactivar UPnP no sustituye a una actualización de seguridad. La medida debe considerarse una mitigación temporal mientras el fabricante desarrolla y distribuye un parche.

Una vulnerabilidad que demuestra los riesgos de UPnP expuesto a Internet

CVE-2026-75501 pone de manifiesto un problema recurrente en dispositivos de red domésticos: servicios diseñados para facilitar la configuración automática pueden convertirse en una amenaza cuando quedan accesibles desde Internet sin autenticación.

En este caso, el riesgo no se limita a comprometer la configuración del router. La capacidad de crear reglas de reenvío permite potencialmente establecer conexiones desde Internet hacia dispositivos que deberían permanecer protegidos detrás de NAT y del firewall.

Mientras Calix no publique una corrección, los usuarios de los modelos afectados deberían tomar medidas preventivas y mantener especial vigilancia sobre las configuraciones de port forwarding.

La vulnerabilidad también sirve como recordatorio de que los routers residenciales son una pieza crítica de seguridad. Una falla en el gateway puede convertir una red doméstica completa en un objetivo accesible desde Internet, especialmente cuando existen cámaras, servidores NAS, dispositivos IoT u otros sistemas que cuentan con servicios expuestos.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Microsoft continúa ampliando las capacidades de PowerToys para Windows con el lanzamiento de la versión 0.101.2362.0, una actualización que incorpora nuevas funciones orientadas a mejorar la productividad y facilitar el trabajo con múltiples ventanas, monitores y aplicaciones.

La principal novedad de esta versión es Window Hopper, una nueva utilidad diseñada para usuarios que trabajan habitualmente con varias ventanas de una misma aplicación. La herramienta ofrece una alternativa más específica al tradicional atajo Alt + Tab de Windows, ya que permite desplazarse exclusivamente entre las ventanas pertenecientes a la aplicación que está actualmente en primer plano.

Esta característica puede resultar especialmente práctica en escenarios donde un usuario necesita gestionar simultáneamente varias ventanas del navegador, terminales, instancias del Explorador de archivos o diferentes documentos abiertos en un mismo programa.

¿Qué es Window Hopper de Microsoft PowerToys?

Window Hopper es una nueva herramienta incluida en Microsoft PowerToys que simplifica el cambio entre múltiples ventanas de una misma aplicación.

Aunque Windows ya dispone del conocido atajo Alt + Tab, este sistema muestra y permite recorrer diferentes aplicaciones y ventanas abiertas. Cuando un usuario tiene un escritorio con numerosas aplicaciones activas, encontrar rápidamente otra ventana del mismo programa puede convertirse en una tarea menos eficiente.

Window Hopper aborda precisamente este problema.

Una vez activada la utilidad, el usuario puede utilizar el atajo configurable Alt + ` para desplazarse entre las ventanas de la aplicación que está utilizando en ese momento, sin tener que recorrer el resto de programas abiertos en el escritorio.

Microsoft explica que esta función resulta especialmente útil para quienes necesitan trabajar con varias ventanas del navegador, terminales, ventanas del Explorador de archivos o diferentes instancias de un editor.

La herramienta también permite personalizar los controles desde la configuración de PowerToys. De esta manera, los usuarios pueden modificar el método de activación y configurar accesos para avanzar hacia la siguiente ventana o regresar a la ventana anterior de una determinada aplicación.

PowerToys 0.101.2362.0 incorpora más novedades

Window Hopper no es la única característica destacada de esta actualización. PowerToys 0.101.2362.0 incluye varias mejoras destinadas a facilitar diferentes tareas relacionadas con Windows y la productividad.

Una de ellas afecta a Command Palette, el lanzador rápido de PowerToys. Microsoft ha añadido un nuevo modo compacto que permite abrir esta herramienta como un cuadro de búsqueda de menor tamaño y con una posición vertical configurable.

El objetivo es ofrecer una interfaz más discreta para quienes utilizan Command Palette como punto de acceso rápido a aplicaciones, comandos y diferentes funciones del sistema.

La actualización también incorpora mejoras para PowerDisplay, concretamente soporte para controles enlazados que permiten modificar simultáneamente el brillo de varias pantallas. Esta función puede resultar especialmente útil para usuarios que trabajan con configuraciones de dos o más monitores y necesitan mantener niveles de brillo similares sin ajustar cada pantalla individualmente.

Shortcut Guide recibe una nueva forma de activación

Otra de las novedades está relacionada con Shortcut Guide, una herramienta de PowerToys que muestra los atajos de teclado disponibles para Windows y para la aplicación activa.

La utilidad ahora incorpora activación mediante una tecla de Windows, ampliando las posibilidades para acceder a la guía de accesos directos.

Esta función forma parte de la estrategia de PowerToys para ayudar a los usuarios a descubrir y utilizar con mayor facilidad los numerosos atajos de teclado disponibles en Windows. Para usuarios avanzados, aprender estos comandos puede reducir considerablemente el tiempo necesario para realizar tareas repetitivas.

DemoMirror amplía las funciones de ZoomIt

Microsoft también ha mejorado ZoomIt, la popular herramienta de PowerToys orientada a presentaciones, demostraciones y trabajo visual.

La nueva función DemoMirror permite reflejar una región concreta de la pantalla, una ventana específica o incluso todo el escritorio en un segundo monitor.

Esta capacidad puede ser especialmente interesante durante demostraciones, presentaciones técnicas, clases o sesiones de soporte, ya que permite mostrar determinados contenidos en otra pantalla sin tener que duplicar necesariamente toda la experiencia de escritorio.

Además, la actualización añade un nuevo modo de efecto de recorte para Mouse Utilities, pensado para efectos basados en composición relacionados con los clics del ratón.

PowerToys sigue evolucionando para mejorar Windows

La evolución de PowerToys demuestra el interés de Microsoft por ofrecer herramientas adicionales destinadas a usuarios que necesitan más funciones de productividad que las disponibles de forma predeterminada en Windows.

En enero, Microsoft lanzó PowerToys 0.97, una versión que incorporó CursorWrap, una utilidad pensada especialmente para configuraciones con varios monitores.

CursorWrap permite que el puntero del ratón aparezca en el extremo opuesto de los monitores activos cuando alcanza determinados límites. Esto facilita el desplazamiento del cursor a través de grandes configuraciones de pantalla y puede ahorrar movimientos innecesarios a quienes utilizan varios monitores.

Estas funciones muestran cómo PowerToys se ha convertido progresivamente en un conjunto de herramientas destinado tanto a usuarios avanzados como a profesionales que buscan optimizar su flujo de trabajo en Windows.

De Windows 95 al PowerToys moderno

La historia de Microsoft PowerToys se remonta a la época de Windows 95, cuando el proyecto comenzó como una colección de pequeñas herramientas desarrolladas por integrantes del equipo de Windows y distribuidas para ampliar las capacidades del sistema operativo.

Después de varios años, Microsoft recuperó el concepto en 2019 con una nueva versión de PowerToys para Windows 10. Esta vez, el proyecto se presentó como un conjunto de utilidades de código abierto diseñado para mejorar Windows y proporcionar funciones que anteriormente podían requerir aplicaciones de terceros.

Desde entonces, PowerToys ha incorporado herramientas para administrar ventanas, renombrar archivos, trabajar con imágenes, personalizar el teclado y el ratón, gestionar pantallas, automatizar tareas y mejorar diferentes aspectos de la experiencia de Windows.

La llegada de Window Hopper representa otro paso en esa evolución, especialmente para quienes trabajan diariamente con numerosas ventanas abiertas.

Cómo conseguir Microsoft PowerToys 0.101

Los usuarios interesados en probar Window Hopper y las demás novedades de PowerToys 0.101.2362.0 pueden obtener la actualización a través de los canales oficiales de distribución del proyecto.

Microsoft mantiene el código y las versiones de PowerToys en su repositorio oficial de GitHub, donde también se publica un registro detallado de cambios para cada lanzamiento.

Antes de activar nuevas funciones, es recomendable revisar la configuración de PowerToys para conocer los atajos disponibles y evitar posibles conflictos con combinaciones de teclado utilizadas por otras aplicaciones.

Una actualización enfocada en la productividad

Con PowerToys 0.101.2362.0, Microsoft continúa perfeccionando un conjunto de herramientas que se ha convertido en una de las opciones más interesantes para personalizar y ampliar Windows.

Window Hopper destaca especialmente por su sencillez: en lugar de reemplazar el tradicional Alt + Tab, complementa su funcionamiento proporcionando una forma rápida de cambiar exclusivamente entre las ventanas de una misma aplicación.

Para usuarios que trabajan con numerosos documentos, terminales, navegadores o ventanas del Explorador de archivos, esta pequeña mejora puede traducirse en un flujo de trabajo mucho más eficiente.

La actualización también refuerza otros componentes importantes del ecosistema PowerToys, con mejoras para Command Palette, PowerDisplay, Shortcut Guide, ZoomIt y las herramientas relacionadas con el ratón.

En conjunto, Microsoft PowerToys 0.101.2362.0 consolida la estrategia de Microsoft de ofrecer utilidades gratuitas y de código abierto capaces de añadir funciones prácticas a Windows. Window Hopper es, en este sentido, una incorporación pequeña pero potencialmente muy útil para quienes buscan ahorrar tiempo y controlar mejor un escritorio con múltiples ventanas abiertas.

PowerToys continúa demostrando que no siempre es necesario realizar grandes cambios en Windows para mejorar la productividad: en ocasiones, una función tan sencilla como cambiar rápidamente entre las ventanas de una aplicación puede marcar una diferencia importante en el trabajo diario.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

WhatsApp continúa reforzando la protección de sus usuarios con nuevas funciones de seguridad diseñadas para dificultar el acceso no autorizado a las cuentas. Meta anunció un conjunto de mejoras que incluye el soporte para múltiples claves de acceso en una misma cuenta de WhatsApp, una actualización de la verificación en dos pasos y mayor información sobre las llamadas procedentes de números desconocidos.

Estas novedades buscan responder a uno de los principales problemas de seguridad que afectan actualmente a las plataformas de mensajería: el robo de cuentas mediante técnicas de phishing, ingeniería social y engaños destinados a obtener códigos de acceso.

La compañía asegura que más de mil millones de personas ya utilizan una clave de acceso para iniciar sesión en WhatsApp, una cifra que refleja la creciente adopción de métodos de autenticación que no dependen exclusivamente de contraseñas tradicionales o códigos enviados mediante SMS.

WhatsApp permitirá utilizar varias claves de acceso

Una de las novedades más importantes es la posibilidad de asociar múltiples claves de acceso a una sola cuenta de WhatsApp. Esta función está especialmente pensada para usuarios que utilizan diferentes dispositivos, tanto Android como iPhone, y necesitan una alternativa sencilla y segura para autenticarse.

Las claves de acceso, conocidas como passkeys, utilizan mecanismos de autenticación vinculados al dispositivo, como la biometría, el reconocimiento facial, la huella dactilar o el código de desbloqueo. A diferencia de una contraseña convencional, el usuario no necesita memorizar una combinación que pueda ser robada mediante una página web falsa.

El sistema está basado en criptografía de clave pública y permite reducir considerablemente la exposición frente a ataques de phishing. La clave privada permanece protegida en el dispositivo del usuario, mientras que el servicio utiliza la información correspondiente para verificar la identidad.

El soporte para claves de acceso en WhatsApp comenzó su despliegue en Android en octubre de 2023 y posteriormente llegó a iOS a principios de 2024. Meta también incorporó esta tecnología a los procesos de inicio de sesión de Facebook en 2025.

Para administrar las claves de acceso de WhatsApp, los usuarios pueden dirigirse a:

Configuración > Cuenta > Claves de acceso

Desde este apartado podrán gestionar las credenciales disponibles en sus dispositivos.

Una alternativa más segura frente al phishing

El avance hacia las passkeys representa un cambio importante en la seguridad de las cuentas digitales. Las contraseñas tradicionales pueden ser reutilizadas en diferentes servicios, filtradas durante una brecha de seguridad o introducidas accidentalmente en sitios web fraudulentos.

Las claves de acceso eliminan buena parte de estos riesgos porque están diseñadas para funcionar con el dominio legítimo del servicio y no requieren que el usuario escriba una contraseña en una página que podría ser falsa.

Esto resulta especialmente relevante para WhatsApp, una plataforma utilizada diariamente por millones de personas para comunicaciones personales, profesionales y empresariales.

El robo de una cuenta de mensajería puede tener consecuencias importantes. Un atacante podría intentar hacerse pasar por la víctima, contactar con sus familiares o compañeros de trabajo, solicitar dinero, distribuir enlaces maliciosos o utilizar la cuenta comprometida para realizar nuevos ataques.

Por este motivo, combinar claves de acceso, verificación en dos pasos y controles adicionales de seguridad proporciona una defensa más sólida frente a las amenazas actuales.

WhatsApp sustituye el PIN de seis dígitos por una contraseña completa

Otra de las mejoras anunciadas afecta directamente a la verificación en dos pasos de WhatsApp. Hasta ahora, esta capa adicional de seguridad se basaba en un PIN de seis dígitos.

WhatsApp está introduciendo una opción de contraseña completa que permitirá utilizar credenciales más largas y complejas, incluyendo combinaciones alfanuméricas y caracteres especiales.

El cambio busca dificultar los intentos de adivinación de credenciales. Los usuarios que todavía empleen combinaciones extremadamente sencillas deberían aprovechar esta actualización para establecer una contraseña única y difícil de predecir.

La recomendación es evitar patrones evidentes como fechas de nacimiento, números consecutivos, nombres, teléfonos o combinaciones populares. Una contraseña larga y exclusiva ofrece una protección considerablemente mayor.

La verificación en dos pasos de WhatsApp resulta particularmente importante porque añade una barrera adicional incluso en escenarios en los que un atacante consigue obtener el código de registro utilizado para activar una cuenta.

Más información antes de responder llamadas desconocidas

WhatsApp también está incorporando más contexto para las llamadas realizadas por personas que no están guardadas en la lista de contactos, especialmente para los usuarios de Android.

La aplicación mostrará información adicional que puede ayudar a determinar quién está detrás de una llamada antes de responder. Entre los datos disponibles estarán aspectos como el origen de la llamada, si la persona ya forma parte de los contactos y si existe algún grupo compartido entre ambos usuarios.

Esta información puede convertirse en una herramienta útil contra las campañas de ingeniería social y estafas telefónicas.

Los ciberdelincuentes suelen utilizar la urgencia, la presión y el miedo para conseguir que una víctima actúe sin comprobar previamente la identidad del interlocutor. Una llamada inesperada puede utilizarse, por ejemplo, para intentar obtener códigos de verificación, información personal, datos financieros o acceso a otras cuentas.

Al proporcionar más contexto antes de contestar, WhatsApp pretende que los usuarios dispongan de unos segundos adicionales para evaluar la situación.

La seguridad de WhatsApp apuesta por la prevención

Las nuevas funciones muestran una tendencia clara en la estrategia de seguridad de WhatsApp: reducir la dependencia de las contraseñas tradicionales y proporcionar más información al usuario antes de realizar acciones potencialmente peligrosas.

El crecimiento de las passkeys en WhatsApp también demuestra que los métodos de autenticación resistentes al phishing están ganando terreno entre los principales servicios tecnológicos. En lugar de depender únicamente de que el usuario recuerde una contraseña o introduzca códigos, estas tecnologías aprovechan las capacidades de seguridad integradas en los dispositivos modernos.

Sin embargo, ninguna herramienta puede sustituir completamente las buenas prácticas de seguridad. Los usuarios deben mantener actualizados sus dispositivos, evitar compartir códigos de verificación y desconfiar de mensajes o llamadas que soliciten información confidencial.

También es recomendable revisar periódicamente las opciones de seguridad de la cuenta y activar la verificación en dos pasos.

Cómo proteger mejor una cuenta de WhatsApp

Para aprovechar las nuevas medidas de seguridad, los usuarios deberían considerar varias recomendaciones:

• Activar una clave de acceso siempre que la función esté disponible.
• Configurar una contraseña fuerte para la verificación en dos pasos.
• Evitar reutilizar contraseñas utilizadas en otros servicios.
• No compartir códigos de registro o verificación con ninguna persona.
• Desconfiar de llamadas inesperadas que soliciten información personal.
• Comprobar el contexto de una llamada desconocida antes de responder.
• Mantener WhatsApp y el sistema operativo actualizados.
• Revisar periódicamente los dispositivos vinculados a la cuenta.
• Utilizar bloqueo biométrico cuando sea posible.
• Un paso más hacia cuentas sin contraseñas

La incorporación de múltiples claves de acceso consolida la apuesta de WhatsApp por los sistemas de autenticación modernos. Para los usuarios, el principal beneficio es combinar mayor seguridad con una experiencia de inicio de sesión más sencilla.

Mientras las campañas de phishing continúan evolucionando, las tecnologías resistentes a este tipo de ataques adquieren cada vez mayor relevancia. La posibilidad de utilizar varias passkeys, junto con una contraseña más robusta para la verificación en dos pasos y mayor información sobre llamadas desconocidas, proporciona nuevas herramientas para proteger las cuentas.

En definitiva, las novedades anunciadas por Meta convierten la seguridad de WhatsApp en un elemento todavía más importante dentro de la experiencia de la plataforma. Activar estas funciones y adoptar hábitos responsables puede marcar una diferencia significativa a la hora de evitar el robo de cuentas, las estafas y los ataques de ingeniería social.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

La seguridad de los agentes de inteligencia artificial vuelve a estar bajo la lupa después de que Oasis Security revelara una debilidad en NVIDIA NemoClaw que podría permitir a una página web maliciosa tomar el control de una instancia local de Ollama utilizada como backend de inferencia. El escenario resulta especialmente preocupante porque el ataque podría ir más allá del acceso al servicio: un atacante podría modificar la plantilla de conversación de un modelo para introducir instrucciones ocultas que se ejecuten durante interacciones posteriores.

Los investigadores compartieron sus hallazgos con The Hacker News antes de su publicación y señalaron que Oasis Security había informado previamente del problema al Product Security Incident Response Team (PSIRT) de NVIDIA.

Por el momento, el problema no dispone de un identificador CVE, tampoco existe información pública sobre el rango exacto de versiones afectadas ni se ha especificado una versión corregida que permita a los administradores determinar si sus instalaciones están protegidas. Hasta el 25 de agosto de 2026, tampoco se ha informado de explotación activa de esta vulnerabilidad.

¿Qué es NVIDIA NemoClaw y por qué es importante?

NemoClaw es una pila de referencia de código abierto desarrollada por NVIDIA para ejecutar agentes de inteligencia artificial, como OpenClaw, dentro de entornos aislados mediante OpenShell. Dentro de esta arquitectura, Ollama puede utilizarse como uno de los backends compatibles para ejecutar modelos de IA localmente.

El problema descubierto por Oasis Security está relacionado precisamente con la forma en que determinadas configuraciones de NemoClaw permiten que Ollama escuche conexiones de red.

El escenario de riesgo aparece cuando Ollama se configura mediante:

OLLAMA_HOST=0.0.0.0:11434

Esta configuración hace que el servidor de Ollama se vincule a todas las interfaces de red disponibles, en lugar de limitarse a la interfaz de bucle local. En determinadas plataformas, esto puede crear una superficie de ataque que permite que una página web controlada por un atacante interactúe con la API local.

Según Oasis Security, el problema es especialmente relevante porque el sandboxing del agente no necesariamente impide que el atacante alcance el backend de inferencia. En otras palabras, aunque el agente de IA esté aislado, comprometer el servicio que procesa sus modelos puede proporcionar una vía para manipular su comportamiento.

El ataque utiliza el navegador para alcanzar Ollama

La investigación describe una cadena de ataque que combina el acceso a la API local de Ollama con técnicas de DNS rebinding.

La API de Ollama que escucha en el puerto 11434 no utiliza autenticación por defecto. Además, determinadas capas de middleware intentan bloquear solicitudes procedentes de navegadores mediante controles relacionados con las cabeceras Host y Origin.

El problema aparece cuando Ollama no está limitado a una dirección de loopback. En determinadas condiciones, la comprobación de Host puede dejar de aplicarse, mientras que el mecanismo CORS puede considerar legítima una solicitud que aparentemente procede del mismo origen.

Un atacante puede aprovechar entonces una página web especialmente preparada y una técnica de DNS rebinding para conseguir que un dominio bajo su control resuelva inicialmente hacia su infraestructura y posteriormente hacia 127.0.0.1. De esta forma, el navegador continúa considerando que está comunicándose con el mismo dominio mientras las solicitudes terminan alcanzando un servicio local.

Esta clase de ataque no es completamente nueva en el ecosistema de Ollama. El problema de DNS rebinding ya había sido documentado anteriormente y Ollama publicó una corrección en la versión 0.1.29, mientras que NCC Group identificó posteriormente la vulnerabilidad como CVE-2024-28224.

Sin embargo, la investigación de Oasis Security señala que determinadas rutas de integración de NemoClaw pueden volver a crear condiciones de riesgo dependiendo del sistema operativo y de la arquitectura utilizada.

El envenenamiento de plantillas de chat es el verdadero peligro

Una vez que el atacante consigue acceder a la API de Ollama, el impacto puede ser mucho mayor que el simple acceso a un servicio local.

La investigación demuestra que la API /api/create puede utilizarse para modificar una plantilla Go asociada al modelo. Estas plantillas determinan cómo se transforman los mensajes estructurados de una conversación antes de ser enviados al modelo para su procesamiento.

Un atacante que consiga modificar la plantilla puede insertar contenido controlado por él en los mensajes que posteriormente recibe el modelo durante la inferencia.

Esto abre la puerta a una técnica conocida como envenenamiento de plantillas de chat. En lugar de depender únicamente de un prompt malicioso enviado durante una conversación, las instrucciones quedan incorporadas en una capa más profunda del procesamiento del modelo.

El resultado es especialmente peligroso para los agentes de IA que disponen de herramientas, acceso a archivos, capacidad para ejecutar acciones o interacción con otros servicios.

Según Oasis Security, las instrucciones introducidas mediante esta técnica pueden persistir en conversaciones posteriores y permanecer activas incluso cuando el propio agente proporciona su propia instrucción de sistema.

Esto significa que el comportamiento malicioso podría resultar difícil de detectar para el usuario final.

Diferencias entre Windows, WSL y otras plataformas

El riesgo no es idéntico en todas las configuraciones de NemoClaw. La investigación destaca diferencias importantes entre los sistemas que no utilizan WSL, Docker Desktop con WSL y determinadas configuraciones de Windows.

En hosts que no utilizan WSL, NemoClaw puede colocar Ollama detrás de un proxy inverso que incorpora controles adicionales, mientras que el servicio puede volver a vincularse a una dirección de loopback.

En cambio, Docker Desktop en WSL utiliza host.docker.internal para permitir que el contenedor acceda al servicio del host. Esta arquitectura evita algunas de las protecciones utilizadas por el proxy.

También existe una ruta específica para hosts Windows que permite que los contenedores de Docker Desktop lleguen al daemon de Ollama. En determinadas configuraciones, el servicio puede quedar escuchando en 0.0.0.0:11434 sin autenticación.

Esta diferencia es fundamental porque una protección introducida recientemente en NemoClaw no necesariamente cubre todas las rutas de ejecución.

NemoClaw incorporó una comprobación, pero no cubre todos los escenarios

Una revisión del repositorio de NemoClaw realizada el 25 de agosto de 2026 encontró que el proxy local de Ollama incorpora una comprobación destinada a impedir que se utilice un backend vinculado a una interfaz distinta de loopback.

El cambio fue introducido en la versión v0.0.106, publicada el 10 de agosto, y busca evitar que el proxy funcione cuando detecta que Ollama está accesible desde una interfaz de red no local.

El sistema puede recomendar configurar Ollama para escuchar únicamente en una dirección como:

OLLAMA_HOST=127.0.0.1:${puerto}

Sin embargo, también existe una variable de entorno denominada NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1 que permite desactivar esta comprobación. La propia advertencia indica que esta opción no es recomendable.

Además, la investigación señala que la comprobación no cubre determinadas rutas de WSL y que NemoClaw no inicia el mismo proxy en algunos escenarios. Por ello, una actualización del componente no significa necesariamente que todas las configuraciones estén protegidas frente a la cadena de ataque descrita.

NVIDIA recomienda no exponer Ollama a Internet

La documentación de NVIDIA ya advierte a los usuarios que emplean la integración de Ollama en determinados entornos de Windows que no deben exponer el puerto 11434 directamente a una red local o a Internet.

Sin embargo, Oasis Security destaca una diferencia importante: el ataque descrito no necesita necesariamente que el servicio esté publicado directamente en Internet.

La solicitud puede originarse desde el navegador que se ejecuta en el propio equipo de la víctima, utilizando una página web controlada por el atacante y una técnica de DNS rebinding. Esto convierte al navegador en un elemento clave dentro de la cadena de explotación.

¿Qué deben hacer los usuarios de NemoClaw?

Mientras NVIDIA no publique información más completa sobre el alcance del problema, los administradores que utilicen NemoClaw y Ollama deberían adoptar una postura preventiva.

La medida más importante es evitar que Ollama escuche en todas las interfaces de red cuando no sea estrictamente necesario. Siempre que la arquitectura lo permita, el servicio debería limitarse a 127.0.0.1.

También es recomendable evitar desactivar las comprobaciones de vinculación del proxy mediante NEMOCLAW_OLLAMA_PROXY_SKIP_BIND_PROBE=1, especialmente en equipos que procesen información sensible o ejecuten agentes con herramientas y permisos elevados.

Los operadores deberían revisar además la configuración específica de NemoClaw según utilicen Windows, WSL, Docker Desktop u otra plataforma, ya que las protecciones disponibles pueden variar considerablemente.

Una nueva advertencia sobre la seguridad de los agentes de IA

El caso de NVIDIA NemoClaw demuestra que la seguridad de los agentes de inteligencia artificial no depende únicamente del modelo utilizado. También deben protegerse las APIs locales, los servidores de inferencia, las plantillas de conversación, los mecanismos de comunicación entre contenedores y los servicios que permiten al agente interactuar con el sistema.

El envenenamiento de plantillas de chat resulta particularmente delicado porque puede introducir instrucciones persistentes en una capa que normalmente permanece invisible para los usuarios y consumidores de la API.

La ausencia actual de un CVE, versiones afectadas claramente identificadas y una versión corregida oficialmente dificulta que los operadores puedan determinar con precisión su nivel de exposición. Por ello, hasta disponer de información adicional de NVIDIA, la recomendación más prudente es mantener Ollama restringido al entorno local, evitar configuraciones que expongan innecesariamente el puerto 11434 y revisar cuidadosamente las rutas de integración utilizadas por NemoClaw.

El incidente también refuerza una tendencia observada en investigaciones recientes: los servicios de IA que se ejecutan localmente pueden convertirse en objetivos atractivos para ataques originados desde páginas web aparentemente inofensivas. A medida que los agentes de IA adquieren acceso a archivos, herramientas, terminales y otros recursos del sistema, una manipulación aparentemente pequeña de su backend puede terminar teniendo consecuencias mucho mayores.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Hola buen dia tengas todos, necesito si alguien lee este post saber como evadir un portal cautivo de mikrotik para poder tener acceso a internet, si alguien esta en linea que me de una ayuda de como debo hacerlo. saludos de antemano.

You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or LoginComo mi primer post aquí, quise compartir con los foreros esta app que es muy conocida y me gusta mucho, que es relacionada con ingeniería inversa y que no estaba aquí. Entonces, ¿Qué hay de malo y en qué le molesta tanto en que yo lo comparta en otros foros? Yo lo uso y mucha gente. Se supone que estoy en un foro de libre expresión siguiendo totalmente las reglas. Su screenshot muestra un falso positivo de VBA32, que muetra 1 detección de 69 y es una herramienta muy por debajo de sus competidores en el sector de seguridad que casi nadie usa ni conoce y se destaca por sus errores continuos de detección. Investigue mejor de él sr. moderador, y más encima borras los enlaces que ni siguiera eran directos a una descarga, sino más bien una referencia al sitio oficial para que ellos se informen primero en esa página, pero te pones autoritario que con 48 horas me vas a echar o como me tratas casi como un delincuente o no sé qué. Esto último me parece una falta de respeto y una discriminación de tu parte.

Tranquil@, se entiende que en el amplio mundo del internet siempre hay listillos que abusan de la confianza de personas que no tienen mucho conocimiento y es donde aprovechan para dejar "regalitos" no declarados. Es justamente por eso que el MOD se toma el tiempo de echarle un pequeño analisis, quizas no con una herramienta profesional de la NASA o descompilando al codigo fuente, pero una alerta por mas minima que sea; es una alerta presente y ya luego vendra el analisis a fondo si corresponde.

Lo unico que se quiere es que el foro no caiga en mal nombre como tantos otros que ofrecen descargas maliciosas

The New York Times Best Sellers: Non-Fiction – August 30, 2026



Language: English | Format: epub |2026| Size: 122 MB

List:

01. REGIME CHANGE by Maggie Haberman and Jonathan Swan
02. THE DAY AFTER by Brian Tyler Cohen
03. STRANGERS by Belle Burden
04. THE BODY KEEPS THE SCORE by Bessel van der Kolk
05. LONDON FALLING by Patrick Radden Keefe
06. BIOLOGICAL WAR by Annie Jacobsen
07. DOGS, BOYS, AND OTHER THINGS I'VE CRIED ABOUT by Isabel Klee
08. BORN A CRIME by Trevor Noah
09. ALL THAT'S UNSEEN by Emilee Hackney
10. COMMUNION by JD Vance
11. SALT by Mark Kurlansky
12. ALL ABOUT LOVE by bell hooks
13. THE GLASS CASTLE by Jeannette Walls
14. THE ANXIOUS GENERATION by Jonathan Haidt
15. REVOLUTION by Eric Metaxás

https://www.up-4ever.net/2uaqm42791ev
https://mega4upload.net/pk0hujuw9yk5
https://filespayouts.com/bkfvpg9uxt96/NBS30Aug26nonf.rar
https://rg.to/file/8704e29f770e67a0986ba7e86ca12b28

Como mi primer post aquí, quise compartir con los foreros esta app que es muy conocida y me gusta mucho, que es relacionada con ingeniería inversa y que no estaba aquí. Entonces, ¿Qué hay de malo y en qué le molesta tanto en que yo lo comparta en otros foros? Yo lo uso y mucha gente. Se supone que estoy en un foro de libre expresión siguiendo totalmente las reglas. Su screenshot muestra un falso positivo de VBA32, que muetra 1 detección de 69 y es una herramienta muy por debajo de sus competidores en el sector de seguridad que casi nadie usa ni conoce y se destaca por sus errores continuos de detección. Investigue mejor de él sr. moderador, y más encima borras los enlaces que ni siguiera eran directos a una descarga, sino más bien una referencia al sitio oficial para que ellos se informen primero en esa página, pero te pones autoritario que con 48 horas me vas a echar o como me tratas casi como un delincuente o no sé qué. Esto último me parece una falta de respeto y una discriminación de tu parte.