Esta semana la noticia que más trabajo da no es de IA: PHP2Shell afecta a medio internet y ya se está explotando. Si tienes algo en PHP, empieza por ahí.
En IA, lo más interesante para quien programa es ver a los modelos haciendo trabajo de seguridad real, tanto para defender como para atacar.
Ciberseguridad
PHP2Shell: dos fallos críticos permiten ejecutar código en servidores PHP sin credenciales
CVE-2026-109618 y CVE-2026-109619 permiten ejecución remota de código y afectan a WordPress, Drupal, Joomla y Magento. El parche salió antes de lo previsto porque una filtración rompió el embargo, y ya hay ataques. La NSA ha publicado un aviso recomendando parchear.
Por qué importa: Si mantienes cualquier aplicación PHP, actualiza a la versión corregida hoy mismo: no hace falta autenticarse para explotarlo.
Fuente: PHP Foundation
Ciberseguridad
PAN-OS GlobalProtect (CVE-2026-0257), explotado por grupos de ransomware
Unit 42 confirma explotación activa de esta vulnerabilidad de GlobalProtect por los grupos Qilin e Inc. La misma semana hubo explotación de Plex Media Server (Plex2Shell) y de Siemens Software Center.
Por qué importa: La VPN corporativa es la puerta de entrada favorita del ransomware; si tu empresa usa GlobalProtect, confirma que está parcheada.
Fuente: Unit 42
Ciberseguridad
Storm-0940 usa un sistema de pentesting agéntico en un ataque a la cadena de suministro
Microsoft describe cómo un grupo vinculado a China usó ARTEX, un sistema de pentesting basado en agentes de IA, para comprometer la cadena de suministro de ConnectWise.
Por qué importa: Los atacantes ya automatizan el reconocimiento y la explotación con agentes; el tiempo entre publicar un fallo y que te ataquen se acorta.
Fuente: Microsoft Security Blog
IA
Claude revisa propiedades de seguridad en 123 librerías open source con verificación formal
Anthropic publica una investigación en la que Claude comprobó formalmente propiedades de seguridad en 123 librerías de código abierto y encontró errores que llevaban tiempo sin detectarse.
Por qué importa: Es una señal de hacia dónde van las herramientas de revisión de código: más allá del linter, comprobaciones formales asistidas por IA.
Fuente: Anthropic
Cloud
Los modelos de OpenAI y Codex llegan a Google Cloud
Los clientes de Google Cloud podrán usar los modelos de frontera de OpenAI y Codex desde Model Garden. La disponibilidad general llegará en las próximas semanas.
Por qué importa: Si tu infraestructura está en Google Cloud, podrás usar modelos de OpenAI con la misma facturación, permisos y red, sin integrar otro proveedor.
Fuente: OpenAI
IA
Mistral y NVIDIA se alían para IA en ingeniería industrial
La alianza conecta los modelos de Mistral con las herramientas de simulación de NVIDIA. También planean benchmarks para agentes que trabajen en diseño de chips.
Por qué importa: Los agentes empiezan a salir del código y la ofimática hacia la simulación y el diseño de hardware, con benchmarks propios.
Fuente: Mistral AI
Web
Los nuevos términos de Meta permiten entrenar IA con contenido de webs de empresas
Desde el 30 de octubre, los términos comerciales de Meta permiten usar contenido de sitios de empresas para entrenar IA sin una opción de exclusión separada. Meta indica que robots.txt puede limitar el acceso.
Por qué importa: Si gestionas una web y no quieres que se use para entrenar modelos, revisa tu robots.txt antes del 30 de octubre.
Fuente: Nieman Lab
Herramientas
Vercel: el gasto en IA de sus clientes se multiplica por 13 en nueve meses
Según el informe de su AI Gateway, el gasto en IA de los clientes en septiembre fue unas 13 veces el de diciembre, aunque el precio por unidad bajó un 47 %.
Por qué importa: Que los tokens sean más baratos no hace que la factura baje: conviene poner límites y medir el consumo de IA en producción.
Fuente: Vercel
Si alguna noticia te ha hecho cambiar algo en tu stack esta semana, me encantará leerlo en los comentarios del blog.