Hoy traemos 4 noticias que ningún equipo de tecnología puede ignorar. Un bug en el kernel de Linux que abre las puertas a cualquiera con acceso local — incluyendo Android. Un condado de Ohio que pagó $1 millón en Bitcoin para que no filtraran sus archivos. Corea del Norte metiendo malware en paquetes npm, Go y extensiones de Chrome. Y la ONU ultimando su primer Diálogo Global de Gobernanza de IA. Vamos al grano.
1. Bad Epoll (CVE-2026-46242): El bug del kernel de Linux que entrega root sin pedir permiso
Un investigador independiente, Jaeyoung Chung, descubrió y documentó una vulnerabilidad crítica en el kernel de Linux — bautizada como Bad Epoll — que permite a cualquier usuario sin privilegios escalar a root en escritorios, servidores y dispositivos Android. La falla está registrada como CVE-2026-46242 y el parche ya está disponible.
Lo más interesante: Bad Epoll vive en el mismo fragmento de código donde Mythos, el modelo de IA más potente de Anthropic, encontró recientemente otro bug. La IA atrapó uno y se le escapó el otro.
"Dos partes del kernel intentan limpiar el mismo objeto interno al mismo tiempo. Una libera la memoria mientras la otra sigue escribiendo en ella. Esa colisión permite a un atacante corromper la memoria del kernel y escalar de una cuenta normal a root." — Jaeyoung Chung, en su writeup técnico público.
El exploit de Chung amplía la ventana de colisión y reintenta sin crashear el sistema, logrando root aproximadamente el 99% de las veces en sistemas probados. Dos datos que elevan la preocupación:
- Se puede disparar desde dentro del sandbox del renderer de Chrome, que normalmente bloquea casi cualquier otro bug de kernel.
- Afecta a Android, algo que la mayoría de bugs de escalado de privilegios en Linux no logran.
Ambos bugs — el que encontró Mythos (CVE-2026-43074) y Bad Epoll — provienen de un solo cambio al código de epoll introducido en 2023, en kernels 6.4+. La solución: aplicar el commit a6dc643c6931 o instalar el backport de tu distribución. No hay workaround porque epoll no se puede desactivar.
Fuente: The Hacker News — New "Bad Epoll" Linux Kernel Flaw
2. Kairos: el grupo que extorsionó a un condado de EE.UU. por $1 millón sin cifrar un solo archivo
Un nuevo caso documentado por Rakesh Krishnan para Ransom-ISAC revela que una entidad gubernamental de EE.UU. — todo apunta a Union County, Ohio — pagó aproximadamente $1 millón de dólares en Bitcoin al grupo Kairos para evitar que filtraran archivos robados. Lo peculiar: Kairos no es un grupo de ransomware tradicional. No cifró nada. Simplemente robó los datos y cobró por no publicarlos.
La negociación duró un mes. Kairos abrió en $3 millones, alegando tener más de 2 terabytes de datos — unos 1.6 millones de archivos. El condado empezó ofreciendo $100,000, subió a $255,000, luego a $430,000. Kairos fijó un ultimátum: $1 millón para el viernes o los archivos salían a la luz.
"El atacante presionó con una carpeta en particular, marcada como 'prosecutors office', advirtiendo que filtrarla ayudaría a criminales a evadir cargos." — del análisis de Ransom-ISAC basado en el chat de negociación filtrado.
El condado pagó el 13 de junio de 2025: aproximadamente 9.44 BTC. En cuestión de horas, los fondos se dividieron y fluyeron hacia wallets vinculadas a los exchanges Bybit, OKX y un servicio ruso llamado BELQI. Krishnan lo resume con precisión: "Pagar para que los datos robados desaparezcan es un acto de fe, y el recibo lo escribe el ladrón."
Este caso ilustra una tendencia preocupante: aproximadamente la mitad de los ataques etiquetados como "ransomware" en 2025-2026 ya no cifran nada. Usan los datos robados como única palanca de presión. Es más rápido, más barato para el atacante e igual de devastador para la víctima.
Fuente: The Hacker News — U.S. Government Entity Paid Kairos $1 Million
3. PolinRider: Corea del Norte publica 108 paquetes maliciosos en npm, Go, Composer y Chrome
Los actores de amenazas vinculados a Corea del Norte — los mismos detrás de la campaña Contagious Interview — han publicado 108 paquetes y extensiones maliciosas en los ecosistemas npm, Packagist (PHP), Go y Chrome Web Store. La campaña, bautizada como PolinRider, sigue activa y se espera que sigan apareciendo nuevos paquetes.
Socket, la firma de seguridad que documentó la campaña, reportó 162 artefactos maliciosos distribuidos así:
- 61 módulos de Go
- 19 librerías npm
- 10 paquetes Composer (PHP)
- 1 extensión de Google Chrome
"La campaña sigue activa, y es probable que sigan apareciendo nuevos paquetes maliciosos a medida que los actores comprometen cuentas de maintainers, modifican repositorios legítimos y publican versiones infectadas donde retienen u obtienen acceso al registro." — Karlo Zanki, investigador de seguridad de Socket.
El modus operandi es ingeniería social de alto nivel: los atacantes se hacen pasar por reclutadores en LinkedIn, GitHub y plataformas freelance, montan empresas falsas con perfiles de empleados generados por IA, y convencen a desarrolladores de ejecutar código malicioso durante "entrevistas técnicas" o "pruebas de código". El malware después se propaga modificando repositorios legítimos e insertando payloads ofuscados en archivos de configuración como postcss.config.mjs, tailwind.config.js o eslint.config.mjs.
Desde abril de 2026, la campaña ha comprometido 1,951 repositorios públicos de GitHub pertenecientes a 1,047 propietarios distintos.
Fuente: The Hacker News — North Korean Hackers Publish 108 Malicious Packages
4. Gobernanza global de IA: la ONU se sienta a la mesa y la UE aprieta el paso
Mientras el ecosistema tech avanza a velocidad de vértigo, los reguladores intentan ponerse al día. Dos hitos marcan la agenda de julio:
La ONU celebrará su primer Diálogo Global sobre Gobernanza de IA en Ginebra los días 6 y 7 de julio, apenas unos días después de esta publicación. El encuentro llega tras la publicación del primer informe científico global e independiente sobre los riesgos, oportunidades e impactos de la IA, que advierte que "las capacidades de la IA están superando la comprensión científica y la capacidad de adaptación de los gobiernos", con mención explícita a posibles "daños catastróficos".
En Europa, la UE publicó el Código de Transparencia definitivo para el AI Act, con fecha límite de cumplimiento en agosto de 2026. Las empresas que operen en suelo europeo deberán demostrar trazabilidad, etiquetado de contenido sintético y auditoría de modelos de alto riesgo.
Mientras tanto, la industria no se detiene: agentes autónomos con memoria, uso de herramientas y planificación multi-paso están pasando de experimento a implementación empresarial. La IA multimodal — capaz de procesar texto, imagen, video y audio simultáneamente — se consolida como el nuevo estándar.
Fuente: UN News — Global Dialogue on AI Governance · TLT AI Brief July 2026
En resumen: un bug del kernel que tu equipo debe parchar ya, un condado que pagó $1M por archivos que quizá sigan circulando, Corea del Norte metiendo malware en tus dependencias de npm y Go, y una ONU que por fin se sienta a discutir gobernanza global de IA. Si hoy es 4 de julio y estás leyendo esto antes de tu BBQ, ya sabes qué hacer el lunes. 🔥
📬 ¿Quieres recibir este resumen en tu bandeja? Escríbenos a andy@w-admin.com — o síguenos en Telegram.