27 de agosto de 2026

Bill Gates publica su ensayo más sombrío: «La IA será el mayor igualador o la peor fuente de injusticia»

Bill Gates publica su ensayo más sombrío: "La IA será el mayor igualador o la peor fuente de injusticia"

Bill Gates no tiene costumbre de lanzar advertencias sin datos. Lleva años siendo explícitamente optimista sobre la inteligencia artificial, mencionando su potencial para acelerar tratamientos médicos, mejorar la educación y reducir desigualdades. El ensayo de casi 6.000 palabras que publica este 26 de agosto tiene un tono distinto.

«Hemos cruzado el umbral en las capacidades biológicas, cibernéticas, psicosociales y de destrucción del mercado laboral de la IA, e incluso en el control de estos sistemas», declaró en una entrevista con MIT Technology Review. «Estoy muy preocupado.» Lo recogen en paralelo Axios, GeekWire, Reuters, Fortune y el New York Times, que publicó el ensayo original.

El cambio no es menor. Gates lleva décadas siendo la voz racional entre los tecnólogos: el que recuerda que la tecnología también puede hacer daño, pero que el remedio no es frenarla sino gobernarla. Este ensayo amplifica la preocupación pero mantiene la estructura: hay riesgos concretos, y hay propuestas concretas. El tono es el de alguien que ha decidido que ya no es suficiente señalar los problemas en privado.

Tres riesgos que Gates cree que nadie está gestionando en serio

El primero es el mercado laboral. Gates anticipa que «muchos empleos desaparecerán para siempre», con especial impacto en los jóvenes que ven desaparecer los puestos de entrada. El impacto afecta tanto a trabajos de oficina —atención al cliente, soporte— como industriales —manufactura, logística—. El anuncio de Meta de 8.000 despidos en mayo de 2026 y la reestructuración para financiar la apuesta por IA con capex récord es el tipo de señal que Gates lee como tendencia, no como excepción. La pregunta que no responde ninguna empresa es qué empleos reales van a crear con esa eficiencia ganada.

El segundo riesgo es la seguridad. Gates describe la IA como un multiplicador para actores que quieran desplegar ataques biológicos o cibernéticos, y considera que los gobiernos no han establecido umbrales claros sobre qué niveles de capacidad desencadenan qué respuestas. Sobre el marco de seguridad de IA que la Casa Blanca finalizó en agosto, dice que «parece completamente vacío» porque no especifica qué umbral activa qué acción. Si el proceso sigue siendo voluntario sin líneas y sin consecuencias, dice, «vamos a mirar atrás en este período como una especie de momento del ojo del huracán». La metáfora es tan clara como inquietante.

El tercero es el impacto en niños y adolescentes: interacciones con IA que sustituyen conexiones humanas reales, y sesgos algorítmicos que refuerzan comportamientos de riesgo. Gates cree que los padres y los sistemas educativos no tienen todavía las herramientas para gestionar este cambio.

Las propuestas concretas que Gates pone sobre la mesa

Gates no se queda en el diagnóstico. Propone crear un organismo global de gobernanza de la IA. Sugiere reservar al menos un 40% de los puestos de trabajo para humanos como referencia mínima, aunque reconoce que el número es simbólico más que técnicamente fundamentado. Propone un impuesto sobre los tokens de IA —la unidad básica de procesamiento de los modelos— para financiar transición laboral y educación.

Quiere reunirse con el presidente chino Xi Jinping para proponer acuerdos internacionales sobre restricciones de modelos peligrosos. «El mundo entero lo seguiría», dijo a Reuters, con la condición de que Estados Unidos tomara la iniciativa primero. Es la primera vez que Gates articula tan explícitamente la necesidad de coordinación sino-americana en regulación de IA.

Lo más revelador de la entrevista con GeekWire es la descripción de su propio uso cotidiano: a las 3 de la mañana, cuando quiere entender las baterías de sodio, rebota la pregunta entre Claude, ChatGPT y luego él interviene en medio. No hay nadie más a quien llamar a esa hora. La integración de Claude como herramienta de trabajo en aplicaciones como Word para revisión de contratos legales forma parte del mismo fenómeno: la IA no es ya una opción, es la infraestructura sobre la que funciona el conocimiento de quien tiene acceso. Gates también menciona que su optimismo original sobre usar la IA para estudiar y aprender mejor no ha desaparecido; lo que ha cambiado es su certeza de que eso ocurrirá de forma equitativa.

Lo que significa que Gates hable ahora con esta contundencia

Gates no suele publicar documentos de alarma. Su carta anual suele ser optimista. Y sus interlocutores en los laboratorios de IA, según sus propias palabras, «no conozco a nadie que no esté preocupado», aunque en público el discurso sea distinto. La brecha entre lo que dicen los CEOs en público y lo que expresan en privado es, según Gates, uno de los problemas: nadie quiere ser el que frena el tren.

Hemos cubierto los discursos de Gates sobre tecnología desde la era de la pandemia, y hay una diferencia de tono notable. En 2015, advirtió sobre pandemias en una charla TED que pocos tomaron en serio. En 2026, el timing de la advertencia sobre IA es diferente: los sistemas ya existen, ya se están desplegando, y ya están generando los problemas que él describe. La ventana para actuar antes de que las consecuencias sean irreversibles, dice Gates, se está cerrando.

El argumento de Gates tiene un punto débil que él mismo reconoce: ha intentado hablar con la administración Trump sobre esto, y no sabe bien con quién debería hablar. Que el mayor filántropo tecnológico del mundo no tenga un interlocutor claro en el gobierno sobre los riesgos más urgentes que identifica no es una crítica a Gates; es exactamente el diagnóstico que intenta hacer. La alarma del hombre que predijo las pandemias en 2015 merece, por lo menos, un número de teléfono.

En nuestra experiencia cubriendo los informes anuales de Gates desde 2015, hay una diferencia de calidad en este ensayo que vale la pena señalar: es el primero en el que Gates cita explícitamente los sistemas de IA generativa como vector de daño, no solo como herramienta de solución. Antes siempre había una salida optimista en el último párrafo. Esta vez la salida optimista requiere acción concreta antes de un plazo que él mismo describe como «cerrándose». Las implicaciones para los gobiernos, las empresas y los individuos que usan IA a diario son reales: el optimismo sobre el potencial de la tecnología y la preocupación por su gobernanza no son posiciones contradictorias. En nuestra experiencia siguiendo el debate público sobre IA desde las primeras comparecencias de Sam Altman en el Congreso en 2023, la novedad de este ensayo no es el argumento sino el tono: Gates ya no concede el beneficio de la duda a los plazos voluntarios. Gates lleva años demostrando que pueden coexistir. Lo nuevo es la urgencia del tono.




☞ El artículo completo original de Natalia Polo lo puedes ver aquí

Una ley de 1634 impide a los europeos demandar a Meta o Google juntos: el problema de fondo que nadie quiere resolver

Una ley de 1634 impide a los europeos demandar a Meta o Google juntos: el problema de fondo que nadie quiere resolver

Cuando Volkswagen llegó a un acuerdo con consumidores estadounidenses por el escándalo del Dieselgate, pagó más de 9.500 millones de dólares. En Europa no había ninguna vía comparable para que los afectados reclamaran colectivamente. Eso impulsó la Directiva de Acciones Representativas de la UE, aprobada en 2020 y en vigor desde entonces.

El problema: la directiva permite las acciones colectivas, pero la mayoría de las grandes tecnológicas con sede europea operan desde Irlanda. Y en Irlanda sigue vigente una ley de 1634 que las hace prácticamente imposibles. Lo cuenta Ellen O’Regan para Politico el 26 de agosto de 2026.

Irlanda es el único país de la Unión Europea que prohíbe la financiación de un litigio por parte de alguien ajeno al caso. No hay una forma de matizarlo: si no eres parte del proceso, no puedes poner dinero. Esa norma tiene nombre: la figura de champerty, heredada del derecho inglés e incorporada a estatuto irlandés en 1634. Inglaterra abolió el delito en 1967. Irlanda, no. Son casi 60 años de divergencia que hoy tienen consecuencias directas para millones de ciudadanos europeos.

¿Cómo funciona la directiva europea y por qué choca con la ley irlandesa?

La Directiva de Acciones Representativas restringe quién puede presentar una demanda colectiva: solo entidades sin ánimo de lucro que cumplan los criterios de cualificación. Las ONG no tienen fondos propios para litigar contra Meta o Google. Necesitan financiación externa. Y eso es exactamente lo que Irlanda prohíbe. La ironía es total: la directiva dice que los consumidores tienen derecho a demandar colectivamente; Irlanda dice que nadie puede financiar la demanda.

El resultado es elocuente: cinco ONG registradas en Irlanda para presentar este tipo de acciones, tres con historial documentado contra grandes tecnológicas —el Irish Council for Civil Liberties, Noyb y Digital Rights Ireland—, y un único caso presentado en cinco años. El ICCL demandó a Microsoft por su sistema de publicidad programática, usando fondos propios de donaciones y filantropía.

Johnny Ryan, del ICCL, lo cuantifica: «Llevar un litigio complejo como este en Irlanda cuesta como mínimo un millón de euros en la primera instancia. No podemos presentar múltiples casos a menos que el Estado nos permita captar los fondos necesarios.»

Cuando Irlanda transpuso la directiva al derecho nacional, fijó en 25 euros la cuota máxima que un consumidor paga para unirse a una acción colectiva. La interpretación del Gobierno es que eso cumple el requisito de accesibilidad. Frente al millón de euros de coste de la demanda, esa cifra no cambia la ecuación.

El mapa de por qué esto no es un problema solo irlandés

Que Irlanda sea el nudo del problema tiene una explicación directa: Meta, Google, Microsoft, TikTok y Apple operan sus negocios europeos desde Dublín. Cuando la regulación de datos personales encontró a Google o a Meta incumpliendo el GDPR, que cumple ahora siete años y cuya vigencia en la era de la IA generativa es más necesaria que nunca, la autoridad que instruía el expediente era la irlandesa. Y cuando un consumidor quiere demandar colectivamente a una de esas empresas, tiene que empezar en Irlanda.

Los reguladores europeos pueden multar y lo hacen: la autoridad holandesa impuso este mes 825 millones de euros a Uber por suspensiones automatizadas de conductores. Ese dinero va al Estado, no a los afectados. La acción colectiva es el mecanismo que mueve la compensación hacia los consumidores. En la jurisdicción donde tienen sede todos los demandados, ese mecanismo está bloqueado.

El contraste con el sistema americano es llamativo. En nuestra experiencia siguiendo los procedimientos de la Comisión Europea, los expedientes de infracción contra jurisdicciones nacionales tardan años en resolverse — pero cuando se resuelven, las consecuencias son reales. Un streamer de Twitch demandó la semana pasada a Twitch y Amazon como acción colectiva individual, sin necesitar una ONG ni un régimen de financiación. Meta está en un juicio en Oakland ahora mismo donde cuatro estados reclaman penalizaciones que la propia empresa estima en 1,4 billones de dólares. Europa tiene los reguladores. Estados Unidos tiene los demandantes.

El problema no se limita a las plataformas digitales. En sectores como la vigilancia tecnológica, el fenómeno de empresas de cámaras de matrícula como Flock Safety y el backlash que generan en 36 estados por la ausencia de regulación federal ilustra cómo la fragmentación regulatoria no es exclusiva de Europa: es el patrón dominante cuando la tecnología avanza más rápido que los marcos jurídicos. Y la forma en que Alemania ha forzado a Apple a igualar sus avisos de privacidad entre apps propias y de terceros tras cuatro años de investigación de la Bundeskartellamt demuestra que hay voluntad en Europa para presionar eficazmente cuando existe el mecanismo legal adecuado.

¿Tiene Irlanda intención de cambiar algo?

La Comisión de Reforma Jurídica irlandesa publicará antes de final de año un informe sobre si las normas deben modificarse. El ministro de Justicia, Jim O’Callaghan, ya ha señalado que está «muy reticente» a permitir la financiación de litigios por terceros, citando el riesgo de «mercantilizar la justicia». La objeción no carece de fundamento: los críticos del sistema americano de litigation finance señalan exactamente esos excesos.

La Comisión Europea vigila. En respuesta a Politico, confirmó que está en «estrecho contacto con todos los Estados miembros, incluida Irlanda» y que evalúa cómo cada uno ha transpuesto la directiva. También recordó la obligación: donde se prohíba la financiación de litigios por terceros, hay que garantizar que los costes del proceso no constituyan un obstáculo para ejercer el derecho a la acción colectiva. Irlanda tiene un caso en cinco años. Es el número de partida para cualquier revisión.

El problema irlandés no requiere decisiones heroicas: requiere actualizar una ley del siglo XVII que ningún jurista defiende por sus méritos, solo por el precedente que establece moverla. Si la Comisión decide pasar de evaluar a actuar, tiene poderes de infracción. Esa es la amenaza real, y puede ser la única que funcione.

Llevamos cubriendo el litigio tecnológico europeo desde las primeras multas del GDPR, y hay un patrón que se repite: la regulación europea gana en papel y pierde en ejecución porque los mecanismos de enforcement son lentos y los incentivos de las jurisdicciones nacionales no siempre se alinean con el interés del consumidor europeo. Irlanda se ha beneficiado económicamente de ser el hogar regulatorio de las grandes tecnológicas durante dos décadas. Esa ventaja se sostiene mientras las empresas confíen en que la regulación será predecible y los riesgos legales, manejables. Si la Comisión presiona con procedimientos de infracción, el cálculo cambia. No de un día para otro, pero cambia. Y ese puede ser el único argumento que mueva una ley de 1634.




☞ El artículo completo original de Natalia Polo lo puedes ver aquí

Mark Zuckerberg quiso convertir a Meta en "nativa de IA" reduciendo un 60% el tamaño de sus equipos. Ha sido un completo desastre

Mark Zuckerberg quiso convertir a Meta en "nativa de IA" reduciendo un 60% el tamaño de sus equipos. Ha sido un completo desastre

En enero, Mark Zuckerberg reunió a su círculo directivo más cercano en su casoplón de Hawái para discutir sobre el futuro de su plantilla. Sobre la mesa tenían un plan con nombre de película de espías: Project OT (de Organization Transformation).

Según una investigación publicada por Reuters, lo que ese plan planteaba era tan simple como radical: dejar que la IA hiciera el trabajo diario del 60% del personal de Meta, y que solo unos pocos humanos la vigilasen. Meses después, el propio Zuckerberg tuvo que echar el freno a esa iniciativa.

Project OT y la promesa del 60%. Bajo el nombre en clave Project OT, los ejecutivos de Meta diseñaron un plan para convertir la empresa en una compañía "nativa de IA", según reveló la investigación de Reuters tras revisar decenas de documentos internos y hablar con más de veinte personas cercanas al proyecto.

Lo que implicaba esa "transformación organizativa" era el recorte de hasta el 60% en el personal de algunos equipos de Meta (no de la plantilla total de la compañía). Su argumento lo hemos escuchado alguna que otra vez en los últimos años: una persona con IA puede asumir el trabajo que antes hacían varios empleados, así que no es necesario tener equipos con tantos miembros. El plan preveía dos rondas de cambios, reubicaciones y despidos: una en mayo y otra en noviembre.

La primera ronda se cumplió. Cumpliendo con la hoja de ruta marcada por Project OT, el 20 de mayo Meta ejecutó la primera parte del plan. Despidió al 10% de su plantilla y trasladó a otras 7.000 personas hacia otros proyectos de IA casi de la noche a la mañana.

Aunque el movimiento no pasó inadvertido por su volumen, tampoco se vio como algo sospechoso porque todo el sector tecnológico usó a la IA como excusa para recortar plantilla. De hecho, Según datos recogidos por Xataka, la IA justificó más de 12.000 despidos en 2026, un 8% del total registrado ese año. Meta fue solo el caso más ambicioso.

Los agentes se descontrolan. Sin embargo, con la primera fase del proyecto ya desplegado, comenzaron a surgir los primeros problemas. Ya en marzo, antes de consumarse la primera ronda de despidos en Meta, los equipos de infraestructura avisaban de fallos de fiabilidad en el código generado por los agentes de IA. Según destacaba Ars Technica, en abril un aviso interno describía algo más preocupante: agentes de IA de Meta habían ejecutado acciones "a gran escala" y disruptivas que ningún humano habría aprobado.

Los datos internos a los que ha tenido acceso Reuters revelan que los incidentes técnicos y de seguridad subieron un 40%, y el tiempo que el personal dedicaba a arreglar esos fallos creció un 70%. Cuanto más código escribía la IA, menos mejoraba el producto final para los usuarios. La productividad prometida se había convertido en un agujero negro para el tiempo de trabajo de los pocos humanos que quedaban en los equipos.

Vigilancia y una rebelión interna. Mientras los agentes de IA no daban pie con bola, Meta comenzó a monitorizar las pulsaciones de teclado y los clics de ratón de sus empleados en EEUU. Muchos entendieron rápido para qué serviría esa monitorización: entrenar agentes capaces de imitar su propio trabajo. La reacción no tardó en llegar en forma de petición de la retirada del sistema de monitorización (Iniciativa de Capacidades Modelo o MCI) y los canales internos se llenaron de mensajes de enfado de los empleados.

El malestar no se calmó ni con gestos de la empresa. Semanas después, cuando Meta propuso un hackatón para subir la moral. No obstante, tal y como recogió Wired, buena parte de la plantilla lo vivió como algo fuera de lugar.

Zuckerberg pulso el botón del pánico. La noche del 19 de mayo, horas antes de hacer oficial la primera gran ronda de despidos, Zuckerberg canceló la segunda ronda prevista para noviembre.

Meta mantuvo los recortes del día siguiente, pero enterró el resto del plan de reorganización. Meta explicó después a Reuters que el ejercicio sirvió para reasignar personal en puestos mejor orientados para su estrategia de IA, aunque "no implementamos todos los escenarios" que se habían diseñado. Dicho sin eufemismos, vendieron la piel del oso antes de cazarlo, despidiendo a buena parte de su plantilla antes de comprobar si, realmente, la IA iba a ofrecer la suficiente fiabilidad como para mejorar la productividad de quienes permanecieran.

Borrón y cuenta nueva. Zuckerberg prometió que no habría más despidos masivos ese año. La compañía pausó el rastreo de teclado y ratón, y dejó volver a sus puestos a algunos empleados reubicados. En julio reconoció ante su plantilla que se equivocó con los tiempos y que la tecnología de agentes no avanzaba tan rápido como esperaba.

El sueño de una Meta con apenas humanos sigue ahí, latente, pero Zuckerberg sale con una lección aprendida. Solo necesita algo de tiempo para mejorar la fiabilidad de los agentes para reactivar Project OT de nuevo.

En Xataka | Llevamos años preguntándonos cuántos empleos destruirá la IA. Satya Nadella tiene otra teoría: estamos haciendo mal la pregunta

Imagen | Meta

-
La noticia Mark Zuckerberg quiso convertir a Meta en "nativa de IA" reduciendo un 60% el tamaño de sus equipos. Ha sido un completo desastre fue publicada originalmente en Xataka por Rubén Andrés .



☞ El artículo completo original de Rubén Andrés lo puedes ver aquí

OpenAI ya tiene listo su chip de inferencia. Se llama Jalapeño y ha conseguido algo inesperado: superar a Nvidia

OpenAI ya tiene listo su chip de inferencia. Se llama Jalapeño y ha conseguido algo inesperado: superar a Nvidia

OpenAI acaba de sacar pecho con su primer chip de inferencia IA, al que ha bautizado con el curioso nombre de "Jalapeño". Este chip acelerador de IA permite ejecutar modelos ya entrenados y generar las respuestas que recibimos al usar ChatGPT, la API o un agente. Los analistas de SemiAalysis ya han podido analizar ese componente y tienen una conclusión incómoda para Nvidia: en varias de las cargas de prueba, Jalapeño supera a los chips Nvidia Blackwell.

Jalapeño muestra sus poderes. OpenAI ha diseñado un chip especializado en inferencia de grandes modelos de lenguaje (LLMs), sacrificando parte de la flexibilidad de una GPU a cambio de optimizar la tarea que más le interesa: la ejecución de esos modelos. SemiAnalysis lo probó con modelos abiertos como GPT-OSS 120B, DeepSeek R1 670B y Kimi K2.5 1T y encontró ventajas en dos métricas importantes: latencia y rendimiento por vatio. Dependiendo del modelo y la configuración, OpenAI habla de hasta 3,6 veces menos latencia y entre 1,5 y 1,9 veces más rendimiento por vatio que Blackwell.

Y eso que aún no está del todo optimizado. Los analistas de SemiAnalysis destacana además cómo Japapeño consigue superar a Blackwell en rendimiento por vatio prácticamente en todos los escenarios analizados sin siquiera usar la técnica Multi-Token Prediction (MTP), que permite generar varios tokens de forma especulativa y que sí estaba activa en configuraciones rivales. En cuanto incluya esa optimización, el chip podrá mejorar aún más su rendimiento, y de hecho en coste total de propiedad (TCO) los analistas creen que Jalapeño se acerca incluso a Vera Rubin, la próxima generación de chips de IA de Nvidia.

Nvidia sigue teniendo sus fortalezas. Hay que dejar claro que Jalapeño está creado para una tarea muy concreta. Nvidia sigue teniendo una ventaja enorme en el ámbito del entrenamiento de modelos y, sobre todo, en el ecosistema CUDA que lleva casi dos décadas construyendo. OpenAI seguirá necesitando muchísimas GPUs de Nvidia para entrenar sus modelos, y también probablemente para parte de la inferencia. 

Chips a medida. Aun así en OpenAI saben mejor que nadie las necesidaes que tienen sus modelos a la hora de ser usados, y ese conocimiento permite que diseñen un chip específicamente orientado a ejecutar esas cargas de trabajo de forma óptima. Cuando vas a  hacer eso miles de millones de veces, tener un chip a medida puede ser más eficiente que tener una GPU diseñada para hacer muchas cosas distintas.

Incentivos. Entrenar un modelo cuesta una fortuna, pero lo haces una vez. Servirlo (la parte de inferencia) cuesta dinero cada vez que alguien lo usa. Eso es cada vez más importante con unos agentes de IA que pueden requerir muchísimas peticiones para completar una tarea. Jalapeño no está pensado para venderse a otras empresas, al menos de momento. OpenAI quiere usarlo en su propia infraestructura. La compañía liderada por Sam Altman quiere reducir cuánto le cuesta cada token, y al mismo tiempo no depender tanto de Nvidia.

La batalla de la inferencia IA. Google lleva años utilizando sus TPU, Amazon tiene Titanium e Inferentia, y Microsoft, Meta y otros también disponen de chips de IA especializados que poco a poco van planteando más y más competencia a Nvidia. La empresa de Jensen Huang puede seguir dominando los chips para entrenamiento, pero está claro que en el ámbito de la inferencia la competencia aprieta, aunque aquí, cuidado, Nvidia tiene un as en la manga tras la compra de Groq.

En Xataka | Europa se está tomando tan en serio su independencia tecnológica que apunta hacia el objetivo más ambicioso: NVIDIA

-
La noticia OpenAI ya tiene listo su chip de inferencia. Se llama Jalapeño y ha conseguido algo inesperado: superar a Nvidia fue publicada originalmente en Xataka por Javier Pastor .



☞ El artículo completo original de Javier Pastor lo puedes ver aquí

CISA suma seis fallos explotados al catálogo KEV y eleva la urgencia de parcheo en NetScaler, Linux y SQL Server

CISA añadió el 26 de agosto de 2026 seis vulnerabilidades al catálogo Known Exploited Vulnerabilities (KEV), una señal de explotación activa que suele marcar prioridades inmediatas de corrección. El lote incluye un fallo reciente en Citrix NetScaler y otros cinco más antiguos que han vuelto a aparecer en ataques reales.

Entry image

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) incorporó el 26 de agosto de 2026 seis vulnerabilidades a su catálogo Known Exploited Vulnerabilities (KEV), una lista que funciona como termómetro operativo para equipos de seguridad: cuando un fallo entra ahí, la explotación ya no es hipotética. En esta actualización aparecen tecnologías muy extendidas en empresas, desde Citrix NetScaler hasta el kernel de Linux y Microsoft SQL Server, además de componentes habituales en entornos Red Hat y aplicaciones .NET.

La entrada más inmediata por calendario es CVE-2026-8452, que afecta a Citrix NetScaler ADC y NetScaler Gateway. Se asocia a un problema de memoria que puede provocar denegación de servicio, aunque análisis técnicos también han descrito escenarios con ejecución remota de código sin autenticación. Citrix publicó parches el 30 de junio de 2026 y CISA fijó el 29 de agosto de 2026 como fecha límite para que los organismos federales apliquen mitigaciones o actualicen.

El aviso llega acompañado de señales de actividad maliciosa con consecuencias prácticas: se han observado campañas que, tras explotar CVE-2026-8452, dejaron una web shell para mantener persistencia y ejecutaron comandos de reconocimiento para mapear el entorno. En un appliance perimetral, ese tipo de post-explotación suele abrir la puerta a movimientos laterales y robo de credenciales.

El resto del paquete mezcla fallos veteranos que siguen resultando útiles para un atacante. CVE-2019-1068 afecta a Microsoft SQL Server y permite ejecución remota de código en el contexto de la cuenta de servicio del motor, un punto crítico por el acceso que suele tener a datos y recursos. CVE-2022-0995 impacta en el kernel de Linux y posibilita a un usuario local elevar privilegios o forzar una denegación de servicio, un riesgo especial en servidores multiusuario o sistemas donde un atacante ya logró un primer acceso.

También figura CVE-2021-23758, una vulnerabilidad por deserialización de datos no confiables en Ajax.NET Professional, que puede convertirse en ejecución de código si una aplicación expone puntos de entrada vulnerables. Completan la lista CVE-2015-3246, una condición de carrera en Red Hat libuser, y CVE-2015-5287, una escalada de privilegios en Red Hat ABRT.

El mensaje para defensores no admite muchas lecturas: primero, inventario fino, pero práctico, para localizar instancias de NetScaler, servidores con Linux, despliegues de SQL Server, aplicaciones que integren Ajax.NET Professional y equipos Red Hat con libuser o ABRT. Después, parcheo priorizado empezando por sistemas expuestos a Internet y los más críticos para la operativa.

En NetScaler conviene actualizar a versiones corregidas y verificar que el dispositivo no conserva configuraciones o estados vulnerables, sobre todo si actúa como AAA virtual server o Gateway VPN server. A la vez, hay que revisar indicios de intrusión: rastros de web shells, comandos de enumeración y cualquier actividad anómala en los registros. En SQL Server, además del parche, tiene sentido vigilar telemetría del motor para detectar ejecución de código bajo la cuenta de servicio y reducir superficie de ataque mientras se completa la remediación. En Linux, la prioridad pasa por actualizar el kernel donde exista riesgo real de escalada local y reforzar controles de privilegios y monitorización de integridad hasta cerrar la ventana.

Aunque el plazo de KEV se formula para el entorno federal estadounidense, muchas organizaciones lo usan como referencia por una razón simple: si se explota activamente, el retraso se mide en incidentes, no en días.

Más información

La entrada CISA suma seis fallos explotados al catálogo KEV y eleva la urgencia de parcheo en NetScaler, Linux y SQL Server se publicó primero en Una Al Día.



☞ El artículo completo original de Hispasec lo puedes ver aquí