26 de febrero de 2026

El internet pide carnet: cómo la verificación de edad se está convirtiendo en un nuevo peaje digital

verificacion edad

Durante años, la mayoría de webs y apps se conformaban con una pregunta casi simbólica: “¿Eres mayor de edad?”. Era como poner un cartel de “solo adultos” en la puerta de una tienda sin nadie que mirase. Esa etapa se está agotando. La verificación de edad se extiende por redes sociales, plataformas de vídeo, servicios de IA y videojuegos, impulsada por una mezcla de presión política, demandas sociales para reforzar la seguridad infantil online y el temor (muy real) a que los menores accedan a contenidos o funciones que no les corresponden.

El problema es que, cuando el “portero” pasa a existir, también aparecen preguntas incómodas: ¿qué datos hay que enseñar, quién los guarda, cuánto tiempo, para qué más podrían usarse y qué pasa si se filtran? La tensión entre protección y privacidad se ha convertido en el centro del debate.

El App Store como portero: Apple y la edad antes de descargar

Una de las novedades más significativas de 2026 es que el control de edad empieza a moverse “hacia arriba” en la cadena: no solo dentro de cada app, sino ya en la tienda que te permite instalarla. Apple ha presentado herramientas para que los desarrolladores cumplan con “obligaciones de aseguramiento de edad” que llegan por leyes nuevas o inminentes en distintos territorios.

En la práctica, Apple ya aplica un freno directo: en Australia, Brasil y Singapur, las personas no pueden descargar apps calificadas como 18+ si su edad no se ha confirmado con métodos considerados “razonables”, verificados de forma automática por el App Store. La compañía también remarca un matiz clave: aunque la tienda haga ese primer filtro, algunos desarrolladores podrían tener obligaciones adicionales y necesitar una comprobación propia según la normativa aplicable.

Aquí aparece un concepto que veremos repetirse: compartir “rangos” en lugar de fechas exactas. Apple empuja APIs como Declared Age Range para que, en ciertos casos, un desarrollador reciba una categoría de edad y no el dato completo, intentando equilibrar cumplimiento legal y minimización de información.

Discord y el choque con los usuarios: retraso, alternativas y transparencia

Discord se ha convertido en el ejemplo perfecto de lo delicado que es este despliegue. Tras anunciar un plan de verificación global, la reacción fue intensa: muchos usuarios entendieron que habría escaneo facial e ID para todo el mundo, y lo vivieron como una frontera nueva en una app que se percibía “informal” y privada. La compañía ha reconocido que comunicó mal la iniciativa y ha pospuesto el lanzamiento global a la segunda mitad de 2026.

El planteamiento de Discord combina dos ideas. Por un lado, un sistema de “estimación de edad” que intenta inferir si alguien es adulto con señales de cuenta y uso, sin analizar el contenido de mensajes, según ha explicado la empresa. Por otro, cuando esa inferencia no es suficiente, se activan mecanismos de verificación más explícitos, que pueden incluir vídeo-selfie o documentos.

La plataforma promete ampliar opciones (por ejemplo, verificación con tarjeta), documentar qué proveedores usa y publicar explicaciones técnicas sobre su sistema. También intenta suavizar la experiencia con alternativas como “canales spoiler” para ciertos temas, evitando que todo se convierta en una puerta con candado. Y, como telón de fondo, pesa el miedo a incidentes: se ha mencionado una filtración previa ligada a un proveedor externo que expuso identificaciones escaneadas de algunos usuarios, un recordatorio de que estos datos son un botín demasiado tentador.

Cuando la IA “calcula” tu edad: ChatGPT y Google

Si enseñar un documento suena invasivo, muchas compañías están apostando por un enfoque menos frontal: que un modelo “adivine” tu edad con patrones de uso y señales de cuenta. Es como el dependiente que, en vez de pedirte el DNI, te mira y decide si pareces mayor; solo que aquí el “ojo” es un sistema automatizado.

OpenAI ha incorporado predicción de edad en ChatGPT para reforzar protecciones cuando el sistema estima que un usuario podría ser menor de 18. El modelo se apoya en señales conductuales y de cuenta, como antigüedad, horarios típicos de actividad y patrones de uso, junto con la edad declarada si existe. Cuando se activan esas protecciones, se restringe el acceso a ciertos contenidos sensibles y se aplican medidas pensadas para un uso más seguro.

Google también ha comunicado el uso de estimación de edad con IA para detectar cuentas potencialmente de menores y aplicar restricciones, empezando de forma gradual. El atractivo para las plataformas es evidente: menos fricción que pedir documentos a todo el mundo. El riesgo también lo es: los falsos positivos existen y, si te equivocas, puedes bloquear a un adulto como si fuera menor… o dejar pasar a un menor con acceso de adulto.

Juegos, chats y selfies: Roblox y el dilema de la identidad

En el terreno de los videojuegos y las comunidades, el chat suele ser el punto caliente. Roblox ha desplegado requisitos de comprobación de edad para usar funciones de comunicación, apoyándose en estimación facial y, en ciertos casos, verificación con documento o controles parentales. La compañía describe el objetivo como una experiencia de chat más acorde a franjas de edad, con posibilidades de “conexiones de confianza” para hablar con menos filtros entre personas conocidas.

Aquí se ve una realidad práctica: el control de edad no se plantea solo como “ver contenido adulto o no”, sino como habilitar o limitar funciones, desde el tipo de chat hasta con quién puedes interactuar. En términos cotidianos, no es solo la puerta del local; son también las zonas del local a las que puedes acceder.

Leyes que empujan la ola y tribunales que frenan

Detrás del avance hay un mapa legal cada vez más fragmentado. En Estados Unidos, se discuten propuestas para que sean las tiendas de apps las que verifiquen edad, con proyectos que buscan trasladar esa responsabilidad a los app stores. Al mismo tiempo, los tribunales están marcando límites: un juez federal bloqueó temporalmente una ley de Texas (SB 2420) que habría exigido verificación de edad y consentimiento parental para menores en descargas y compras, al considerar probable un conflicto con la Primera Enmienda.

En paralelo, el Tribunal Supremo de EE. UU. permitió que siguiera vigente, mientras se litiga, una ley de Mississippi que exige verificación de edad en redes sociales y consentimiento parental para menores. Eso significa que el marco no avanza en línea recta: en un estado se frena, en otro se consolida.

Fuera de EE. UU., el Reino Unido es una referencia por su Online Safety Act. El regulador Ofcom estableció que, desde el 25 de julio de 2025, los servicios que permiten pornografía deben implementar comprobaciones de edad “fuertes” para impedir el acceso de menores. Plataformas y tiendas han buscado caminos distintos: Valve, por ejemplo, ha recurrido a la tarjeta de crédito como prueba para acceder a contenido “maduro” en Steam en el Reino Unido.

La presión regulatoria también llega por el flanco de la privacidad. En febrero de 2026, la autoridad británica ICO multó a Reddit por el tratamiento de datos de menores y por apoyarse durante años en declaraciones de edad insuficientes, un aviso de que “no verificar” también tiene costes.

Privacidad, seguridad y el “efecto escalofrío”

La parte incómoda de todo esto no es solo técnica, es humana. Pedir un documento para entrar a una web puede generar un “efecto escalofrío”: gente adulta evitando contenidos legales porque no quiere dejar rastro, igual que alguien que decide no comprar un libro si le piden registrarse con su DNI en la puerta. El riesgo se multiplica cuando intervienen proveedores externos, cuando no está claro cuánto se retiene o cuando el historial de filtraciones en la industria demuestra que ningún sistema es infalible.

También está la cuestión de la eficacia. Las soluciones basadas en selfie pueden ser burladas, se ha visto con demostraciones que engañan a verificadores faciales usando imágenes sintéticas o incluso escenas de videojuegos en pantalla, lo que expone una verdad incómoda: cuanto más “rápido y fácil” es el control, más fácil suele ser de esquivar. Si el control se vuelve más robusto, suele volverse más intrusivo. Y ahí volvemos al equilibrio inicial.

Cómo navegar este cambio sin regalar más datos de la cuenta

Para usuarios y familias, el giro práctico es que la verificación de edad ya no será un aviso ocasional, sino una parte recurrente del uso digital. Conviene tratarla como tratarías la seguridad en el mundo físico: si un sitio pide un dato sensible, merece una pausa para entender quién lo solicita, con qué método y qué alternativas ofrece. En muchos casos, una verificación con rango de edad o un método que no implique almacenar documentos puede ser menos arriesgado que subir un ID, siempre que cumpla la ley local y te dé control sobre lo que compartes.

Para plataformas, la confianza se gana con decisiones de diseño. Procesar datos en el dispositivo cuando sea posible, retener lo mínimo, explicar con claridad qué señales se usan para estimación de edad, publicar auditorías y dar vías de apelación cuando el sistema se equivoca ya no son “extras”; se están convirtiendo en requisitos tácitos para que este nuevo portero digital no se perciba como un vigilante.




☞ El artículo completo original de Natalia Polo lo puedes ver aquí

La memoria RAM representa ya el 35% del coste de un PC. La única solución que encuentra HP: equipos capados

La memoria RAM representa ya el 35% del coste de un PC. La única solución que encuentra HP: equipos capados

La industria del PC -como otras tantas— se enfrenta a una tormenta perfecta que está alterando por completo los costes de fabricación. Según ha revelado Karen Parkhill, CFO de HP, la memoria RAM ha incrementado tanto sus precios que su peso específico en el coste de un PC es ahora casi insostenible. Mal asunto.

Un 35% de lo que te cuesta tu PC es la RAM. Según la directiva, la memoria RAM ha pasado de representar un aceptable 15--18% de la factura de materiales de sus PCs y portátiles a suponer un asfixiante 35%. El cambio es drástico, y se ha producido en tan solo un trimestre fiscal.

La cosa irá a peor. Ese incremento se debe a que según HP los costes de la memoria se han duplicado secuencialmente y han crecido en un 100% en pocos meses. No solo eso: la previsión de la compañía es pesimista, y esperan que los precios vayan subiendo a medida que avanza el 2026.

De PCs más caros... La consecuencia directa para los usuarios es inevitable: los precios de los PCs y portátiles van a subir. Los analistas ya avisan de incrementos de entre el 15% y el 20% en el PVP de estos equipos, y de hecho HP ya ha comenzado a hacer cambios en sus etiquetas de precio precisamente para proteger sus márgenes de beneficio ante el encarecimiento masivo de componentes críticos como la memoria DRAM y los chips NAND de las unidades SSD.

...a PCs capados. Pero el precio no es lo único que va a cambiar. Para que los equipos sigan siendo "asequibles", HP está adoptando otra estrategia que ya habíamos visto en móviles: la de las "especificaciones recortadas". Esto significa que veremos más configuraciones de gama baja y media con menos memoria RAM de la que uno esperaría en 2026. La medida está claramente destinada a ahorrar costes sacrificando rendimiento.

De momento están salvando la papeleta. En HP están diversificando sus proveedores y recortando en especificaciones y extras para compensar el sobrecoste de los chips. La empresa incluso está usando sistemas de IA para optimizar sus procesos de planificación y han reducido a la mitad el tiempo que tardan en calificar nuevos materiales para cambiar de componentes de forma ágil. La demanda de PCs de HP sigue ahí: su división de sistemas personales creció un 11% en ingresos. La empresa advierte, eso sí, de que esa tendencia podría caer: los altos precios podrían hacer que las ventas desaceleren.

Malditos centros de datos. La gran culpable de todo es la IA, por supuesto, que está haciendo que la mayor parte de la producción de chips de memoria DRAM y de chips NAND esté destinándose a las aceleradoras de IA de NVIDIA y otros fabricantes y, por supuesto, a los gigantescos centros de datos que se están proyectando por doquier. Además la industria está centrándose en memorias HBM, mucho más potentes para aplicaciones de IA pero que hacen que la producción de memorias "tradicionales" salga perjudicada.

Hola, 8 GB de RAM en 2026. Durante muchos años parecía que los 8 GB de RAM se habían convertido en el estándar de facto en nuestros portátiles y en muchos PCs, pero desde hace uno par de años dimos el salto a los 16 GB de forma clara. Esta crisis amenaza con devolvernos al pasado y a ver muchos equipos "asequibles" con 8 GB de RAM. 

¿Podremos sobrevivir con dicha memoria? Lo más probable es que sí... si nuestro uso del equipo es relativamente modesto. Los 16 GB realmente ayudan mucho ahora que nos hemos acostumbrado a abrir un montón de pestañas en el navegador y aplicaciones en una era en la que estas consumen cada vez más memoria. Los 8 GB parecían cosa del pasado, pero mucho nos tememos que tendremos que volver a aprender a convivir con ese tipo de configuración. 

En Xataka | Si estabas pensando en montarte un NAS para crear tu propia nube, tenemos malas noticias: la IA tiene otros planes

-
La noticia La memoria RAM representa ya el 35% del coste de un PC. La única solución que encuentra HP: equipos capados fue publicada originalmente en Xataka por Javier Pastor .



☞ El artículo completo original de Javier Pastor lo puedes ver aquí

CERN enfría su “cuerda” de imanes: el ensayo general que prepara al LHC para la alta luminosidad

noticia3_antimateria_cern_final

En un edificio de pruebas de CERN, lejos del anillo subterráneo que cruza la frontera franco-suiza, hay una pieza que suena a metáfora musical: la Inner Triplet String o IT String. “String” aquí no es una cuerda de guitarra, pero la idea se parece: es una línea larga y continua de equipos que deben “tocar” en perfecta sincronía. Se trata de un banco de pruebas de unos 95 metros que replica, a escala real, el conjunto de hardware que se instalará cerca de los puntos donde chocan los protones en ATLAS y CMS dentro del programa High-Luminosity LHC (HL-LHC / HiLumi LHC).

La razón para construir esta réplica completa es práctica: cuando el trabajo se traslada al túnel, cada hora cuenta y los márgenes de error se vuelven mínimos. Probarlo todo primero “en superficie” es como montar la cocina entera en un taller antes de subirla a un piso sin ascensor: se detectan roces, fugas y piezas incompatibles cuando todavía es barato corregirlos.

La fase crítica: bajar hasta 1,9 kelvin

El hito de estos días es el inicio del enfriamiento criogénico de esa instalación. El objetivo es llevar el sistema a 1,9 kelvin, una temperatura extremadamente baja que permite que los imanes superconductores trabajen como deben.

Decir “1,9 K” puede sonar a cifra abstracta, así que vale una imagen cotidiana: piensa en una autopista muy transitada. A temperatura ambiente, los electrones “chocan” con imperfecciones del material y pierden energía, como coches frenando por baches. En superconductividad, esos “baches” desaparecen y la corriente circula sin resistencia apreciable, lo que posibilita campos magnéticos intensos y estables. Alcanzar esa condición exige un trabajo fino de criogenia y, en este caso, una red de helio líquido que tiene que repartir frío de forma uniforme a lo largo de decenas de metros.

Este enfriamiento no es instantáneo: lleva semanas porque el conjunto es grande, pesado y delicado. Bajar la temperatura demasiado rápido puede crear tensiones mecánicas o diferencias térmicas indeseadas. En un laboratorio de altas prestaciones, el frío se administra casi como si fuera una infusión lenta, no un cubo de hielo volcado de golpe.

Qué se está validando de verdad en el IT String

La gracia del IT String no es solo “ver si enfría”, sino comprobar que todo el ecosistema funciona como un único organismo: imanes, criogenia, electrónica, protección y potencia. CERN ha explicado que la instalación sirve para validar la integración completa del sistema que luego irá al túnel, con procedimientos y secuencias de operación lo más realistas posible.

Aquí entra un concepto clave para entender por qué estos ensayos importan: un acelerador no falla solo por la pieza “principal”, sino por las interfaces. Es decir, lo difícil no suele ser que un componente funcione en solitario, sino que lo haga cuando está conectado a otros quince, cada uno con sus tiempos, tolerancias y límites. Si el sistema de protección detecta un problema, debe actuar en milisegundos; si la potencia llega con un perfil inadecuado, un imán puede salir de superconductividad; si la criogenia no mantiene la estabilidad, el rendimiento se resiente. El IT String es el lugar donde se aprende a coordinar ese baile.

Los nuevos imanes Nb3Sn: el “objetivo” que enfoca el haz

El corazón tecnológico de esta zona son los llamados inner triplet magnets, imanes de enfoque cerca de los detectores. En el HL-LHC, la apuesta fuerte pasa por imanes de niobio-estaño (Nb3Sn), capaces de alcanzar campos más altos que tecnologías anteriores y, con ello, apretar el haz de protones como quien ajusta el enfoque de una linterna para que el punto de luz sea más pequeño e intenso.

Ese enfoque más “fino” incrementa la luminosidad, que en aceleradores es una manera de hablar de cuántos choques útiles puedes generar en un tiempo dado. Si el haz es un chorro de agua, la luminosidad es lo bien que consigues que dos chorros se crucen en un punto estrecho sin desparramarse. Cuanto mejor es el cruce, más choques obtienen los experimentos y más oportunidades hay de observar procesos raros.

Crab cavities, colimadores y líneas de potencia: las piezas menos famosas que sostienen el salto

Al hablar del HL-LHC se menciona mucho la palabra luminosidad, pero el aumento no se logra con un solo invento. CERN describe un conjunto de tecnologías nuevas para un acelerador de protones, entre ellas crab cavities superconductoras, colimadores de cristal y soluciones avanzadas para el transporte de energía.

Las crab cavities se pueden imaginar como el gesto de dar un pequeño empujón lateral al haz justo antes del cruce, para que el choque sea más frontal y efectivo incluso si la geometría del encuentro no es perfecta. Los colimadores son los “guardarraíles” del haz: capturan partículas que se desvían para proteger el resto de la máquina y los detectores. Las líneas superconductoras de alta temperatura y la ingeniería asociada ayudan a llevar potencia donde se necesita, a menudo intentando alejar equipos sensibles de zonas con radiación más intensa. En conjunto, son como la logística invisible de un gran evento: nadie aplaude al cableado, pero sin él no hay concierto.

Long Shutdown 3: cuatro años de “cirugía mayor” con calendario ajustado

Todo este ensayo llega en la antesala de la Long Shutdown 3 (LS3), el gran parón técnico en el que se convertirá el LHC actual en el HL-LHC. En el calendario actualizado de CERN, LS3 está prevista para arrancar a comienzos de julio de 2026, y la planificación desplaza el inicio de operación del HL-LHC (Run 4) a alrededor de junio de 2030.

Ese intervalo explica por qué cada prueba previa vale oro. En el túnel no se trabaja con la comodidad de un banco de laboratorio: hay restricciones de espacio, seguridad, secuencias de instalación muy rígidas y dependencias entre sistemas. Un pequeño ajuste de procedimiento aprendido en el IT String puede convertirse, más tarde, en semanas ahorradas cuando haya decenas de equipos esperando su turno de integración.

Qué ganan ATLAS y CMS: más datos para cazar lo raro

Cuando se habla de “más colisiones”, conviene matizar: el objetivo del HL-LHC se expresa tanto como aumento de luminosidad instantánea como en el total de datos acumulados. CERN ha señalado incrementos del orden de varias veces en la tasa de colisiones que reciben los experimentos, mientras que otras descripciones del proyecto lo enmarcan como un salto de orden de magnitud en la luminosidad integrada a lo largo del programa.

Traducido al día a día: si buscar un fenómeno rarísimo es como esperar a ver una estrella fugaz, tener más datos es equivalente a pasar de mirar el cielo diez minutos a observarlo toda la noche con una cámara más sensible. Esa estadística extra permite medir con más precisión propiedades del bosón de Higgs, buscar señales sutiles de física más allá del modelo estándar y estudiar procesos que hoy quedan enterrados en el ruido.

Un proyecto internacional con muchas manos y un mismo objetivo

El HiLumi LHC no es un proyecto “solo de CERN”. La propia organización explica que está liderado por CERN con el apoyo de una colaboración internacional de casi 50 instituciones en más de 20 países, con contribuciones en especie y participación de laboratorios de Europa, Norteamérica y Asia.

También es una historia de gestión del riesgo: por eso se construyen réplicas completas, se enfría lentamente y se prueban interacciones entre subsistemas. El actual director general, Mark Thomson, ha descrito el HL-LHC como el mayor proyecto emprendido por CERN en aproximadamente dos décadas, una manera de subrayar que el desafío ya no es solo científico, sino industrial y organizativo.




☞ El artículo completo original de Natalia Polo lo puedes ver aquí

Hemos vivido obsesionados con los 10.000 pasos: la ciencia tiene claro que es mejor 'sufrir' 10 minutos al día

Hemos vivido obsesionados con los 10.000 pasos: la ciencia tiene claro que es mejor 'sufrir' 10 minutos al día

Durante años hemos tenido una meta diaria grabada a fuego en nuestras mentes y también en las pulseras de actividad que tenemos en las muñecas: dar 10.000 pasos al día. Un mantra que han repetido médicos, al igual que la ingesta de dos litros de agua al día, pero que poco a poco está pivotando a un enfoque completamente distinto, ya que no depende de cuánto nos movamos, sino de cómo lo hacemos. 

Un cambio de paradigma. La experta Rhonda Patrick ya apuntó a que como sociedad deberíamos considerar cambiar el objetivo de 10.000 pasos en nuestro día a día para dar paso a un nuevo concepto que está revolucionando la medicina preventiva, que es el VILPA, que es el acrónimo de 'Actividad Física Vigorosa Intermitente en el Estilo de Vida' en inglés. 

Esto hace referencia a hacer pequeñas ráfagas de ejercicio de uno o dos minutos en el día a día y que se pueden hacer varias veces al día. Algo que es muy sencillo, y que aunque puede parecer que puede tener un resultado inocuo en los pacientes, los resultados apuntan a lo contrario. 

Su importancia. Para ver si esto funciona o no, podemos irnos a los datos extraídos de los grandes grupos de pacientes del UK Biobank y a un estudio publicado en 2022 que analizó a más de 25.000 personas. Aquí se vio que solo con 3 a 4 minutos diarios de VILPA con ráfagas de apenas 1-2 minutos, se asocia con una reducción del 26-30% en la mortalidad total y concretamente por un cáncer. 

Pero si vamos más allá, también observamos una reducción de entre un 32% y un 34% en la mortalidad cardiovascular. Sin embargo, lo más relevante es que los beneficios aumentan casi de forma lineal cuantos más minutos de actividad vigorosa se vayan acumulando. 

Mejor que ser sedentario. Si nos vamos a los estudios más recientes, como el publicado por The Lancent este año con más de 135.000 participantes, se confirmó que pasar de no hacer nada a sumar apenas entre 1 y 6 minutos de ejercicio vigoroso reduce la mortalidad un 30% en las personas más sedentarias. La conclusión aquí está bastante clara porque tenemos un gran rendimiento invirtiendo muy poco tiempo en el deporte. 

No es todo de golpe. Una de las grandes dudas que tenemos es si esos 10 minutos de los que se habla se tienen que hacer del tirón o si vale correr un poco para alcanzar el autobús. Aquí los estudios apuntan a que la forma de hacerlo no importa tanto como la dosis total de ejercicio. 

Esto quiere decir que tener pequeñas píldoras de ejercicio a lo largo del día ofrece los mismos beneficios que hacerlos en una sesión continua en el gimnasio. Esto es una gran noticia para quien no tiene tiempo de ir a un gimnasio a entrenar, puesto que subir las escaleras rápido o cargar bolsas pesadas cuenta, y mucho. 

Rejuvenecer el corazón. Uno de los métodos que tenemos disponibles para poder estructurar mejor la intensidad de los entrenamientos está en el '4x4 noruego'. Un protocolo desarrollado por diferentes investigadores que aboga por aplicar cuatro intervalos de cuatro minutos de intensidad muy alta junto a tres minutos de recuperación activa moderada entre cada bloque. 

Con esta pauta tan sencilla, se puede lograr 'rejuvenecer' el corazón, haciendo que el ventrículo izquierdo revierta sus cambios morfológicos y también se mejore el volumen máximo de oxígeno en pacientes con insuficiencia cardiaca. Es por ello que pasamos a tener un corazón mucho más eficiente. 

Hay que caminar. Obviamente, dar 10.000 pasos al día no es una tontería, y hay que seguir tomando el caminar como un hábito excelente para la salud metabólica y articular. Sin embargo, la cifra de tener "10 minutos de intensidad"  apoyada por los estudios de VILPA nos revela una verdad incómoda: caminar a ritmo de paseo no sustituye el beneficio fisiológico de que te falte el aliento. Como demuestran estudios en cohortes gigantescas, introducir apenas unos minutos donde tu corazón trabaje al máximo genera un gran beneficio en salud y longevidad en comparación con el simple volumen de pasos.

Imágenes | Ingo Jakubke 

En Xataka | Ni caminar ni correr: la ciencia apunta a que la sentadilla es el verdadero "fármaco" para envejecer con salud

-
La noticia Hemos vivido obsesionados con los 10.000 pasos: la ciencia tiene claro que es mejor 'sufrir' 10 minutos al día fue publicada originalmente en Xataka por José A. Lizana .



☞ El artículo completo original de José A. Lizana lo puedes ver aquí

Cisco corrige un zero-day crítico en Catalyst SD-WAN explotado presuntamente desde 2023

Cisco ha publicado correcciones para un zero-day crítico en Catalyst SD-WAN ( CVE-2026-20127 ) que permitiría a un atacante remoto, sin credenciales, saltarse la autenticación y obtener acceso con privilegios administrativos. Según los informes, la vulnerabilidad habría sido explotada activamente desde 2023, y no hay mitigaciones temporales alternativas a actualizar.

Entry image

Cisco ha divulgado una vulnerabilidad crítica catalogada como zero-day en componentes clave de Catalyst SD-WAN, identificada como CVE-2026-20127 y puntuada con CVSS 10.0. El problema afecta al plano de gestión y control del entorno SD-WAN, concretamente a Cisco Catalyst SD-WAN Controller (antes vSmart) y Cisco Catalyst SD-WAN Manager (antes vManage). La gravedad viene dada por un escenario especialmente dañino: un atacante remoto no autenticado podría realizar un bypass de autenticación mediante una solicitud manipulada y acabar con privilegios administrativos en el sistema, sin necesidad de credenciales válidas.

De acuerdo con la información publicada, el fallo estaría relacionado con el mecanismo de autenticación usado para el ‘peering‘, que no validaría correctamente determinados intercambios. Esto abriría la puerta a acceder a interfaces de gestión como NETCONF (habitualmente en el puerto 830) y, desde ahí, modificar configuraciones que afectan al funcionamiento de la malla SD-WAN. Aunque el acceso obtenido se describe como una cuenta interna de alto privilegio (no necesariamente root de forma directa), el impacto práctico puede ser muy alto, porque permite actuar sobre políticas, dispositivos y rutas gestionadas desde el plano central.

Un aspecto especialmente preocupante es que la explotación habría ocurrido en el mundo real desde 2023, y se ha vinculado el seguimiento de la actividad a un identificador de campaña (UAT-8616). Se ha descrito un patrón de compromiso en el que los atacantes podrían crear un ‘rogue peer‘ para integrarse en el plano de gestión/control, y después realizar acciones de post-explotación orientadas a persistencia y ocultación. Entre los indicios citados figuran la creación de cuentas locales que imitan nombres legítimos, la inserción de claves SSH autorizadas para root, modificaciones en scripts de arranque, movimientos laterales mediante SSH y NETCONF, y tentativas de borrado de huellas mediante purgas de /var/log o historiales.

Además, se menciona el posible uso combinado con un CVE previo, CVE-2022-20775 (relacionado con la CLI de Cisco SD-WAN Software), para escalar privilegios: los atacantes habrían aprovechado el mecanismo integrado de actualización para hacer downgrade a versiones vulnerables, explotar para elevar a root, y después restaurar la versión original, dificultando el análisis forense.

Cisco indica que no hay ‘workaround’, por lo que la respuesta prioritaria pasa por actualizar o migrar a versiones corregidas según la rama. También se recomienda priorizar cualquier Catalyst SD-WAN Controller expuesto a Internet y revisar registros: por ejemplo, inspeccionar /var/log/auth.log buscando accesos tipo ‘Accepted publickey for vmanage-admin‘ desde IPs no autorizadas, y contrastarlos con los System IP esperados. Para caza de señales de degradaciones de versión o reinicios anómalos, conviene revisar trazas como /var/volatile/log/vdebug, /var/log/tmplog/vdebug y /var/volatile/log/sw_script_synccdb.log. En paralelo, si existe sospecha razonable, es clave validar integridad, revisar cambios en cuentas y llaves, y asumir que podría haber habido manipulación de logs.

Por último, el hecho de que CISA haya incorporado CVE-2026-20127 y CVE-2022-20775 a su catálogo KEV y haya emitido una directiva de emergencia refuerza la urgencia: incluso fuera de entornos gubernamentales, es una señal clara de explotación activa y de riesgo elevado para organizaciones con despliegues SD-WAN ampliamente conectados.

Más información

La entrada Cisco corrige un zero-day crítico en Catalyst SD-WAN explotado presuntamente desde 2023 se publicó primero en Una Al Día.



☞ El artículo completo original de Hispasec lo puedes ver aquí