-
Microsoft apaga la capacidad de IA que le alquilaba a Oracle desde 2023 porque son GPUs de generación vieja (06/11)
Es un reporte de Bloomberg citando gente al tanto: Microsoft decidió no renovar partes del acuerdo y viene apagando la capacidad alquilada en los últimos meses, como parte de una revisión más amplia de miles de millones de dólares en sociedades de nube. El motivo que dan es de obsolescencia y no de precio: el hardware alquilado usa una generación anterior de chips de Nvidia y dejó de encajar con las necesidades de Microsoft. El acuerdo se había anunciado en 2023 como un arreglo multianual para alimentar la versión de Bing asistida por IA, y nunca se publicaron los términos financieros, así que tampoco hay un monto que ponerle a esto. Oracle respondió que "la demanda por la infraestructura de IA de OCI sigue fuerte, incluso para GPUs de generaciones anteriores". Lo que conviene no exagerar: hubo titulares de una caída de 4% en Oracle, pero según Reuters las acciones de Oracle y Microsoft estaban planas en la rueda de la tarde del 6/11. Reuters · Investing.com
-
Red Hat sube la falla de TCP del kernel de 5,9 a 9,8 y saca parches; en Ubuntu el arreglo todavía está en el canal opt-in (03/11)
Sigue de lo del 29 y 30 de octubre, cuando apareció CVE-2026-98432, el uso después de liberar en el establecimiento de conexiones TCP sobre IPv4. El desarrollo nuevo es doble. Primero la reclasificación: Red Hat había puesto 5,9 (moderada) y la movió a 9,8, alineándose con el equipo de CVE del kernel, y el 1 de noviembre sacó kernels arreglados para RHEL 8.10, 9.8 y 10.2 —con reinicio obligatorio—. Segundo, el estado desparejo del resto: Debian, Oracle Linux y SUSE parchearon en octubre y Amazon Linux cerró todo entre el 24 y el 30, pero en Ubuntu los arreglos para 22.04, 24.04 y 26.04 LTS siguen en el pocket -proposed sin fecha para el canal normal, y 20.04, 18.04 y 16.04 necesitan Ubuntu Pro. La mitigación provisoria de Red Hat es una regla de nftables que descarta paquetes TCP IPv4 con opciones IP: bloquea el disparador conocido pero no previene del todo la explotación, puede romper cargas que usen opciones IPv4, y solo aplica al host donde se carga, así que el tráfico de contenedores en el mismo host la puede esquivar. Canonical es más directa: deshabilitar MPTCP no alcanza porque la falla está en el camino IPv4, y "las actualizaciones de seguridad son la única mitigación apropiada". Sin explotación reportada en la naturaleza todavía. The Hacker News
-
Marvell negociaría comprar Lumentum, en lo que sería una de las diez operaciones más grandes de la historia del sector (29/10)
El reporte dice conversaciones, no acuerdo: ni precio ni condiciones ni plazo de decisión, y la nota no identifica la fuente original. Las magnitudes para dimensionar: Lumentum vale cerca de 83.000 millones de dólares de capitalización y Marvell unos 221.000 millones. Lo que explica el interés es la cadena óptica del datacenter de IA: Lumentum hace láseres y módulos transceptores ópticos, y Nvidia ya le puso 2.000 millones; Marvell le compró este año la fotónica Celestial AI con su tecnología OMIB, y sumar Lumentum le taparía huecos en componentes ópticos frente a Broadcom. El contexto de clientes: Marvell atiende a Google, Amazon, Microsoft, Meta y Oracle, ayuda a Amazon y Microsoft con chips de IA propios, y su acuerdo por los TPU de Google le da a Google derecho a comprar hasta 12.200 millones de dólares en acciones de Marvell. La objeción práctica la pusieron los analistas de Bernstein: el tamaño del deal plantea problemas de financiamiento e integración, y Marvell reportó unos 3.920 millones de dólares en caja y equivalentes, así que no podría pagarlo todo en efectivo. TrendForce
-
La falla de TCP en el kernel de Linux queda en 9,8 y Ubuntu y Red Hat todavía no tienen kernel parcheado (29-30/10)
Sigue de lo de ayer, cuando Anthropic contaba que su modelo había armado un exploit de root remoto contra servidores con listener de multipath TCP: el desarrollo nuevo es el cuadro de parches, y es malo. CVE-2026-98432 es una condición de carrera con uso después de liberar en el código de establecimiento de conexiones TCP sobre IPv4: cuando una conexión se completa, el kernel le pasa al socket nuevo las opciones IP guardadas con el pedido pendiente sin copiarlas, y si ese socket se destruye mientras otra CPU todavía las usa para responder un pedido retransmitido, el kernel lee memoria liberada. IPv6 no está afectado porque ahí sí las copia. El arreglo upstream es del 5 de octubre y se introdujo en Linux 4.4; el crédito del reporte es de Xinyang Ge, de Anthropic. Las puntuaciones no coinciden entre sí, lo que complica priorizar: el equipo de CVE del kernel le puso 9,8 con complejidad de ataque baja, Red Hat lo marca moderado 5,9 en su página de CVE pero importante 8,1 en su aviso legible por máquina, Oracle y SUSE 8,1 con complejidad alta, Amazon 7,0 y Debian ninguna. Ya tienen arreglo Oracle Linux, Debian trixie y bookworm, Amazon Linux 2023 en kernel6.18 y kernel6.12, y SUSE Linux Micro 6.2 y openSUSE Leap 16.0. No lo tienen Ubuntu 22.04, 24.04, 26.04 y 26.10 —y 16.04, 18.04 y 20.04 quedan vulnerables, igual que los kernels cloud, FIPS y real-time—, RHEL 8, 9 y 10 con OpenShift 4, Amazon Linux 2 y el kernel base de 2023, y varias ramas de SLES; Red Hat pasó de decir el 29 que su arreglo quedaba diferido a futuro a listar los productos como afectados el 30, sin fecha ninguno de los dos. Quien compila kernel propio tiene 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 o 7.3. El detalle accionable para desarrolladores de Go: desde Go 1.24 multipath TCP está activado por default en los listeners, así que el equipo de seguridad de Go recomienda GODEBUG=multipathtcp=0 en el entorno o godebug multipathtcp=0 en el go.mod, aclarando que es frágil, que el bug no es específico de MPTCP y que el arreglo real es un kernel parcheado. Dos salvedades: el vínculo con MPTCP viene solo del posteo de Anthropic y ni el registro del CVE ni el arreglo lo mencionan —Red Hat dice que cualquier atacante remoto que alcance un servicio TCP expuesto puede disparar la carrera—, y al 29 ningún aviso de fabricante reporta explotación en el mundo real. The Hacker News
-
OpenAI estaría por comprar TPUs de Google, con una sola fuente y sin confirmación de ninguna de las dos (28/10)
Lo reportó The Information citando a una persona al tanto, y lo levantó Reuters: OpenAI planea comprar las unidades de procesamiento tensorial de Google como alternativa a las GPUs de Nvidia, de las que es uno de los clientes más grandes. No hay precio, volumen ni cantidad de chips; OpenAI no quiso comentar y Google no respondió de inmediato. El contexto hace que no sea tan raro como suena: hace una semana OpenAI dijo que va a ofrecer sus modelos más avanzados por Google Cloud, Reuters ya había reportado en junio de 2025 que alquilaba chips de Google, y Google empezó este año a venderle TPUs directo a algunos clientes —Anthropic entre ellos—. Alphabet dice esperar solo una porción chica de ingresos de esos contratos este año, con el grueso en 2027, y Oracle ya anunció que va a ofrecer TPUs de Google a sus clientes de nube además de ampliar su acuerdo con Nvidia a "varios gigavatios" y sumar chips de Cerebras y SambaNova. OpenAI, en paralelo, presentó en junio su primer chip propio con Broadcom y planea desplegarlo para fin de año. Lo incómodo del movimiento es la dependencia: OpenAI y Google compiten de frente en productos de IA y en búsqueda. Infobae
-
Python saca releases de emergencia de pip y certifi después del incidente con la CA emSign de eMudhra (23/10)
Hay que actualizar pip, certifi, uv, ca-certificates y pixi: el bundle de certificados que viene con las herramientas confiaba en una autoridad que quedó comprometida, y Oracle en paralelo emitió una alerta de Java para desconfiar de los intermedios de eMudhra. Para pipelines de CI/CD esto es acción inmediata, porque el caso es exactamente el de un instalador que valida contra una CA que ya no vale. Daily CyberSecurity · StepSecurity
-
El Critical Patch Update de octubre de Oracle arregla 1.209 CVEs únicas, 562 de ellas explotables en remoto y sin credenciales (20/10)
Son 1.295 actualizaciones de seguridad sobre 33 familias de producto, y el reparto dice dónde está el dolor: Fusion Middleware se lleva 203 parches —131 remotos sin autenticación, 40 críticos—, Communications 110, Siebel CRM 122, E-Business Suite 194 y Java SE 55. Hay seis fallas en 10,0: CVE-2026-101809 en el Workflow Notification Mailer de E-Business Suite, CVE-2026-87337 en el motor de autenticación de Access Manager, CVE-2026-91216, CVE-2026-91221 y CVE-2026-91231 en SOA Suite, y CVE-2026-91299 en el Orchestrator de JD Edwards EnterpriseOne. La prioridad práctica es clara: Access Manager y el Workflow de E-Business Suite son superficie expuesta y sin autenticación, así que van primero, y el middleware de gestión conviene sacarlo de internet hasta verificar el parche. Lo que no hay —por ahora— es explotación confirmada en la calle ni código de prueba público confirmado, aunque E-Business Suite viene siendo blanco recurrente. SecurityOnline · CyberSecurityNews
-
Tres equipos rompieron remotamente un Pixel 10 totalmente parchado en Pwn2Own Irlanda, por 562.500 dólares en premios (09/10)
Las tres entradas fueron remotas, es decir por contenido web en el navegador por defecto o por NFC, Wi-Fi, Bluetooth o banda base: Xint cobró 150.000 por un solo bug, Ikotas Labs 300.000 por una cadena, y el equipo de Dimitrios Valsamaras, Ken Gannon y Tenia Valsamara 112.500 por una cadena que mezcló una colisión con un 0-day. Tres de los cuatro intentos contra el Pixel salieron; el cuarto se quedó sin tiempo. El panorama del concurso es el dato que conviene leer: el Galaxy S26 cayó en los siete intentos, Ikotas Labs se llevó el Master of Pwn con cuatro victorias que incluyeron el agente Codex de OpenAI y la base de datos autónoma de Oracle, y de 63 intentos entraron 51, con más de 1,2 millones de dólares pagados. No hay detalle técnico público: los ganadores entregan el trabajo a ZDI y los fabricantes tienen 90 días antes de que se publique. No hubo entradas para el iPhone 17 ni para WhatsApp. The Hacker News
-
El FBI incautó siete dominios y desarmó el arsenal de Flax Typhoon, el grupo chino que escaneaba infraestructura crítica estadounidense (09/10)
Los dominios caídos son c0cc.cc, 98aiblog.com, 98aicai.com, 98aicode.com, outlook3650.com, youtubecard.com y linkedinns.net, y lo que alojaban son dos herramientas: MicroScan, un escáner web en Python con más de 1.300 scripts de pentesting contra cosas como Oracle WebLogic, Apache Struts y Jenkins, que seguía accesible hasta el 9 de septiembre de 2026 y se usaría desde 2017; y FishHub, para spear-phishing y despliegue de cargas posteriores. Entre las víctimas confirmadas hay una eléctrica de Carolina del Sur, una ONG multinacional, aeropuertos japoneses y polacos, gasíferas y eléctricas taiwanesas y veinte universidades de Taiwán. El grupo, vinculado a Integrity Technology Group de Beijing, ya había operado la botnet Raptor Train, cuya base de datos registraba más de 1,2 millones de dispositivos infectados —más de 385.000 en Estados Unidos— y usaba VPN SoftEther para persistencia, EBurst para fuerza bruta contra cuentas de Microsoft 365 y office-cli para leer casillas. The Hacker News
-
El FBI echó al contratista de Accenture que no aplicó el parche por el que ShinyHunters entró a su portal de empleo (06/10)
Sigue de la detención de "Rey" en Jordania: ahora se sabe cómo entraron. El sistema era Oracle PeopleSoft, puntualmente el endpoint PSEMHUB del Environment Management Hub, y el grupo explotó el CVE-2026-35273 con un truco de codificación de URL para pasar por arriba del WAF. El director asistente Brett Leatherman dijo que el incidente fue consecuencia de que un contratista no implementara un parche de seguridad que se había emitido justamente para asegurar la plataforma, y se llevaron datos personales de miles de empleados del FBI. Van dos arrestos del grupo y esperan más. The Hacker News
-
Volvió Spectre: Branch Target Reuse filtra 5,7 KB/s desde motores JIT en chips Intel, pese a las defensas ya desplegadas (30/09)
Sander Wiebing, Yuhui Zhu, Alessandro Biondi y Cristiano Giuffrida, de la Vrije Universiteit Amsterdam y la Scuola Superiore Sant'Anna, encontraron que los CPU modernos restauran la coherencia del código después de que se modifica a sí mismo, pero no invalidan las entradas viejas del predictor de saltos indirectos. Eso deja una primitiva de ejecución especulativa sobre memoria ya liberada. Afecta al cBPF de Linux, a Oracle GraalVM y a SpiderMonkey de Mozilla, probado sobre Raptor Cove y Lion Cove: 5,7 KB/s en el primero y 5,4 en el segundo. La prueba de concepto sacó hashes de contraseñas de root de kernels que tenían activa la defensa de constant binding de cBPF. Linux y Oracle ya parchearon; Mozilla eligió apoyarse en aislamiento de sitios. Son CVE-2026-64507 y CVE-2026-64508, y el paper se presenta en CCS 2026 en La Haya. The Register · The Hacker News
-
Goldman Sachs proyecta 1,2 billones de dólares de inversión en infraestructura de IA para 2027, unos 100.000 millones arriba del consenso de Wall Street (27/09)
Son Amazon, Alphabet, Microsoft, Oracle y Meta sumados, un 50% más que los cerca de 800.000 millones que se esperan para 2026. El estratega Ryan Hammond ve la desaceleración clara en la curva: casi 100% de crecimiento en 2026, 54% en 2027 y 12% en 2028. Dos detalles importan más que el titular: el gasto ya supera lo que estas empresas generan con su operación normal, así que pasa a financiarse con deuda, y los cuellos de botella que Goldman marca son energía, mano de obra y chips de memoria. Relativo al PBI sería el ciclo de inversión más grande desde la construcción de ferrocarriles en el siglo XIX. The Decoder
-
Oracle PeopleSoft: ShinyHunters volvió a la carga sobre CVE-2026-35273 codificando el URL para pasar por arriba de los WAF (26/09)
Google avisó de una nueva ola de explotación masiva: el exploit es el mismo pero reescrito con URL-encoding, lo que alcanza para que la regla del firewall de aplicación no lo reconozca y la ejecución remota siga funcionando. Los atacantes dejan web shells, y la campaña pega en varios sectores a la vez. La lección práctica es la de siempre y duele igual: el WAF compró tiempo, no reemplazó el parche. The Hacker News · BleepingComputer
-
OpenAI publicó su Agents API en beta pública: la misma infraestructura que corre Codex y ChatGPT (11/09)
Permite armar agentes en la nube que corren durante horas, ejecutan código y procesan archivos. Lo que trae de fábrica es lo que normalmente se termina escribiendo a mano: manejo automático de contexto, uso de herramientas en paralelo y delegación de tareas a subagentes. Se puede elegir entre sandboxes hosteadas por OpenAI o socios como Cloudflare, Vercel y Oracle, sin cargos extra —se factura solo por tokens—. Está construida sobre el harness open-source de Codex y soporta MCP, funciones propias y herramientas integradas como búsqueda web. The Decoder · OpenAI
-
La escasez de memoria encarece más de 15% los servidores con chips Nvidia, y la factura la pagan los que financian la burbuja (22/08)
Sigue de lo de ayer, donde la crisis de RAM ya había hundido 39% las ventas de consolas en EE.UU.: ahora llegó al centro del negocio. Según Bloomberg, los sistemas con Vera Rubin y Grace Blackwell van a costar más de 15% más, con el aumento del DRAM de Samsung, SK Hynix y Micron como causa principal, y aplica a los envíos de principios del año que viene. Los fabricantes por contrato que arman servidores para Microsoft, Google y Oracle ya avisaron a sus clientes; Nvidia no comentó. El detalle que vuelve la nota interesante es a quién le cae: Amazon, Microsoft, Google y Meta, más OpenAI y Anthropic. Son las mismas empresas que están volcando miles de millones en infraestructura de IA y que, al mismo tiempo, siguen siendo los mayores clientes de Nvidia, financiando el poder de mercado del proveedor del que intentan zafar desarrollando chips propios. The Decoder · Bloomberg
The Decoder Bloomberg OpenAI Anthropic Google Meta Microsoft Amazon Nvidia Samsung SK Hynix Micron
-
Estée Lauder notifica una brecha por una falla en Oracle E-Business Suite
La empresa de cosméticos avisó a sus empleados tras una intrusión que explotó una vulnerabilidad en el sistema de Oracle que usaba para recursos humanos. Se suma a la ola de ataques que aprovechan fallas en suites empresariales de Oracle este año. techstartups
-
ShinyHunters roba datos de la NAIC vía 0-day en Oracle PeopleSoft
El grupo de extorsión ShinyHunters comprometió a la National Association of Insurance Commissioners (NAIC) explotando una vulnerabilidad zero-day en un servidor Oracle PeopleSoft, sustrayendo datos públicos, logs antiguos y archivos de configuración. Parte de la ola de brechas de comienzos de julio junto a actores como INC_RANSOM y ANUBIS. SecurityOnline · Breachsense
-
AMD le sigue recortando distancia a Nvidia
La acción de AMD subió ~10% en la jornada y acumula +182% en lo que va del año, con Goldman Sachs marcando que gana terreno en aceleradores de IA. Sus EPYC e Instinct MI300 ganan tracción entre hyperscalers (Microsoft, Meta, Oracle) que buscan alternativas a Nvidia. La atención se centra en su conferencia Advancing AI 2026 (22–23 de julio, San Francisco), donde se esperan novedades de la próxima generación de chips. 24/7 Wall St. · Intellectia
-
Zero-day de Oracle PeopleSoft explotado contra universidades (CVE-2026-35273)
Según Mandiant, esta falla crítica (CVSS 9.8, RCE remoto sin autenticación) fue explotada como 0-day entre el 27/5 y el 9/6, dos semanas antes del aviso de Oracle. La campaña apuntó fuertemente a educación superior: el 68% de las 100+ organizaciones notificadas eran universidades. Importa por el daño potencial a sistemas de gestión académica y de recursos humanos ampliamente desplegados. Rapid7
-
Zero-day en Oracle PeopleSoft (CVE-2026-35273) usado por ShinyHunters golpea universidades
El grupo de extorsión ShinyHunters (rastreado por Mandiant como UNC6240) explotó una falla de ejecución remota de código sin autenticación (CVSS 9.8) entre el 27 de mayo y el 9 de junio, antes de que Oracle publicara su aviso el 10 de junio. Mandiant notificó a más de 100 organizaciones; el 68% eran de educación superior, mayormente en EE.UU. Have I Been Pwned contabilizó ~455.000 emails filtrados con nombres, direcciones, teléfonos y hasta números de pasaporte. The Hacker News · BleepingComputer · SecurityWeek