1. Principales Vulnerabilidades y Filtraciones de la semana

2. La CISA entierra el CVSS y redefine cómo parchear vulnerabilidades

3. El apagón de Anthropic que Europa no debería olvidar

💥Check Point ha publicado 2 vulnerabilidades: 1 de severidad crítica y otra alta que en caso de ser explotadas podrían permitir a un atacante establece una conexión VPN de acceso remoto sin una contraseña válida o interactuar de intermediario en las conexiones VPN de sitio a sitio (Noticia)

💥Veeam ha parcheado un fallo crítico de RCE (CVE-2026-44963, CVSS 9.4) en Backup & Replication. Actualiza urgentemente (Noticia)

💥Más de 400 paquetes del Repositorio de Usuarios de Arch Linux han sido comprometidos con malware infostealer y un rootkit (Noticia)

💥Inyección de cadena de formato autenticada en Tapo C110 de TP-Link (Noticia)

💥Microsoft acaba de lanzar un récord de 206 correcciones de seguridad. 39 están calificadas como Crítico. Algunos pueden permitir que los atacantes ejecuten código por la red o BitLocker (Noticia)

💥Un fallo en nftables permite escalar a root en Linux con un exploit estable (Noticia)

La CISA entierra el CVSS y redefine cómo parchear vulnerabilidades

La Cybersecurity and Infrastructure Security Agency (CISA) publicó el pasado 10 de junio la Binding Operational Directive 26-04 (Prioritizing Security Updates Based on Risk), una directiva vinculante que obliga a las agencias civiles del Ejecutivo Federal de Estados Unidos (FCEB) a cambiar radicalmente su modelo de gestión de vulnerabilidades.

Lo que a primera vista parece una actualización administrativa es, en realidad, un cambio de paradigma: el CVSS deja de ser el criterio principal de priorización. En su lugar, la directiva impone un modelo basado en cuatro variables de riesgo operativo con plazos de remediación diferenciados.

La BOD 26-04 consolida y revoca dos directivas anteriores:

• BOD 19-02 (Vulnerability Remediation Requirements for Internet-Accessible Systems, 2019): exigía parchear vulnerabilidades críticas en sistemas expuestos a internet en 15 días, y las de alta severidad en 30.

• BOD 22-01 (Reducing the Significant Risk of Known Exploited Vulnerabilities, 2021): creó el catálogo KEV (Known Exploited Vulnerabilities) y ordenó remediar sus entradas en plazos fijos de 2 semanas.

Ambos modelos compartían un problema: trataban la severidad o la inclusión en el KEV como proxy suficiente del riesgo, sin considerar si el activo afectado era accesible desde fuera, si la explotación podía automatizarse o si el impacto postexplotación era total o parcial.

Con la BOD 26-04, CISA reconoce que ese enfoque genera patch fatigue sin mejorar la postura de seguridad de forma proporcional al esfuerzo.

El nuevo modelo: cuatro variables, un semáforo de urgencia

La directiva define cuatro criterios binarios que determinan la prioridad de remediación de cualquier vulnerabilidad:

Una vulnerabilidad que cumple los cuatro criterios debe ser remediada en 3 días. Además, las agencias deben realizar una triage forense para determinar si el sistema ya fue comprometido antes de aplicar el parche, porque (y esto es clave) parchear no expulsa a un actor que ya está dentro.

Informe CISA

El apagón de Anthropic que Europa no debería olvidar

A las 17:21 hora del Este del viernes 13 de junio, el Secretario de Comercio Howard Lutnick envió una carta al CEO de Anthropic, Dario Amodei, indicando que los modelos Mythos 5 y Fable 5 quedarían sujetos a controles de exportación para cualquier ubicación fuera de EE.UU. y para todos los ciudadanos extranjeros dentro del país.

Anthropic anunció que desactivaba el acceso a sus modelos Fable 5 y Mythos 5 para todos los clientes, después de que el gobierno de EE.UU. emitiera una directiva de control de exportaciones que prohibía su uso a cualquier nacional extranjero, tanto dentro como fuera de Estados Unidos. La empresa optó por un cierre total porque la alternativa (bloquear selectivamente) habría requerido cortar el acceso a una enorme franja de usuarios, incluidos los propios empleados de Anthropic nacidos fuera de EE.UU.

En pocas horas, uno de los instrumentos técnicos más avanzados disponibles para equipos de seguridad, investigadores y desarrolladores en toda Europa dejó de existir. Sin previo aviso. Sin período de transición. Por decisión unilateral de un gobierno extranjero.

El incidente no es sorprendente para quien lleva tiempo estudiando dependencias tecnológicas. Pero hay una diferencia entre saber que algo puede pasar y experimentarlo en producción.

Cuando una orden de control de exportaciones de EE.UU. silenció los modelos Mythos-class de Anthropic en Europa de la noche a la mañana, destruyó el mito de la "nube americana segura" y demostró que la soberanía digital es ahora un requisito de supervivencia.

El argumento lleva años circulando en los documentos de política tecnológica europea. Los impulsores iniciales del proyecto EuroStack señalaron que el 80% de la tecnología europea es importada, lo que crea una dependencia de la tecnología estadounidense y china. Lo que antes era una estadística preocupante ahora tiene un nombre, una fecha y un error 403.

La arquitectura de dependencia es más profunda de lo que parece en la superficie. No se trata solo de qué modelo de IA usa un equipo de seguridad: se trata de quién controla el interruptor. Y ese interruptor, quedó claro el viernes, no está en Europa.

EuroStack: la respuesta que lleva dos años tomando forma

El EuroStack no nació como reacción al bloqueo de Anthropic. Nació precisamente para evitar que algo así importara.

El concepto de un "European Stack" para describir un proyecto paneuropeo de infraestructura técnica soberana fue propuesto por primera vez en 2019, mientras que el término específico "EuroStack" fue acuñado por Glen Weyl en 2024. La iniciativa EuroStack recibió el apoyo del Comité ITRE del Parlamento Europeo en junio de 2025. Sus impulsores, Francesca Bria y Haroon Sheikh, la presentaron como la última oportunidad de Europa para preservar su soberanía en la era digital.

La propuesta más ambiciosa llamaba a movilizar 300.000 millones de euros en diez años para invertir en independencia tecnológica europea. Pero más allá de las cifras, el argumento conceptual es lo que merece atención técnica: la soberanía no es un producto, es una pila (stack).

El argumento central es que la soberanía no es una sola cosa: es un stack. Comprende computación, modelos fundacionales, servicio e inferencia de modelos, y capa de aplicación. Controlar solo una capa sin controlar las demás es ilusión de soberanía, no soberanía real.

La pregunta honesta es: ¿qué hay realmente construido? La respuesta es heterogénea, pero más sustancial de lo que la narrativa del "retraso europeo" sugiere.

La infraestructura crítica de una democracia no puede depender de controles de exportación ajenos. Ese principio ya estaba en los documentos de política. Ahora también está en los logs de error.

Ramón

Ver historial de Publicaciones