fuente: https://blog.elhacker.net/2026/10/vercel-confirma-escape-de-vm-kvm-y.html
Vercel ha confirmado una vulnerabilidad de día cero en KVM tras el reporte del investigador Paulos Yibelo. Se trata de un escape de máquina virtual que permitiría a un código ejecutado en un huésped obtener acceso de root en el host. El hallazgo se realizó a través del programa de recompensas de Vercel Sandbox, otorgando al investigador un premio de 50.000 dólares.
El descubrimiento se produjo a través del programa de recompensas por errores (bug bounty) de Vercel Sandbox, lo que genera preocupación sobre un límite de seguridad utilizado para contener cargas de trabajo no confiables y agentes de IA.
Yibelo anunció el hallazgo el 3 de octubre de 2026, describiéndolo como un "zeroday de escape completo de VM" que implica un "invitado > root del host" en hipervisores estándar de la industria. El CEO de Vercel, Guillermo Rauch, confirmó por separado el día cero de KVM y señaló que próximamente se publicaría un informe técnico detallado. Ninguna de las declaraciones explicó la cadena de explotación ni identificó las versiones afectadas.
Los ciberdelincuentes rusos recientemente vinculados a la explotación de una vulnerabilidad ya corregida en Zimbra han sido detectados explotando otra vulnerabi...
Leer artículo →Una nueva vulnerabilidad en Microsoft Copilot para Word revela cómo las indicaciones ocultas dentro de los documentos pueden transformar la edición rutinaria en...
Leer artículo →Ruby on Rails ha publicado correcciones para una vulnerabilidad crítica de Active Storage que podría permitir a atacantes no autenticados leer archivos arbitrar...
Leer artículo →