Claude Mythos Preview en resumen
El 7 de abril de 2026, Anthropic informó que Claude Mythos Preview, un modelo restringido de Project Glasswing, halló zero-days en sistemas operativos y navegadores. Entre los arreglos públicos están el RCE de NFS RPCSEC_GSS en FreeBSD (CVE-2026-4747), un fallo de TCP SACK en OpenBSD y 271 arreglos en Firefox 150.
Claude Mythos Preview: estado
- Afectado
- FreeBSD 13.5, 14.3, 14.4 y 15.0 antes de las correcciones del 26 de marzo de 2026, cuando kgssapi.ko está cargado o un servidor RPC usa librpcsec_gss (CVE-2026-4747)
- OpenBSD 7.8 sin la errata 025 (caída del kernel por TCP SACK)
- Firefox antes de 150 (MFSA 2026-30)
- Identificadores CVE
- Estado al
- Detectada por
- Claude Mythos Preview de Anthropic; FreeBSD acredita a Nicholas Carlini, que usó Claude, y Mozilla a investigadores de Anthropic que usaron Claude · Detectada por un sistema de IA
Qué cambió con Claude Mythos Preview
El 7 de abril de 2026, Anthropic publicó su investigación sobre Claude Mythos Preview, un modelo que no pondrá a disposición general, y lanzó Project Glasswing para dar acceso con fines defensivos a socios de software crítico como AWS, Apple, Google, Microsoft, Cisco, CrowdStrike y la Linux Foundation. Anthropic afirma que casi todas las vulnerabilidades se encontraron sin intervención humana después de una instrucción inicial, y que más del 99% seguía sin parche al momento de publicar, por lo que retiene la mayoría de los detalles hasta que salgan las correcciones.
El parche más claro es FreeBSD-SA-26:08.rpcsec_gss (CVE-2026-4747), publicado el 26 de marzo y atribuido a Nicholas Carlini usando Claude. Un desbordamiento de pila en la validación de paquetes RPCSEC_GSS permite que un cliente ataque el servidor NFS del kernel cuando kgssapi.ko está cargado; FreeBSD indica que el cliente no necesita autenticarse antes, y Anthropic lo describe como una falla de root remoto con 17 años de antigüedad. Las versiones corregidas son 15.0-RELEASE-p5, 14.4-RELEASE-p1, 14.3-RELEASE-p10 y 13.5-RELEASE-p11, sin solución alternativa. La errata 025 de OpenBSD 7.8 (25 de marzo) corrige una caída del kernel por opciones TCP SACK inválidas, que Anthropic describe como una falla de 27 años.
Luego llegaron los navegadores. Mozilla informa que Firefox 150, lanzado el 21 de abril, corrigió 271 vulnerabilidades halladas en una evaluación inicial con una versión temprana de Mythos Preview, después de que un análisis previo con Opus 4.6 produjera 22 correcciones en Firefox 148. El aviso MFSA 2026-30 de Mozilla atribuye a investigadores de Anthropic que usaron Claude CVE-2026-6746, un use-after-free de alto impacto en el DOM, y dos fallas moderadas de WebAssembly (CVE-2026-6757 y CVE-2026-6758). Anthropic también afirma que tres fallas de FFmpeg encontradas por el modelo se corrigieron en FFmpeg 8.1.
Cómo corregirlo: Claude Mythos Preview
1. Actualizar
Actualiza FreeBSD a 15.0-RELEASE-p5, 14.4-RELEASE-p1, 14.3-RELEASE-p10 o 13.5-RELEASE-p11 (o una rama stable posterior al 26 de marzo de 2026) y reinicia. Los kernels sin kgssapi.ko cargado no son vulnerables.
security.freebsd.org (se abre en una pestaña nueva)2. Actualizar
En OpenBSD 7.8, aplica la errata 025 (025_sack.patch) con syspatch.
openbsd.org (se abre en una pestaña nueva)3. Actualizar
Actualiza Firefox a la versión 150 o posterior en todos tus equipos.
mozilla.org (se abre en una pestaña nueva)4. Configuración
Acorta los plazos de parches, activa las actualizaciones automáticas y trata como urgentes las actualizaciones de dependencias con correcciones de CVE, como recomienda Anthropic.
anthropic.com (se abre en una pestaña nueva)
Avisos de seguridad
Por qué Claude Mythos Preview importa para los negocios
Los modelos de IA ya encuentran fallas de hace décadas más rápido de lo que muchos equipos aplican parches. Anthropic recomienda a quienes defienden sistemas acortar los ciclos de parches, activar las actualizaciones automáticas y tratar como urgentes las actualizaciones de dependencias que corrigen CVE. Para una empresa, eso significa mantener al día en cuestión de días los servidores NFS, firewalls y navegadores, llevar control de los sistemas sin soporte y prepararse para un volumen mayor de versiones de seguridad de los proyectos de los que depende.
Fuentes de esta noticia
- Claude Mythos Preview (se abre en una pestaña nueva)Oficial
Anthropic · anthropic.com
- Project Glasswing (se abre en una pestaña nueva)Oficial
Anthropic · anthropic.com
- FreeBSD-SA-26:08.rpcsec_gss (se abre en una pestaña nueva)Oficial
FreeBSD Project · security.freebsd.org
- OpenBSD 7.8 Errata (se abre en una pestaña nueva)Oficial
OpenBSD · openbsd.org
- The zero-days are numbered (se abre en una pestaña nueva)Oficial
Mozilla · blog.mozilla.org
- Security Vulnerabilities fixed in Firefox 150 (MFSA 2026-30) (se abre en una pestaña nueva)Oficial
Mozilla · mozilla.org
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #anthropic
- #ai-discovered
- #freebsd
- #openbsd
- #firefox
- #patch-management