Las amenazas y vulnerabilidades más relevantes de las dos últimas semanas, según los avisos de INCIBE-CERT, CISA, ENISA, los fabricantes y otras fuentes especializadas.
54 incidenciasPublicado el TLP:CLEAR
Hemos identificado 54 incidencias. Para cada una indicamos a qué afecta, qué ocurre, qué hay que hacer y las fechas de aviso y de solución. Le recomendamos revisar primero las marcadas como CRÍTICA y EXPLOTADA.
Aviso más graveActuar hoy
PHP «php2shell» (CVE-2026-109618 y CVE-2026-109619)
Dos fallos críticos en PHP (gravedad 9,2/10) permiten a un atacante tomar el control del servidor sin usuario ni contraseña. PHP es el lenguaje de la mayoría de webs, tiendas online, WordPress y muchas aplicaciones de gestión. Ya hay explotación activa. Actualizar WordPress no lo corrige: hay que actualizar PHP en el servidor.
Qué hacer: confirme que su web y sus aplicaciones usan PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o superior. Si su alojamiento lo gestiona un proveedor, pídale confirmación por escrito. Las ramas 7.4, 8.0 y 8.1 solo tienen parches de código fuente: planifique la migración.
Fechas: aviso 20/10/2026 · parche 21/10/2026.
Fuentes: aviso de INCIBE-CERT · aviso oficial de PHP · CISA
Ransomware SafePay, routers Wi-Fi Broadcom, kernel Linux (PwnEscape), Exchange, Vercel Sandbox, servicios web de terceros sin parche
1. Vulnerabilidades que ya se están atacando
El fabricante o CISA (catálogo KEV) confirman su explotación. Si usa alguno de estos productos, actúe de inmediato.
CríticaExplotada
Fortinet FortiMail — path traversal
CVE-2026-104286
Afecta a
FortiMail 8.0.0-8.0.1, 7.6.0-7.6.6, 7.4.0-7.4.8 y 7.2.0-7.2.9. FortiMail Cloud ya está corregido desde el 05/10.
Qué ocurre
Un atacante sin credenciales puede escribir archivos en el equipo con peticiones HTTP/HTTPS manipuladas, ejecutar código y tomar el control de la pasarela de correo. Fortinet y CISA confirman ataques.
Qué hacer
Actualizar a 8.0.2, 7.6.7 o 7.4.9; la rama 7.2 debe migrar a 7.4.9. Si no es posible ya: deshabilitar Identity-Based Encryption (IBE) o limitar la administración y el webmail a redes de confianza.
Fechas
Aviso: 08/10/2026 · Solución: disponible (Cloud corregido el 05/10/2026)
Fuentes: Fortinet FG-IR-26-175 · INCIBE-CERT
CríticaExplotada
Cisco Secure Email Gateway y Secure Email and Web Manager
CVE-2026-76519 (explotada) y otros 5 CVE
Afecta a
Versiones 15.5 y anteriores, 16.0 y 16.5. CVE-2026-76519 afecta al Gateway con File Reputation activado y Content Scanner Tools anterior a 25.3.0.5525.
Qué ocurre
Basta con enviar un correo con un archivo manipulado para escribir archivos y ejecutar comandos como root en la pasarela, sin autenticación. Otros fallos permiten path traversal, saltarse controles de acceso, inyecciones y caídas del servicio.
Qué hacer
Actualizar el Gateway a 15.5.5-014 o 16.5.0-780 y el Manager a 15.5.5-006 o 16.5.0-429 (la 16.0 debe migrar). Content Scanner Tools 25.3.0.5525 corrige CVE-2026-76519 sin reiniciar. Si hay sospecha de compromiso, conservar evidencias y desplegar un equipo nuevo.
Palo Alto Networks PAN-OS — ejecución de código en la interfaz de administración
CVE-2026-0322
Afecta a
PAN-OS en cortafuegos PA-Series y VM-Series y en Panorama: 12.2 anterior a 12.2.4; ramas 12.1, 11.2, 11.1 y 10.2 sin los hotfix indicados por el fabricante. No afecta a Cloud NGFW ni Prisma Access.
Qué ocurre
Un administrador o un atacante con sus credenciales puede ejecutar código como root en el cortafuegos. Palo Alto confirma explotación limitada, y los grupos de ransomware Qilin e INC aprovechan PAN-OS para saltarse la doble autenticación.
Qué hacer
Actualizar a la versión corregida de su rama y limitar la interfaz de administración a IP internas de confianza o a un equipo de salto.
Fechas
Aviso: 14/10/2026 · Solución: 15/10/2026
Fuentes: Palo Alto Networks · INCIBE-CERT
CríticaExplotada
Ivanti Connect Secure (VPN), Xtraction y Neurons Patch for Intune
Connect Secure 25.1.1.1 y anteriores, 25.1.2.2 y anteriores, y 22.8R2.4 y anteriores; Xtraction 2026.2.1 y anteriores; Neurons Patch for Intune antes del 16/09/2026.
Qué ocurre
En Connect Secure, un atacante entra sin contraseña, ejecuta órdenes en memoria y roba credenciales y datos. Xtraction tiene un path traversal crítico.
Qué hacer
Connect Secure: actualizar a 25.1.1.2, 25.1.3.0 o 22.8R2.5 (y después migrar a la 25.1). Xtraction: actualizar a 2026.4. Intune: rotar el secreto de la aplicación en Entra ID. Si hay sospecha, preservar registros, restaurar de fábrica y cambiar todas las contraseñas.
Fechas
Aviso: 13/10/2026 · Solución: disponible
Fuentes: aviso de Ivanti · INCIBE-CERT
CríticaExplotada
BeyondTrust Remote Support — acceso sin contraseña
CVE-2026-102764
Afecta a
Remote Support autoalojado, versión 26.2.3 y anteriores. La versión en la nube (SaaS) está corregida desde el 09/10.
Qué ocurre
Zero-day explotado por grupos vinculados a China para entrar en los servidores de soporte remoto, mantenerse en la red, elevar privilegios y moverse lateralmente.
Qué hacer
Aplicar el parche BT26-05-RS, disponible para las versiones 24.3.1 a 26.2.3 (las anteriores deben actualizar primero). Limitar el acceso externo y, si hay sospecha, hacer forense, reconstruir el equipo y rotar las credenciales que almacena.
NetScaler ADC y Gateway 14.1 y 13.1 (también FIPS y NDcPP), sobre todo si se usan con SAML como proveedor de identidad o de servicio; Citrix Secure Private Access híbrido.
Qué ocurre
Varios fallos permiten ejecutar código sin autenticación o dejar el servicio sin funcionar. Los CVE 88771 y 88772 se explotan como zero-day.
Qué hacer
Actualizar a 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS o 13.1-37.283 FIPS/NDcPP. Antes, preservar evidencias; después, rotar contraseñas, claves y certificados.
Productos Fortinet indicados por el fabricante, entre ellos FortiOS.
Qué ocurre
Incluida en el catálogo KEV de CISA el 16/10. Hay campañas que explotan FortiOS para instalar el malware PEERSTITCH en sesiones VPN.
Qué hacer
Aplicar los últimos parches de Fortinet y revisar las sesiones y cuentas VPN.
Fechas
Aviso: 16/10/2026 · Solución: según aviso de Fortinet
Fuentes: catálogo KEV · campaña PEERSTITCH
CríticaExplotada
Plex Media Server — «Plex2Shell»
CVE-2026-96652, 96654, 96655 y 96656
Afecta a
Servidores Plex Media Server accesibles desde Internet.
Qué ocurre
Una cadena de fallos permite robar el token de administrador y ejecutar código sin autenticación. Se explota para instalar mineros de criptomonedas y puertas traseras.
Qué hacer
Actualizar Plex. Si el servidor estaba expuesto, considérelo comprometido: revíselo y cambie las credenciales.
Productos Atlassian afectados; servidores de copias AhsayCBS; equipos con Siemens Software Center.
Qué ocurre
Todos están en el catálogo KEV. Atlassian expone ficheros a terceros; AhsayCBS permite saltarse la autenticación e inyectar comandos; Siemens Software Center se usa en campañas ClickFix para instalar troyanos.
Qué hacer
Actualizar según el aviso de cada fabricante y no exponer a Internet las consolas de copias ni de administración.
Fechas
Aviso: 14-20/10/2026 · Solución: según cada fabricante
Fuentes: catálogo KEV
2. Vulnerabilidades críticas por fabricante
Sin explotación confirmada por ahora, pero de gravedad crítica. Recomendamos parchear en los próximos días.
Crítica
GitLab autogestionado — ejecución remota de código
CVE-2026-97229 y nueva RCE de gravedad 10/10
Afecta a
GitLab CE/EE 19.2 anterior a 19.2.8, 19.3 anterior a 19.3.5 y 19.4 anterior a 19.4.2. La nueva RCE del 21/10 afecta a todas las versiones desde la 7.0.
Qué ocurre
Un atacante sin cuenta puede ejecutar código en el servidor GitLab, primero mediante una expresión regular manipulada en CI/CD y después con un fallo nuevo de gravedad máxima.
Qué hacer
Instalar la versión corregida del 21/10, aunque ya se hubiera actualizado el 12/10. GitLab.com y GitLab Dedicated ya están corregidos.
Fechas
Aviso: 13/10/2026 (actualizado 22/10/2026) · Solución: 12/10/2026 y 21/10/2026
Fuentes: GitLab 19.4.2 · RCE del 21/10
Crítica
Juniper Junos OS y Junos OS Evolved — 106 vulnerabilidades (9 críticas)
CVE-2026-101986, CVE-2026-101954, CVE-2026-101990 y otros
Afecta a
Junos OS anterior a 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5, 25.2R2-S2, 25.4R1-S3 y 26.2R1-S2, y sus equivalentes Evolved.
Qué ocurre
Permiten saltarse la autenticación de J-Web y NETCONF y tomar el control como root, o ejecutar código mediante BGP, FlowSpec o BMP manipulados.
Qué hacer
Actualizar a las versiones del boletín de octubre. Deshabilitar o restringir J-Web si no se usa.
Fechas
Aviso: 15/10/2026 · Solución: disponible
Fuentes: boletín Juniper · INCIBE-CERT
Crítica
FortiSIEM y FortiSandbox
CVE-2026-106173 · CVE-2026-107656
Afecta a
FortiSIEM 7.5.0; FortiSandbox 5.0.0-5.0.6 y 4.4.0-4.4.9; FortiSandbox PaaS 5.0.0-5.0.6 y 4.4.
Qué ocurre
FortiSIEM permite ejecutar código sin autenticación y ya hay un exploit público. FortiSandbox permite saltarse el inicio de sesión.
Qué hacer
Actualizar a FortiSIEM 7.5.1, FortiSandbox 5.0.7 o 4.4.10, o FortiSandbox PaaS 5.0.7. Mientras tanto, restringir el puerto TCP 27918 de FortiSIEM.
Nexus 3000 y 9000 con NX-API activada y UCS 6300; equipos Meraki MX, MS, MR, MG y MV, y Campus Gateways.
Qué ocurre
En NX-OS, una petición HTTP manipulada permite ejecutar código como root. En Meraki, fallos de memoria permiten accesos no autorizados, inyección de comandos o caídas.
Qué hacer
NX-OS: actualizar con Cisco Software Checker (UCS 6300 a 4.3(6j)) o desactivar NX-API. Meraki: actualizar el firmware desde el panel; las versiones para Campus Gateway salen a finales de octubre y a mediados de noviembre.
Fechas
Aviso: 08/10/2026 y 13/10/2026 · Solución: disponible (Campus Gateway pendiente)
Fuentes: Cisco NX-API · Cisco Meraki
Crítica
SAP — boletín de octubre (22 vulnerabilidades, 4 críticas)
CVE-2026-89111, 89110, 89107 y 89108
Afecta a
SAP Cloud SDK for Python, NetWeaver Visual Composer 7.50, S/4HANA (S4CORE 105-109), Manufacturing Integration and Intelligence 15.4-15.5 y otros componentes.
Qué ocurre
Robo de credenciales OAuth2, inyección de código ABAP en S/4HANA, creación de cuentas de administrador en MII y control de acceso deficiente en Visual Composer.
Qué hacer
Aplicar las notas de seguridad 3797111, 3805589 y 3798788 y actualizar Cloud SDK for Python a 0.45.2.
Fechas
Aviso: 14/10/2026 · Solución: 14/10/2026
Fuentes: SAP Patch Day · INCIBE-CERT
Crítica
Oracle — parche crítico de octubre (1.295 correcciones)
CVE-2026-101809, 91216, 91221, 87337, 75803
Afecta a
E-Business Suite 12.2.3-12.2.15, SOA Suite, Access Manager y Database 19.3-19.32 y 23.4-23.26.3, entre otros.
Qué ocurre
Múltiples fallos críticos en las aplicaciones y la base de datos de Oracle.
Qué hacer
Aplicar el Critical Patch Update de octubre de 2026 a los productos instalados.
Fechas
Aviso: 21/10/2026 · Solución: 21/10/2026
Fuentes: INCIBE-CERT
Crítica
HPE iLO e Intelligent Management Center (iMC)
CVE-2026-65206 · CVE-2026-79842
Afecta a
HPE iLO 5 anterior a 3.22, iLO 6 anterior a 1.79 e iLO 7 anterior a 1.25.01; HPE iMC anterior a 7.3 E0713.
Qué ocurre
En iLO, un atacante puede obtener una sesión de administrador del servidor físico sin contraseña a través de IPMI. En iMC, puede saltarse la autenticación.
Qué hacer
Actualizar el firmware de iLO y desactivar IPMI sobre LAN si no se usa. Actualizar iMC a 7.3 E0713.
Fechas
Aviso: 09/10/2026 y 14/10/2026 · Solución: disponible
Fuentes: HPE iLO · HPE iMC
Crítica
Splunk Enterprise y Secure Gateway
CVE-2026-76268, 76281 y 76284
Afecta a
Splunk Enterprise 10.4.0-10.4.2, 10.2.0-10.2.6, 10.0.0-10.0.9 y 9.4.0-9.4.14; Secure Gateway anterior a 3.10.11, 3.9.25 y 3.8.72.
Qué ocurre
En clústeres de búsqueda, un atacante sin cuenta puede ejecutar comandos a través de la API de Patroni. Hay además fallos de control de acceso e inyección.
Qué hacer
Actualizar a 10.4.3, 10.2.7, 10.0.10 o 9.4.15, y Secure Gateway a 3.10.11, 3.9.25 o 3.8.72.
Fechas
Aviso: 08/10/2026 · Solución: 08/10/2026
Fuentes: SVD-2026-1001 · SVD-2026-1002
Crítica
Tenable Identity Exposure
CVE-2026-106126
Afecta a
Tenable Identity Exposure SaaS 3.125.0 y anteriores (componente Active Directory Events Listener).
Qué ocurre
Un usuario con pocos privilegios puede ejecutar comandos como SYSTEM en el controlador de dominio principal.
Qué hacer
Actualizar a 3.126.0. Después, desinstalar y reinstalar Active Directory Events Listener con Register-TenableIOA.ps1 -Uninstall.
Fechas
Aviso: 09/10/2026 · Solución: 09/10/2026
Fuentes: Tenable TNS-2026-27
Crítica
Wazuh Manager y Next.js
CVE-2026-74041 · CVE-2026-96889
Afecta a
Wazuh Manager 4.14.3 a 4.14.7; Next.js 10.0.0-15.5.27 y 16.0.0-16.4.0, según la funcionalidad usada.
Qué ocurre
Vulnerabilidades críticas en la plataforma de seguridad Wazuh y en el framework web Next.js.
Qué hacer
Actualizar Wazuh a 4.14.8 y Next.js a 15.5.28 o 16.4.1 (como medida temporal, usar sharp 0.35.5).
Fechas
Aviso: 16/10/2026 · Solución: 16/10/2026
Fuentes: Wazuh (INCIBE) · Next.js (INCIBE)
Crítica
Stela de Diaple Networking (gestión de eventos)
CVE-2026-101287 · gravedad 9,3
Afecta a
Stela anterior a 1.60.1.
Qué ocurre
Modificando una cookie, un atacante puede suplantar cualquier cuenta, incluida la de superadministrador.
Qué hacer
Actualizar a 1.60.1 o posterior.
Fechas
Aviso: 15/10/2026 · Solución: disponible
Fuentes: INCIBE-CERT
3. Sistemas Windows, servidores y aplicaciones
AltaExplotada
Microsoft — boletín de octubre (1.408 vulnerabilidades)
CVE-2026-96951 (explotada) · AD FS: CVE-2026-96222 y CVE-2026-108131
Afecta a
Windows, Office (Excel, Word, Outlook), SharePoint, SQL Server, Exchange, Edge, Defender, Azure y otros.
Qué ocurre
Es el mayor boletín registrado: 78 fallos críticos, 65 de ellos de ejecución remota de código. Hay un fallo de Windows Shell que ya se explota y dos de suplantación en AD FS.
Qué hacer
Instalar las actualizaciones de octubre, empezando por los equipos expuestos. En Exchange local, si aparece inestabilidad, aplicar el ajuste de registro de Microsoft en lugar de desinstalar.
Fechas
Aviso: 13/10/2026 · Solución: 13/10/2026
Fuentes: Microsoft MSRC · INCIBE-CERT · guía de Exchange
Alta
TSplus Remote Access — elusión del doble factor
CVE-2026-108070, 108071 y 108072 · gravedad 8,7
Afecta a
TSplus Remote Access 19.20.3.10 y, posiblemente, versiones anteriores.
Qué ocurre
Permite acceder a recursos internos sin autenticación y saltarse el segundo factor (MFA) teniendo solo la contraseña.
Qué hacer
Actualizar a la última versión de TSplus.
Fechas
Aviso: 14/10/2026 · Solución: disponible
Fuentes: INCIBE-CERT
Crítica
Ghostscript — PDF malicioso (gravedad 9,8)
Afecta a
Ghostscript 9.21 a 10.07.1 en cualquier servidor que procese PDFs: webs con subida de archivos, gestores documentales, facturación y pasarelas de correo.
Qué ocurre
Un PDF manipulado con una imagen JPEG 2000 puede dar el control del servidor.
Qué hacer
Actualizar a Ghostscript 10.08.0 o al paquete corregido del sistema, y reconstruir los contenedores.
Servidores web NGINX, muy comunes en alojamientos y paneles de hosting.
Qué ocurre
Vulnerabilidad en el módulo principal de NGINX.
Qué hacer
Revisar la versión y aplicar la corrección del boletín de F5.
Fechas
Aviso: 20/10/2026 · Solución: según boletín F5
Fuentes: F5 K000162416
Alta
FacturaScripts y MobaXterm
CVE-2026-11959/11960 · CVE-2026-112161
Afecta a
FacturaScripts 2025.61 (software de facturación muy usado en pymes); MobaXterm Portable 26.4.
Qué ocurre
FacturaScripts tiene un XSS almacenado y permite enumerar usuarios. A MobaXterm le falta la verificación de integridad (gravedad 8,5).
Qué hacer
FacturaScripts: aplicar las correcciones publicadas en GitHub. MobaXterm: actualizar a 26.5.
Fechas
Aviso: 19-20/10/2026 · Solución: disponible
Fuentes: FacturaScripts · MobaXterm
Vigilancia
Kernel de Linux «PwnEscape» y routers Wi-Fi Broadcom eCos
Afecta a
Servidores Linux que alojan máquinas virtuales; routers y puntos de acceso con chip Broadcom eCos (muchos de operadores).
Qué ocurre
PwnEscape permite a una máquina virtual leer la memoria del anfitrión. En los routers Broadcom, alguien dentro del alcance de la Wi-Fi puede tomar el control del equipo y obtener la clave.
Qué hacer
Aplicar el kernel corregido cuando lo publique su distribución. Los routers Broadcom no tienen parche: no los use para la red de la empresa y consulte a su operador.
Fechas
Aviso: 16/10/2026 · Solución: según distribución · Broadcom sin parche
Fuentes: PwnEscape · Broadcom eCos
4. Webs con WordPress
Alta
Duplicator y Duplicator Pro
CVE-2026-82814 · gravedad 8,8
Afecta a
Versiones anteriores a 5.0.0.
Qué ocurre
Un atacante sin cuenta deja código malicioso en un comentario, y ese código se ejecuta cuando el administrador migra la web con el paquete.
Qué hacer
Actualizar a 5.0.0 o superior y volver a generar los paquetes antiguos antes de usarlos.
Fechas
Aviso: 20/10/2026 · Solución: 08/09/2026
Fuentes: Wordfence
Alta
Backuply
Afecta a
Versiones anteriores a 1.5.9 (más de 600.000 webs).
Qué ocurre
Un usuario registrado básico puede convertirse en administrador al restaurar una copia.
Qué hacer
Actualizar a 1.5.9.
Fechas
Aviso: 15/10/2026 · Solución: 01/10/2026
Fuentes: Wordfence
CríticaExplotada
UpdraftPlus / UpdraftCentral — claves robadas
Afecta a
Webs WordPress conectadas al servicio en la nube UpdraftCentral.
Qué ocurre
Robaron al fabricante claves de conexión que se están usando para instalar plugins maliciosos y puertas traseras.
Qué hacer
Actualizar a UpdraftPlus 1.26.12 (Free) o 2.26.12 (Premium) y revisar cada web conectada.
Fechas
Aviso: 19/10/2026 · Solución: 19/10/2026
Fuentes: Wordfence
CríticaExplotada
Rank Math SEO PRO 3.0.123 — puerta trasera
Afecta a
Webs que descargaron o actualizaron a la 3.0.123 entre el 15/10 (20:02 UTC) y el 16/10 (07:12 UTC).
Qué ocurre
El paquete del plugin contenía una puerta trasera que se reinstala sola.
Qué hacer
Tratar la web como comprometida: limpiarla, revisar los administradores y las tareas programadas, y actualizar a 3.0.124.
5. Proveedores comprometidos (cadena de suministro)
La gran tendencia del periodo: atacar a un proveedor para llegar a todos sus clientes.
CríticaExplotada
ConnectWise — acceso a 173 tenants de Microsoft 365
Afecta a
Clientes de ConnectWise con integración en Microsoft 365.
Qué ocurre
Con una credencial robada, los atacantes iniciaron sesión en cuentas de Microsoft 365 de clientes. El servicio de copias en la nube se suspendió.
Qué hacer
Revisar los inicios de sesión y las aplicaciones con permisos en Microsoft 365, y seguir el restablecimiento de credenciales de ConnectWise.
Fechas
Aviso: 17/10/2026 · Solución: en curso (20/10/2026)
AltaExplotada
AOMEI Backupper, LiteLLM y OVHcloud CLI
Afecta a
Usuarios que actualizaron durante el compromiso de cada producto; LiteLLM 1.107.0; OVHcloud CLI (cinco versiones).
Qué ocurre
Manipularon los servidores de actualización o los paquetes publicados para distribuir puertas traseras y programas que roban credenciales.
Qué hacer
Comprobar las versiones instaladas, analizar los equipos, actualizar (OVHcloud CLI a 0.16.0; retirar LiteLLM 1.107.0) y rotar claves y credenciales.
Fechas
Aviso: 16-21/10/2026 · Solución: disponible
Fuentes: AOMEI · LiteLLM · OVHcloud CLI
Alta
Certificados de la autoridad eMudhra
Afecta a
Navegadores, sistemas y software que confiaban en sus certificados intermedios.
Qué ocurre
Se comprometieron ocho claves que permitirían falsificar certificados. Mozilla, Google, Apple y Go ya las bloquean.
Qué hacer
Mantener actualizados navegadores y sistemas operativos.
Fechas
Aviso: 20/10/2026 · Solución: 20/10/2026
6. Otros avisos de INCIBE-CERT
Servicios y aplicaciones concretos. La mayoría dependen del proveedor; revíselos solo si los usa.
Producto / servicio
Fallo
Situación
TSG Profleet 12.004.01 CVE-2026-111472 · 9,3
Inyección SQL sin autenticación
Sin solución. Restrinja el acceso y contacte con el fabricante (16/10)
NetBoard CRM (demo) CVE-2026-12260 · 10
Inyección SQL en la recuperación de contraseña
Sin solución (08/10)
Copart, facturación web CVE-2026-14851 · 9,2
Facturas accesibles sin autorización
Sin solución. Si es cliente, vigile posibles fraudes (14/10)
HPE NonStop Servers CVE-2002-0391 y 44 más
Desbordamiento en XDR Streams
Corregido: T0248L01^AAF (13/10)
Wegow, backoffice CVE-2026-101300
SSRF en la exportación a PDF
Sin solución; depende del proveedor (16/10)
Frappe Cloud / ERPNext CVE-2026-4894 · 6,9
OTP de registro enviado a varios correos
Corregido por el fabricante (08/10)
BeeTienda eCommerce CVE-2026-4264 · 5,1
XSS reflejado en la búsqueda
Sin solución (09/10)
YouMind CVE-2026-96535 · 5,1
XSS mediante avatar SVG
Sin solución; depende del proveedor (13/10)
Amenazas destacadas
Ransomware SafePay: más de 600 víctimas, también en Europa. Entra con contraseñas débiles o filtradas, por la VPN o aprovechando equipos sin actualizar, y borra las copias de seguridad antes de cifrar. Aviso conjunto de CISA y el FBI (20/10).
Qilin e INC: estos grupos de ransomware explotan cortafuegos Palo Alto para saltarse la doble autenticación.
ClickFix: la víctima recibe instrucciones para pegar y ejecutar órdenes en su equipo. Recuerde a su equipo que nunca debe ejecutar órdenes que le pida una web.
Proveedores cloud: un proveedor japonés de servidores virtuales fue comprometido y se instaló malware en hasta 27.000 servidores de clientes. Revise qué acceso tienen sus proveedores a sus sistemas.
Inteligencia artificial: los entornos aislados para agentes de IA pueden filtrar datos (Vercel Sandbox, sin parche), y las librerías de IA también son objetivo de ataques (LiteLLM).
Nuestras recomendaciones
Actualizar PHP en todas las webs y aplicaciones, o pedir confirmación al proveedor de alojamiento.
Parchear las pasarelas de correo (FortiMail, Cisco Secure Email Gateway), los cortafuegos y las VPN (Palo Alto, Fortinet, Ivanti, Citrix, Juniper): son la principal puerta de entrada.
Instalar las actualizaciones de Microsoft de octubre y los firmware de servidores (HPE iLO) y de la red (Cisco, Meraki).
Revisar los plugins de WordPress citados y mantener activas las actualizaciones automáticas.
Auditar a los proveedores con acceso a sus sistemas y a Microsoft 365, y revisar los permisos concedidos.
Activar la doble autenticación y comprobar que las copias de seguridad están aisladas y se pueden restaurar.
Si necesita ayuda para revisar su exposición a alguna de estas incidencias, contacte con Solutions ITS. Estaremos encantados de ayudarle.
Equipo de Ciberseguridad · Solutions ITS
Fuentes: INCIBE-CERT, CISA (avisos y catálogo KEV), ENISA, CERT-EU, NCSC-NZ, ACSC, avisos de los fabricantes (Fortinet, Cisco, Palo Alto, Ivanti, Juniper, SAP, Oracle, HPE, Splunk, Tenable, Citrix, BeyondTrust, Microsoft), SANS ISC, Wordfence, Imperva, Recorded Future, KrebsOnSecurity, BleepingComputer y The Hacker News. Boletín elaborado a partir de información pública; no sustituye a una auditoría de seguridad específica. TLP:CLEAR.
