Estimado cliente:
Le enviamos el resumen semanal de las amenazas y vulnerabilidades más relevantes, según los avisos de INCIBE-CERT, CISA, las agencias europeas CERT-FR (Francia) y BSI (Alemania), los fabricantes y otras fuentes especializadas. Incluimos también los avisos del 26 de octubre publicados después del cierre del boletín anterior. Hemos identificado 73 incidencias; 15 son actualizaciones de incidencias ya comunicadas, sobre todo de la vulnerabilidad de PHP «php2shell», que ya se está explotando. Para cada una indicamos a qué afecta, qué ocurre, qué hay que hacer y las fechas de aviso y de solución. Le recomendamos revisar primero las marcadas como CRÍTICA y EXPLOTADA.
AVISO MÁS GRAVE · ACTUAR HOY
WordPress 7.1.4: 12 vulnerabilidades corregidas y ataques ya en marcha
WordPress publicó el 28 de octubre la versión 7.1.4, que corrige 12 fallos de seguridad. El más grave permite a un atacante sin credenciales ejecutar código en el servidor durante la actualización del núcleo. Wordfence y otros proveedores ya observan decenas de miles de intentos de ataque. Afecta a todas las versiones desde la 4.7 hasta la 7.1.3. La mayoría de las webs se actualizan solas, pero conviene comprobarlo.
Qué hacer: Entrar en Escritorio > Actualizaciones y confirmar que la web está en WordPress 7.1.4 o en la versión corregida de su rama (las ramas antiguas reciben el parche de forma escalonada). Si usa Wordfence, active la protección ampliada. Aprovechen para comprobar también que el servidor tiene PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35.
WordPress 7.1.4 · CERT-FR · Wordfence
Prioridades del periodo
| Explotadas — actuar hoy | PHP php2shell (ya en el catálogo KEV), Palo Alto PAN-OS, GitLab, Ivanti Connect Secure, Cisco ASA/FTD (VPN), WordPress, Adobe Commerce/Magento, Drupal Commerce, VMware ESX, Oracle E-Business Suite y PeopleSoft |
|---|
| Crítica — esta semana | Veeam Backup & Replication, WatchGuard Firebox, Citrix NetScaler y HPE ClearPass (php2shell), Palo Alto y VMware SDDC Manager (Brotli), kernel de Linux con exploit público, Futurum Software y NoviGest |
|---|
| Alta — planificar | Chrome, Firefox y Thunderbird, Samba, Microsoft Authenticator para Android, TeamViewer, certificados eMudhra en Windows y Java, Sophos UTM (sin parche), Mitel, Johnson Controls y equipos industriales con PHP |
|---|
| Proveedores comprometidos | Extensión Claude Code para Cursor, Northflank, script DebugBear y Chainalysis |
|---|
| Vigilancia | Infostealer VOLTA, phishing con código de dispositivo, falsas apps de IA y malware KeyDrift en Cisco SD-WAN |
|---|
| Protección de datos (AEPD) | Decálogo sobre agentes de IA; multas por pedir copia del DNI en el check-in y por no corregir una fuga de datos; datos de salud en prevención de riesgos; evaluación de impacto; derecho de acceso |
|---|
Actualizaciones de incidencias ya comunicadas
Incidencias de boletines anteriores con novedades relevantes: explotación confirmada, nuevos parches o nuevos productos afectados.
CRÍTICA EXPLOTADA
[Actualización] PHP «php2shell»: explotación confirmada y en el catálogo KEV
CVE-2026-109618 y CVE-2026-109619 · 9,2
- Afecta a
- Servidores con PHP 8.2 anterior a 8.2.35, 8.3 anterior a 8.3.36, 8.4 anterior a 8.4.27 y 8.5 anterior a 8.5.12.
- Qué ocurre
- CISA la incluyó el 26/10 en su catálogo de vulnerabilidades explotadas y ya hay al menos seis compromisos confirmados. Un atacante la combinó con un fallo del kernel de Linux (CVE-2026-46300) para obtener control total de unos 25 servidores. Wordfence no ha visto todavía webs WordPress comprometidas por esta vía.
- Qué hacer
- Confirmar que todos los servidores tienen PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, reiniciar los procesos de PHP y aplicar también la actualización del kernel de Linux.
- Fechas
- Aviso: 20/10/2026 (actualizado 26/10/2026) · Solución: 21/10/2026
Aviso de PHP · INCIBE-CERT
CRÍTICA EXPLOTADA
[Actualización] Palo Alto PAN-OS y Panorama: php2shell explotado y parches disponibles
CVE-2026-109618 y CVE-2026-109619
- Afecta a
- PAN-OS (PA-Series y VM-Series) y Panorama, ramas 12.2, 12.1, 11.2, 11.1 y 10.2 sin corrección. Solo la interfaz web de administración y las interfaces con perfil de administración. WildFire no está afectado.
- Qué ocurre
- Palo Alto confirma ataques contra interfaces de gestión expuestas a Internet y eleva el impacto a crítico.
- Qué hacer
- Instalar la versión corregida de su rama: 12.2.4-h1; 12.1.4-h13, 12.1.7-h11 o 12.1.10-h3; 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1; 11.1.7-h12 u otro hotfix 11.1; 10.2.7-h39, 10.2.10-h42, 10.2.13-h27, 10.2.16-h12 o 10.2.18-h13. Retirar la administración de Internet y, si hay indicios de ataque, conservar evidencias.
- Fechas
- Aviso: 20/10/2026 (actualizado 30/10/2026) · Solución: 26/10/2026 y 30/10/2026
Palo Alto Networks · INCIBE-CERT
CRÍTICA
[Actualización] php2shell en Citrix NetScaler y HPE ClearPass
CVE-2026-109618 y CVE-2026-109619
- Afecta a
- NetScaler ADC y Gateway 14.1 anterior a 14.1-73.49, 13.1 anterior a 13.1-64.32 y 13.1-FIPS/NDcPP anterior a 13.1.37.286. HPE ClearPass Policy Manager 6.14.1 y 6.11.16 y anteriores; también Cray ClusterStor y otros productos HPE.
- Qué ocurre
- Citrix y HPE confirman que la administración de estos equipos usa PHP vulnerable: un atacante sin credenciales podría ejecutar código.
- Qué hacer
- NetScaler: actualizar a 14.1-73.49, 13.1-64.32 o 13.1.37.286 y bloquear la administración desde Internet. ClearPass: instalar el hotfix de PHP para 6.14.1 o 6.11.16 (actualizar solo a esas versiones no basta) y limitar los portales de invitados expuestos.
- Fechas
- Aviso: 20/10/2026 (actualizado 26/10/2026 y 28/10/2026) · Solución: 26/10/2026
Citrix CTX697263 · HPE · INCIBE-CERT (HPE)
ALTA
[Actualización] php2shell en Cisco Duo, Mitel y Johnson Controls
CVE-2026-109618 y CVE-2026-109619
- Afecta a
- Cisco Duo Access Gateway 3.0.0 y 3.1.0, Expressway y URWB. Mitel: siete productos más, como MiVoice Connect, MiCollab Advanced Messaging, EX Controller, GX Gateway y OpenScape Cordless IP. Johnson Controls: control de accesos CEM AC2000 10.5 a 12.2, más cámaras Illustra y Power Manage.
- Qué ocurre
- Los fabricantes amplían la lista de equipos de telefonía, accesos y videovigilancia afectados y publican correcciones.
- Qué hacer
- Duo Access Gateway 3.2.0; Expressway y URWB con las soluciones alternativas de Cisco. Mitel: MiVoice 5000 SecurityPatch_R8.X_20, OpenScape Branch/SBC V11 R3.4.4, MiCollab AM 9.4, SESAP V2 R1.1.9 y el resto según su socio Mitel. Johnson Controls: hotfix de CEM AC2000, firmwares Illustra del boletín y Power Manage 4.20.15 o 5.0.45.
- Fechas
- Aviso: 20/10/2026 (actualizado 26/10, 28/10 y 29/10/2026) · Solución: 26-29/10/2026 · parte de Mitel y Cisco sin solución
Cisco · Mitel MISA-2026-0008 · Johnson Controls
ALTA
[Actualización] php2shell en Broadcom, Oracle y Sage CRM
CVE-2026-109618 y CVE-2026-109619
- Afecta a
- Symantec PAM, Security Analytics 8.2.8 a 8.4.1.3 y OPMS anterior a 26.8.x; Oracle Communications y Oracle Solaris 11; integraciones de terceros en PHP y el Java de Tomcat en Sage CRM.
- Qué ocurre
- Los fabricantes confirman productos afectados. En Sage CRM el núcleo no usa PHP, pero sí lo pueden usar las integraciones, y su Java está afectado por CVE-2026-91403.
- Qué hacer
- PAM 4.2.3.85 a 4.3.2.85 según su versión; OPMS 26.8.4; Security Analytics: parche de 8.3.2 y 8.4.1.4 (prevista la segunda semana de noviembre). Oracle: parches de cada producto. Sage CRM: actualizar las integraciones y el Java que usa realmente Tomcat.
- Fechas
- Aviso: 20/10/2026 (actualizado 26/10/2026) · Solución: 26/10/2026 · Security Analytics 8.4.1.4 pendiente
Oracle · INCIBE-CERT (Sage CRM) · INCIBE-CERT (Broadcom)
MEDIA SIN PARCHE
[Actualización] php2shell en equipos industriales, de vigilancia y almacenamiento
CVE-2026-109618 y CVE-2026-109619
- Afecta a
- Hikvision Hybrid SAN y Cluster Storage, Siemens RUGGEDCOM APE1808, ABB ASPECT y MES, Schneider Electric EcoStruxure, HMS Netbiter y PEAK-System, Wibu CodeMeter License Central, B&R APROL, Welotec SMART EMS, Contec, Mettler Toledo OCTO y Sprecher SPRECON-NDM.
- Qué ocurre
- Numerosos fabricantes confirman que sus equipos llevan PHP vulnerable. Algunos, como ABB ASPECT, Hikvision Cluster Storage y PEAK Wireless, todavía no tienen solución.
- Qué hacer
- Aplicar el firmware o la mitigación de cada fabricante (por ejemplo, Netbiter 3.00.11, License Central 5.2.2 o SMART EMS 3.5.4) y no exponer nunca sus interfaces web a Internet.
- Fechas
- Aviso: 20/10/2026 (actualizado 26-30/10/2026) · Solución: 26-30/10/2026 · algunos sin solución
INCIBE-CERT (Hikvision) · Siemens
CRÍTICA EXPLOTADA
[Actualización] Brotli: explotación activa y nuevos productos afectados
CVE-2026-111497
- Afecta a
- Node.js, .NET, Bun, Python y Envoy; compilaciones de PHP para Windows con Brotli 1.0.3 a 1.2.0; Cisco Smart Software Manager On-Prem y otros productos Cisco con Node.js; Mitel OpenScape Endpoint Management V1 R2.5.1 y anteriores.
- Qué ocurre
- CISA la incluyó el 27/10 en su catálogo de vulnerabilidades explotadas. Datos comprimidos manipulados pueden corromper la memoria y ejecutar código.
- Qué hacer
- Brotli 1.2.1; PHP para Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 u 8.2.35-1; Cisco Smart Software Manager 10-202610; Mitel según MISA-2026-0010. Reconstruir los contenedores.
- Fechas
- Aviso: 21/10/2026 (actualizado 27/10/2026) · Solución: 21/10/2026 (Node.js) · 26/10/2026 (PHP Windows)
Brotli 1.2.1 · PHP Windows · Cisco
CRÍTICA SIN PARCHE
[Actualización] Brotli en cortafuegos Palo Alto y VMware SDDC Manager
CVE-2026-111497
- Afecta a
- PAN-OS 12.2, 12.1 y 11.2 (desde 11.2.4) con inspección Brotli y descifrado TLS activados; Prisma Cloud AST Client anterior a 0.2.9; SDDC Manager 9.1.1, 9.1.0, 9.0.x y 5.2.x de VMware Cloud Foundation.
- Qué ocurre
- El fallo de Brotli también llega a estos productos y podría permitir ejecutar código. SDDC Manager todavía no tiene parche.
- Qué hacer
- PAN-OS 12.2.4-h1, 12.1.4-h13, 12.1.7-h11, 12.1.10-h3, 11.2.4-h23, 11.2.7-h23, 11.2.10-h17, 11.2.13-h4 o 11.2.16-h1, o desactivar brotli-encoding. SDDC Manager: aplicar las mitigaciones KB460732 o KB460734 tras hacer copia de seguridad.
- Fechas
- Aviso: 21/10/2026 (actualizado 27/10/2026) · Solución: 27-30/10/2026 (Palo Alto) · SDDC Manager sin parche
Palo Alto · Broadcom VMSA-2026-0008
CRÍTICA EXPLOTADA
[Actualización] GitLab: el fallo de gravedad 10 ya se explota
CVE-2026-97229 · 10,0
- Afecta a
- GitLab CE/EE autogestionado anterior a 19.4.2, 19.3.5 y 19.2.8.
- Qué ocurre
- CISA la incluyó el 29/10 en su catálogo de vulnerabilidades explotadas. Hubo un intento de ataque contra el GitLab de Alpine Linux.
- Qué hacer
- Actualizar a 19.4.2, 19.3.5 o 19.2.8 o posterior y revisar el servidor en busca de accesos indebidos.
- Fechas
- Aviso: 21/10/2026 (actualizado 29/10/2026) · Solución: 21/10/2026
GitLab · CISA
CRÍTICA EXPLOTADA
[Actualización] Ivanti Connect Secure: nuevos fallos encadenados
CVE-2026-111357 y CVE-2026-118527
- Afecta a
- VPN Ivanti Connect Secure sin las correcciones del fabricante.
- Qué ocurre
- Dos fallos nuevos, combinados con CVE-2026-104935 (ya comunicado), permiten llegar a root sin credenciales. En el catálogo KEV desde el 30/10.
- Qué hacer
- Aplicar la versión corregida del aviso de Ivanti. Si sospecha un acceso indebido, restaure el equipo de fábrica y cambie todas las credenciales.
- Fechas
- Aviso: 13/10/2026 (actualizado 30/10/2026) · Solución: no consta; consultar el aviso de Ivanti
Ivanti · CISA
ALTA
[Actualización] Certificados comprometidos de eMudhra: parches de Windows y Java
CVE-2026-114820 (Java)
- Afecta a
- Windows 10 y 11 sin KB5134125 o KB5134133; Java SE y GraalVM; almacenes de certificados de Linux, Python (certifi) y Homebrew.
- Qué ocurre
- Microsoft publicó actualizaciones fuera de ciclo para dejar de confiar en estos certificados y Apple ya los bloquea. Las herramientas con almacén de certificados propio pueden seguir confiando en ellos, lo que permitiría suplantar webs.
- Qué hacer
- Instalar KB5134133 (Windows 11) o KB5134125 (Windows 10), el parche de Java de Oracle y actualizar los paquetes de certificados de los servidores.
- Fechas
- Aviso: 22/10/2026 (actualizado 26/10/2026) · Solución: 26/10/2026 (Java) · 28/10/2026 (Windows)
Windows 11 · Windows 10 · Oracle
MEDIA
[Actualización] Tailscale SSH: ya hay parche
- Afecta a
- Tailscale anterior a 1.104.4 con Tailscale SSH.
- Qué ocurre
- Tailscale corrige los fallos que permitían a un dispositivo comprometido llegar a root en otros servidores de la red.
- Qué hacer
- Actualizar Tailscale a 1.104.4 o posterior en todos los equipos.
- Fechas
- Aviso: 25/10/2026 (actualizado 28/10/2026) · Solución: 28/10/2026
Más información
1. Vulnerabilidades que ya se están atacando
Explotación confirmada; la mayoría están en el catálogo KEV de CISA. Si usa alguno de estos productos, actúe de inmediato.
CRÍTICA EXPLOTADA
Cisco Secure Firewall ASA y FTD — caída del cortafuegos a través de la VPN
CVE-2026-76418 · 8,6
- Afecta a
- ASA 9.16 a 9.24 y FTD 7.0 a 10.1 sin corrección, con SSL VPN accesible y autenticación secundaria configurada en los grupos de túneles.
- Qué ocurre
- Un atacante sin credenciales puede reiniciar el cortafuegos con peticiones SSL VPN manipuladas y cortar la conexión de la empresa. Cisco confirma ataques.
- Qué hacer
- ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 o 9.24.1.27; FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 o 10.1.1. No desactive la autenticación secundaria como solución.
- Fechas
- Aviso: 28/10/2026 · KEV 29/10/2026 · Solución: 28/10/2026
Aviso de Cisco · INCIBE-CERT
CRÍTICA EXPLOTADA
Adobe Commerce y Magento — tiendas online comprometidas
CVE-2026-48356
- Afecta a
- Tiendas con Adobe Commerce o Magento sin el parche APSB26-73.
- Qué ocurre
- Permite subir archivos peligrosos y ejecutar código. La campaña «PolyShell» ya ha comprometido cientos de tiendas.
- Qué hacer
- Aplicar el parche APSB26-73, revisar los archivos subidos recientemente y cambiar las credenciales de administración.
- Fechas
- Aviso: 27/10/2026 · Solución: disponible (APSB26-73)
Adobe APSB26-73
CRÍTICA EXPLOTADA
Drupal Commerce Core — acceso sin autorización
CVE-2026-118539
- Afecta a
- Tiendas Drupal con el módulo Commerce Core sin la versión corregida; más de 42.000 webs lo usan.
- Qué ocurre
- Un atacante sin cuenta puede saltarse los controles de acceso. Drupal confirma que se está explotando.
- Qué hacer
- Actualizar a Commerce Core 3.3.13 o posterior (rama 3) u 8.x-2.41 (rama 2), según el aviso de Drupal, y revisar los pedidos en busca de anomalías.
- Fechas
- Aviso: 30/10/2026 · Solución: 30/10/2026
Aviso de Drupal · BleepingComputer
CRÍTICA EXPLOTADA
Oracle E-Business Suite y PeopleSoft (ERP)
CVE-2026-101767 · 9,8 · CVE-2026-35273
- Afecta a
- Oracle E-Business Suite y Oracle PeopleSoft sin los últimos parches de seguridad.
- Qué ocurre
- En E-Business Suite, los atacantes sondean un fallo crítico de autenticación pocos días después del parche. En PeopleSoft, el grupo ShinyHunters encadenó tres fallos para robar datos.
- Qué hacer
- Aplicar los parches de Oracle en ambos productos, no exponer el ERP a Internet y revisar los accesos recientes.
- Fechas
- Aviso: 28/10/2026 · Solución: EBS disponible · PeopleSoft no consta
E-Business Suite · PeopleSoft
ALTA EXPLOTADA
Broadcom VMware ESX — acciones de administrador sin registro
CVE-2026-41709
- Afecta a
- Servidores de virtualización VMware ESX sin la corrección de Broadcom.
- Qué ocurre
- Un atacante con acceso de administrador puede hacer ciertas operaciones sin dejar rastro en los registros. La ha explotado un grupo vinculado a China.
- Qué hacer
- Aplicar la corrección del aviso de Broadcom, revisar las cuentas de administrador y no exponer la gestión a Internet.
- Fechas
- Aviso: 28/10/2026 · Solución: no consta; consultar el aviso
Broadcom
ALTA EXPLOTADA
Kernel de Linux — fallo usado junto a php2shell
CVE-2026-46300
- Afecta a
- Servidores Linux sin el kernel corregido.
- Qué ocurre
- Permite modificar datos en la memoria caché y, combinado con php2shell, obtener control total del servidor.
- Qué hacer
- Instalar el kernel actualizado de su distribución y reiniciar.
- Fechas
- Aviso: 28/10/2026 · Solución: según cada distribución
NVD
2. Vulnerabilidades críticas por fabricante
Sin explotación confirmada por ahora, pero de gravedad crítica o alta en productos muy usados. Recomendamos parchear en los próximos días.
CRÍTICA
Veeam Backup & Replication y otros productos Veeam (copias de seguridad)
CVE-2026-108142 (crítica) y 8 más
- Afecta a
- VBR 13.1 hasta 13.1.1.18 y 13.0 hasta 13.0.2.29; Agent for Linux anterior a 13.1.2; Backup for Microsoft 365 anterior a 8.6 P1; Veeam ONE anterior a 13.1 P1; Management Pack anterior a 13.1.0.334. VBR 12.x no está afectado.
- Qué ocurre
- Un atacante sin cuenta puede saltarse los controles de CDP Coordinator; otros fallos permiten elevar privilegios, inyectar SQL o ejecutar código. Los servidores de copias son un objetivo prioritario del ransomware.
- Qué hacer
- VBR 13.1.2 (13.1.2.57) o 13.0.3 (13.0.3.63); Agent for Linux 13.1.2.11; Backup for Microsoft 365 8.6.0.5011; Veeam ONE 13.1.0.7940; Management Pack 13.1.0.334.
- Fechas
- Aviso: 27/10/2026 · Solución: 27/10/2026
Veeam KB4948 · INCIBE · CERT-FR
CRÍTICA
WatchGuard Firebox (Fireware OS) — 6 fallos críticos
CVE-2026-103594, 112710, 112709, 93865, 93857, 93866 y 103593
- Afecta a
- Fireware 2025.1 hasta antes de 2026.4 y 12.0 hasta antes de 12.12.4; modelos T15 y T35 hasta antes de 12.5.22.
- Qué ocurre
- Desbordamientos de memoria en el proxy SIP, el Access Portal, la autenticación con Active Directory y FireCluster que, según la configuración, permiten ejecutar código o administrar el equipo sin credenciales.
- Qué hacer
- Actualizar a Fireware 2026.4, 12.12.4 o 12.5.22 (T15 y T35). No hay alternativas.
- Fechas
- Aviso: 28/10/2026 · Solución: disponible (28/10/2026)
WatchGuard PSIRT · INCIBE-CERT
ALTA SIN PARCHE
Sophos UTM — ejecución de código como administrador
WID-SEC-2026-4232
- Afecta a
- Cortafuegos Sophos UTM.
- Qué ocurre
- Vulnerabilidad de riesgo alto que permite ejecutar código con privilegios de administrador. Todavía no hay parche.
- Qué hacer
- Limitar la administración web a redes de confianza y aplicar la corrección en cuanto Sophos la publique.
- Fechas
- Aviso: 29/10/2026 · Solución: sin parche
BSI (CERT-Bund)
3. Sistemas Windows, servidores y aplicaciones
CRÍTICA
Kernel de Linux — fallo crítico en TCP con exploit público
CVE-2026-98432 · 9,8
- Afecta a
- Kernel de Linux desde la 4.4: Debian 12 y 13, Ubuntu 22.04 a 26.10 y Red Hat 8, 9 y 10 sin corrección.
- Qué ocurre
- Un fallo de memoria en la pila TCP permite tomar el control del servidor como root. Ya se ha publicado un exploit funcional.
- Qué hacer
- Debian 12: kernel 6.1.190-1; Debian 13: 6.12.113-1. Ubuntu y Red Hat: instalar el kernel en cuanto se publique y reiniciar. Instale también las actualizaciones de kernel de Red Hat y SUSE del 30/10.
- Fechas
- Aviso: 29/10/2026 · Solución: 30/10/2026 (Debian) · Ubuntu y Red Hat pendientes
Debian · Ubuntu · Red Hat
ALTA
Samba (servidores de ficheros y NAS)
CVE-2026-109411
- Afecta a
- Samba anterior a 4.25.1, presente en servidores Linux de ficheros y en muchos NAS.
- Qué ocurre
- Permite saltarse la política de seguridad y afecta a la confidencialidad e integridad de los datos compartidos.
- Qué hacer
- Actualizar a Samba 4.25.1 o al paquete corregido de su distribución; en NAS, al firmware del fabricante.
- Fechas
- Aviso: 23/10/2026 · Solución: 23/10/2026
Samba · CERT-FR
ALTA
Navegadores y correo: Chrome, Firefox y Thunderbird
Unas 250 CVE
- Afecta a
- Chrome anterior a 156.0.8078.79 (Windows y Linux) y 156.0.8078.80 (Mac); Firefox anterior a 159; Firefox ESR anterior a 153.6 y 115.44; Thunderbird anterior a 159 y 153.6.
- Qué ocurre
- Google y Mozilla corrigen un número elevado de fallos, varios con riesgo de ejecución de código al visitar una web.
- Qué hacer
- Reiniciar los navegadores para que se actualicen y comprobar las versiones. En empresas, forzar la actualización desde la consola de gestión.
- Fechas
- Aviso: 27/10/2026 · Solución: 27-29/10/2026
Chrome · Mozilla
ALTA
Microsoft Authenticator para Android — robo de tokens
CVE-2026-80097
- Afecta a
- Microsoft Authenticator para Android anterior a 6.2606.4246.
- Qué ocurre
- Otra aplicación instalada en el mismo móvil podía obtener los tokens de autenticación, debilitando la doble autenticación.
- Qué hacer
- Actualizar Microsoft Authenticator a 6.2606.4246 o posterior en todos los móviles de empresa.
- Fechas
- Aviso: 28/10/2026 · Solución: disponible (6.2606.4246)
Investigación
MEDIA
TeamViewer — un equipo remoto malicioso puede atacar al técnico
- Afecta a
- Clientes de TeamViewer sin la última actualización.
- Qué ocurre
- Si se conecta a un equipo controlado por un atacante, este puede bloquear el visor y, según la plataforma, ejecutar código en su ordenador.
- Qué hacer
- Actualizar TeamViewer a la última versión y no conectarse a equipos de origen desconocido.
- Fechas
- Aviso: 30/10/2026 · Solución: disponible (30/10/2026)
Más información
CRÍTICA
Software de gestión español: Futurum, NoviGest (Tactis) y SABBATIC
CVE-2026-14571 · 9,1 · CVE-2026-112197 · 9,4 · CVE-2026-5697 a 5702
- Afecta a
- Módulo de inicio de sesión de la plataforma comercial de Futurum Software; NoviGest Desktop App 7.4.4-292; aplicación SABBATIC de digitalización de tickets y facturas anterior a 7.96.0.1.
- Qué ocurre
- Futurum: inyección SQL sin autenticación. NoviGest: un atacante podía ejecutar órdenes a través de Java RMI y leer archivos locales. SABBATIC: XSS almacenados y CSRF de gravedad media.
- Qué hacer
- Futurum: ya corregido; confirme con el fabricante que su instalación está actualizada. NoviGest: actualizar a 8.0.0-300. SABBATIC: corregido en 7.96.0.1 y 7.96.0.2.
- Fechas
- Aviso: 28/10/2026 y 29/10/2026 · Solución: disponible
Futurum · NoviGest · SABBATIC
4. Webs con WordPress
CRÍTICA EXPLOTADA
WordPress 7.1.4 — ejecución remota durante la actualización y 11 fallos más
Sin CVE asignado · 8,1
- Afecta a
- WordPress 4.7 a 7.1.3.
- Qué ocurre
- El fallo más grave permite ejecutar código sin credenciales en el breve intervalo en que se descomprime una actualización del núcleo. El resto son XSS almacenados, una denegación de servicio y el acceso a borradores del Personalizador sin autenticar. Ya hay intentos masivos de ataque.
- Qué hacer
- Comprobar en Escritorio > Actualizaciones que la web está en 7.1.4 o en la versión corregida de su rama, y revisar que el servidor tiene la versión de PHP corregida.
- Fechas
- Aviso: 28/10/2026 · Solución: 28/10/2026
WordPress · The Hacker News
5. Proveedores comprometidos (cadena de suministro)
ALTA EXPLOTADA
Extensión Claude Code para Cursor troyanizada
Versión 2.1.313
- Afecta a
- Desarrolladores que actualizaron la extensión Claude Code en el editor Cursor el 29/10/2026.
- Qué ocurre
- Durante unas 11 horas se distribuyó una versión maliciosa que instalaba una puerta trasera SSH, se quedaba persistente y enviaba datos del equipo al atacante.
- Qué hacer
- Desinstalar la versión 2.1.313, buscar la clave SSH «svc-telemetry», eliminar tareas programadas o LaunchAgents desconocidos y rotar claves y credenciales.
- Fechas
- Aviso: 30/10/2026 · Solución: no aplica (limpiar y rotar credenciales)
Aviso de Cursor · BleepingComputer
ALTA EXPLOTADA
Northflank, DebugBear y Chainalysis
- Afecta a
- Clientes de la plataforma cloud Northflank; webs que cargan el script de rendimiento DebugBear; clientes de Chainalysis.
- Qué ocurre
- Northflank sufrió una brecha que permitió usar claves de API de IA de sus clientes. Un script de DebugBear manipulado robó unos 2,7 millones de dólares de 726 carteras. Chainalysis expuso nombres, correos y roles de clientes.
- Qué hacer
- Rotar las claves de API alojadas en Northflank, controlar los scripts de terceros con Subresource Integrity y una política CSP, y vigilar el phishing dirigido si es cliente de Chainalysis.
- Fechas
- Aviso: 31/10/2026 y 01/11/2026 · Solución: no aplica (mitigaciones disponibles)
Northflank · DebugBear · Chainalysis
6. Protección de datos (AEPD)
Guías y resoluciones publicadas por la Agencia Española de Protección de Datos esta semana, con lo que implican para su empresa.
ALTA
AEPD — decálogo para usar asistentes y agentes de IA sin perder el control de los datos
Guía publicada el 27/10/2026
- Afecta a
- Empresas cuyos empleados usan asistentes o agentes de IA con acceso al correo, documentos, agenda o pagos.
- Qué ocurre
- La AEPD propone revisar qué puede ver, recordar y hacer el agente, a dónde envía los datos y si afecta a terceros. Advierte de las instrucciones ocultas en correos, webs o documentos que pueden desviar al agente.
- Qué hacer
- Definir qué asistentes de IA están autorizados en la empresa; no conectar el correo ni los documentos profesionales a cuentas personales; conceder solo los permisos imprescindibles y evitar «permitir siempre»; exigir confirmación antes de enviar, compartir, pagar o contratar; revisar y retirar accesos periódicamente.
- Fechas
- Aviso: 27/10/2026 · Solución: No aplica (recomendación)
Nota de prensa AEPD · Decálogo (PDF)
ALTA
Multa de 4.000 € a un alojamiento por pedir copia del DNI por correo en el check-in
Infracción del principio de minimización (art. 5.1.c RGPD)
- Afecta a
- Hoteles, apartamentos turísticos y cualquier empresa que pida copia del DNI o pasaporte a sus clientes.
- Qué ocurre
- Para completar el check-in, el alojamiento pedía enviar por email fotos del DNI por las dos caras o del pasaporte de todos los huéspedes. La AEPD considera que se recogen más datos de los necesarios y le ordena cambiar el procedimiento en un mes.
- Qué hacer
- Recoger solo los datos que exige la normativa de registro de viajeros, sin pedir copia del documento, y no recibir documentos de identidad por correo electrónico.
- Fechas
- Aviso: 27/10/2026 · Solución: No aplica (cumplimiento normativo)
Resoluciones AEPD
ALTA
Multa a un club de esports por no corregir una fuga de datos de 80.000 personas
Falta de medidas de seguridad (art. 32 RGPD) · 6.000 €, 4.800 € tras el pago voluntario
- Afecta a
- Cualquier empresa con web, tienda online o base de datos de clientes y socios.
- Qué ocurre
- Un tercero avisó de que los datos de más de 80.000 usuarios estaban expuestos en una URL de la web. La empresa redirigió la página principal, pero los datos siguieron accesibles. La AEPD sanciona por no aplicar medidas de seguridad adecuadas.
- Qué hacer
- Tratar todo aviso de exposición de datos como un incidente real: comprobarlo de inmediato, cerrar el acceso, valorar la notificación a la AEPD en 72 horas y revisar periódicamente qué contenido es público en la web.
- Fechas
- Aviso: 27/10/2026 · Solución: No aplica (cumplimiento normativo)
Resoluciones AEPD
MEDIA
Servicio de prevención de riesgos laborales: datos de salud usados para otros fines
Datos de salud de los reconocimientos médicos de empresa (arts. 6 y 9 RGPD)
- Afecta a
- Empresas que contratan reconocimientos médicos con un servicio de prevención ajeno, y los propios servicios de prevención.
- Qué ocurre
- La AEPD declara que un servicio de prevención usó datos identificativos y de salud de los reconocimientos médicos para finalidades distintas sin base legal. Le ordena dejar de hacerlo en un plazo de tres meses.
- Qué hacer
- Revisar el contrato de encargo con el servicio de prevención: que los datos de salud de la plantilla solo se usen para la vigilancia de la salud y no para otros fines comerciales o de gestión.
- Fechas
- Aviso: 29/10/2026 · Solución: No aplica (cumplimiento normativo)
Resoluciones AEPD
MEDIA
Sanción por tratar datos de alto riesgo sin evaluación de impacto
Falta de evaluación de impacto (art. 35 RGPD)
- Afecta a
- Organizaciones que tratan datos de salud o de colectivos vulnerables, o usan geolocalización, videovigilancia masiva o perfiles.
- Qué ocurre
- Una fundación de transporte adaptado trató datos de alto riesgo sin hacer antes la evaluación de impacto obligatoria. La AEPD declara la infracción.
- Qué hacer
- Antes de poner en marcha un tratamiento de alto riesgo, realizar y documentar la evaluación de impacto (EIPD) y revisarla cuando cambie el tratamiento.
- Fechas
- Aviso: 28/10/2026 · Solución: No aplica (cumplimiento normativo)
Resoluciones AEPD
VIGILANCIA
Derechos de los clientes: la AEPD obliga a responder a una solicitud de acceso desatendida
Derecho de acceso (art. 15 RGPD)
- Afecta a
- Todas las empresas que tratan datos de clientes, empleados o usuarios.
- Qué ocurre
- Una empresa de mobiliario no respondió a un cliente que pidió acceso a sus datos. La AEPD le obliga a contestar en diez días hábiles y advierte de que incumplir la resolución es una infracción muy grave.
- Qué hacer
- Tener un procedimiento para responder las solicitudes de acceso, rectificación o supresión en el plazo de un mes, y un buzón conocido para recibirlas.
- Fechas
- Aviso: 27/10/2026 · Solución: No aplica (cumplimiento normativo)
Resoluciones AEPD
7. Otros avisos
Componentes y productos más específicos. Revíselos solo si los usa.
| Producto / servicio | Fallo | Situación |
|---|
Juniper Session Smart Router y Conductor
18 CVE | Ejecución remota de código, elevación de privilegios y caídas | Corregido: 7.0.5, 7.1.7 y 7.2.3 (28/10) |
|---|
Apache Kafka
12 CVE | Caídas, fuga de datos y salto de seguridad | Corregido: 4.2.2, 4.3.2 y 4.4.0 (28/10) |
|---|
Mattermost Server
CVE-2026-93851 · WID-SEC-2026-4258 | Salto de seguridad y ejecución de código por usuario autenticado | Corregido: 11.7.11, 11.8.6 y 11.9.2 (28/10) |
|---|
Docker Desktop
CVE-2026-114409 y CVE-2026-99999 | Fuga de información y salto de seguridad | Corregido: 4.97.0 (28/10) |
|---|
GitLab CE/EE y AI Gateway
CVE-2026-111943 | Salto de la política de seguridad | Corregido: 19.5.3, 19.4.5, 19.3.7 y anteriores ramas (29/10) |
|---|
Elastic Cloud Enterprise
7 CVE | Elevación de privilegios y salto de seguridad | Corregido: 4.2.1 y 3.8.6 (29/10) |
|---|
ESET Endpoint Encryption y Full Disk Encryption
CVE-2026-75882 | Afecta a la confidencialidad e integridad | Corregido: 5.4.29.0 y 2.4.8.0 (29/10) |
|---|
Kaspersky Security Center y Agente de red
CVE-2026-88941 | Denegación de servicio | Corregido: versiones del aviso de Kaspersky (29/10) |
|---|
IBM QRadar, Db2 y Sterling B2B
62 CVE, incluye php2shell | Ejecución de código, SSRF y caídas | Corregido: parches en cada boletín de IBM (30/10) |
|---|
MongoDB Database Tools, Java Driver y Laravel MongoDB
3 CVE | Inyección y salto de seguridad | Corregido: 100.20.0, 5.14.0 y 5.12.0 (28/10) |
|---|
CPython
CVE-2026-103995 y CVE-2026-116566 | Salto de la política de seguridad | Corregido: última versión de cada rama (27 y 29/10) |
|---|
Kernel de Linux de Red Hat y SUSE
Varias CVE | Múltiples fallos del kernel | Corregido: instalar el kernel y reiniciar (30/10) |
|---|
Canonical LXD y MicroCloud
CVSS 10 | Suplantación de clientes de confianza con solo su certificado público | Según Canonical; versiones no publicadas en las fuentes (01/11) |
|---|
Servidor web embebido GoAhead (IoT)
CVE-2026-115881 y CVE-2026-115884 | No comprueba la revocación de certificados de cliente | Corregido: GoAhead 6.1.1; en dispositivos, esperar firmware (27/10) |
|---|
ServiceNow AI Platform
WID-SEC-2026-4252 | Ejecución de código y manipulación de datos por usuario autenticado | Según ServiceNow (30/10) |
|---|
pgAdmin, Progress WS_FTP, Rancher y Fleet
WID-SEC-2026-4242, 4240, 4246 y 4245 | Vulnerabilidades de riesgo alto | Según cada fabricante (30/10) |
|---|
PuMuKIT (portal de vídeo)
CVE-2026-4337 · 8,8 | Subida y borrado de archivos sin autenticación | Sin solución. Restringir el acceso (27/10) |
|---|
Sisense Cloud BI Platform
CVE-2026-117493 y 117494 · 8,3 | XSS almacenado en paneles y en imágenes SVG | Sin solución comunicada (27/10) |
|---|
IsMyGym (Zuinq Studio) e ICT Innovations
CVE-2026-4316 y CVE-2026-7190 | XSS reflejado | Corregido: IsMyGym 6.0.85; ICT ya corregido (26 y 29/10) |
|---|
Forocoches y videoteca de las Cortes de Castilla-La Mancha
CVE-2026-14467 y CVE-2026-103377 | Exposición de la IP del lector y XSS reflejado | Corregido por los responsables; no requiere acción (26 y 30/10) |
|---|
Android («SMS of Death»)
CVE-2026-58882 | Un SMS manipulado deja sin servicio móvil; exploit público | Corregido: instalar los parches de seguridad de Android (31/10) |
|---|
Hitachi Energy, Siemens Mendix SAML, Mitsubishi Iconics y EPICS Base
Avisos ICS de CISA e INCIBE | Vulnerabilidades en sistemas industriales | Corregido: según cada aviso; EPICS Base 7.0.11 (27-29/10) |
|---|
Adobe Campaign Classic
8 CVE críticas | Ejecución de código y elevación de privilegios | Corregido: actualización de Adobe (28/10) |
|---|
Amenazas destacadas
Infostealer VOLTA: nuevo malware para Windows que roba contraseñas y cookies de los navegadores y datos de Outlook y Slack, y usa IA para elegir a las víctimas más rentables. Mantenga el antivirus o EDR al día, no guarde contraseñas en el navegador y use doble autenticación (02/11).
Phishing con código de dispositivo: la campaña Skyw4lker engaña al usuario para que escriba un código en la página legítima de Microsoft y dé acceso a su cuenta aunque tenga doble autenticación. Bloquee este tipo de inicio de sesión con acceso condicional si no lo usa y avise a los usuarios (28/10).
Falsas aplicaciones de ChatGPT y Claude: repositorios falsos de GitHub distribuyen instaladores firmados que instalan mineros de criptomonedas. Descargue estas herramientas solo de las webs oficiales (29/10).
Cisco SD-WAN y malware KeyDrift: atacantes aprovecharon un fallo crítico de Catalyst SD-WAN corregido en febrero para robar las claves que cifran el tráfico entre sedes. Compruebe que su SD-WAN está actualizado y rote las claves si hay dudas (28/10).
Nuestras recomendaciones
Comprobar hoy que todas las webs están en WordPress 7.1.4 y que los servidores tienen PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 y el kernel de Linux actualizado.
Actualizar los cortafuegos y VPN expuestos a Internet: Palo Alto, Cisco ASA/FTD, Ivanti, WatchGuard y Citrix NetScaler, y retirar de Internet sus interfaces de administración.
Actualizar Veeam y revisar que las copias de seguridad están aisladas y se pueden restaurar.
Aplicar los parches de GitLab, Adobe Commerce, Drupal Commerce, Oracle EBS y PeopleSoft si usa estas plataformas.
Instalar las actualizaciones de Windows de eMudhra, los navegadores y Microsoft Authenticator en todos los equipos y móviles.
Revisar los equipos de telefonía, videovigilancia, NAS e industriales con PHP: aplicar el firmware del fabricante y no exponerlos a Internet.
Si necesita ayuda para revisar su exposición a alguna de estas incidencias, contacte con su responsable en Solutions ITS. Estaremos encantados de ayudarle.
Un saludo,
Equipo de Ciberseguridad · Solutions ITS
Fuentes: AEPD, INCIBE-CERT (avisos y avisos SCI), INCIBE (empresas), CISA (avisos, avisos ICS y catálogo KEV), CERT-FR (ANSSI, Francia), BSI CERT-Bund (Alemania), NCSC (Nueva Zelanda), Microsoft MSRC, PHP, WordPress, avisos de los fabricantes (Palo Alto, Cisco, Citrix, HPE, Mitel, Johnson Controls, Broadcom, Oracle, Sage, Veeam, WatchGuard, Ivanti, GitLab, Adobe, Drupal), SANS ISC, Wordfence, Recorded Future, BleepingComputer y The Hacker News. Boletín elaborado a partir de información pública; no sustituye a una auditoría de seguridad específica. TLP:CLEAR.
Protección de datos y baja del boletín. Recibe este boletín por su relación como cliente de Solutions ITS, responsable del tratamiento de sus datos de contacto, con la finalidad de informarle sobre amenazas y vulnerabilidades que pueden afectar a sus sistemas, sobre la base de la relación contractual y del interés legítimo, conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 34/2002 (LSSI-CE). Sus datos no se ceden a terceros salvo obligación legal.
Si no desea seguir recibiendo este boletín, envíe un correo a [email protected] con el asunto «BAJA». En esa misma dirección puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Si considera que no se han atendido correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
Ver todos los boletines
