Estimado cliente:
Le enviamos el resumen semanal de las amenazas y vulnerabilidades más relevantes, según los avisos de INCIBE-CERT, CISA, las agencias europeas CERT-FR (Francia) y BSI (Alemania), los fabricantes y otras fuentes especializadas. Hemos identificado 62 incidencias; 7 son actualizaciones de incidencias ya comunicadas, entre ellas la vulnerabilidad de WordPress, que ya figura en el catálogo de fallos explotados. Para cada una indicamos a qué afecta, qué ocurre, qué hay que hacer y las fechas de aviso y de solución. Le recomendamos revisar primero las marcadas como CRÍTICA y EXPLOTADA.
AVISO MÁS GRAVE · ACTUAR HOY
OpenSSH «SSHole»: acceso por SSH sin contraseña a servidores Alpine Linux, ya explotado
El 5 de noviembre OpenSSH publicó una corrección de urgencia para un fallo que permite entrar por SSH en cuentas que no tienen contraseña (por ejemplo, las que solo usan clave) enviando una contraseña muy larga. Afecta a sistemas Linux basados en la biblioteca musl sin PAM, como Alpine Linux en su configuración por defecto, muy usado en contenedores y equipos de red. Menos de nueve horas después ya había intentos de ataque y se ha confirmado el acceso como administrador en un servidor trampa. No afecta a Debian, Ubuntu, Red Hat ni a los sistemas que validan contraseñas con PAM.
Qué hacer: Si tiene servidores o contenedores Alpine con SSH accesible, instale OpenSSH 10.6p2 o el paquete corregido de su versión de Alpine y reinicie el servicio sshd. Si no puede actualizar hoy, desactive el acceso por contraseña (PasswordAuthentication no). Revise en los registros los mensajes «Accepted password for» de cuentas que no deberían admitir contraseña y, si no puede descartar un acceso, trate el equipo como comprometido.
Aviso de Alpine Linux · OpenSSH 10.6p2 · INCIBE-CERT · CERT-FR
Prioridades del periodo
| Prioridad | Incidencias y acciones |
|---|
| Explotadas — actuar hoy | OpenSSH «SSHole» en Alpine Linux y contenedores, VPN de SonicWall (SonicOS), NAS Synology (ransomware), WordPress (ya en el catálogo KEV), Plex en NAS QNAP, plugin CryptoPayment Gateway, Siemens SIMATIC IoT2050 y un fallo antiguo de Apple |
|---|
| Crítica — esta semana | WatchGuard AuthPoint Gateway, Barracuda Email Security Gateway, SonicWall GMS (sin parche), NetApp StorageGRID, SolarWinds Dameware, Tenable Identity Exposure, nuevas versiones de Ivanti Connect Secure, kernel de Linux (parches de Red Hat) y la plataforma MatchPoint |
|---|
| Alta — planificar | Android (boletín de noviembre), Chrome, Edge y Firefox, Paint de Windows, gestor de paquetes APT de Debian y Ubuntu, switches Zyxel GS1900 y D-Link DGS-3130 (sin parche), FortiSOAR y NetApp ONTAP (php2shell), ALO Suite y SIREC |
|---|
| Proveedores comprometidos | Herramienta cPGuard para servidores cPanel, gestor de contraseñas mSecure, Crédit Mutuel Arkéa y Chainstack (ataques a través de terceros) y ampliación de la brecha de Chainalysis |
|---|
| Vigilancia | Ataques a sistemas de refrigeración, falsas invitaciones a eventos de IA, herramientas de seguridad falsas en GitHub, secretos expuestos por Claude Code, puerta trasera en Control Web Panel y botnet en receptores Android TV |
|---|
| Protección de datos (AEPD) | Nueva guía sobre entornos de tratamiento seguro para reutilizar datos sensibles, especialmente de salud |
|---|
Actualizaciones de incidencias ya comunicadas
Incidencias de boletines anteriores con novedades relevantes: explotación confirmada, nuevos parches o nuevos productos afectados.
CRÍTICAEXPLOTADA
[Actualización] WordPress: el fallo durante la actualización ya está en el catálogo KEV
CVE-2026-119977 · 8,1
- Afecta a
- WordPress 4.7 a 7.1.3.
- Qué ocurre
- CISA lo incluyó el 03/11 en su catálogo de vulnerabilidades explotadas y Wordfence ha bloqueado más de 240.000 intentos de ataque. Además, la propia instalación del parche usa por última vez el código antiguo, así que durante esos segundos la web sigue expuesta.
- Qué hacer
- Confirmar que la web está en WordPress 7.1.4 o en la versión corregida de su rama. Como precaución, antes de actualizar bloquear en el servidor web el acceso a los archivos PHP de la carpeta wp-content/upgrade.
- Fechas
- Aviso: 28/10/2026 (actualizado 03/11/2026) · Solución: 28/10/2026
Wordfence · CISA
ALTA
[Actualización] PHP «php2shell» en FortiSOAR, NetApp ONTAP y más productos Cisco
CVE-2026-109618 y CVE-2026-109619
- Afecta a
- FortiSOAR local y PaaS 8.0.0, 7.6.0 a 7.6.7, 7.5.0 a 7.5.4 y ramas 7.4 y 7.3 (en local también 7.2 y 7.0); NetApp ONTAP 9.12 a 9.19 sin el hotfix; Cisco Ultra-Reliable Wireless Backhaul y Unified Industrial Wireless anteriores a 26.2.1.9.
- Qué ocurre
- Fortinet confirma el 05/11 que FortiSOAR usa el PHP vulnerable (impacto medio según el fabricante) y NetApp publica correcciones para ONTAP, donde podría permitir ejecutar código.
- Qué hacer
- FortiSOAR: actualizar a 8.0.1 o aplicar el parche de seguridad 2 de 8.0.0, el 1 de 7.6.7 o el 1 de 7.5.4; las ramas 7.4 y anteriores deben migrar. ONTAP: instalar el hotfix de su rama (por ejemplo 9.19.1P4 o 9.18.1P8HF1). Cisco: 26.2.1.9 cuando se publique (previsto en noviembre).
- Fechas
- Aviso: 20/10/2026 (actualizado 03/11/2026 y 06/11/2026) · Solución: 03/11/2026 (ONTAP) · 05/11/2026 (FortiSOAR) · Cisco pendiente
Fortinet FG-IR-26-186 · NetApp · INCIBE-CERT
CRÍTICAEXPLOTADA
[Actualización] Brotli: Citrix Unicon, SolarWinds Dameware y más productos Cisco
CVE-2026-111497
- Afecta a
- UniconOS Management (Scout) On-Prem, incluida Scout LTSR, y Scout Cloud Gateway On-Prem de Citrix; SolarWinds Dameware 2026.3 y anteriores; varios productos Cisco con Node.js (Catalyst Center, Intersight, Webex Connect, Secure Endpoint Private Cloud y otros).
- Qué ocurre
- El fallo del descompresor Brotli, ya explotado, llega a estos productos: datos comprimidos manipulados podrían corromper la memoria y ejecutar código sin credenciales.
- Qué hacer
- Citrix: Scout Hotfix 2609.1, Scout LTSR 2508 CU2 y Scout Cloud Gateway 2605.1-3. Dameware: 2026.3.1. Cisco: aplicar las versiones del aviso a medida que se publiquen (varias previstas entre noviembre de 2026 y 2027).
- Fechas
- Aviso: 21/10/2026 (actualizado 03/11/2026 y 04/11/2026) · Solución: 03/11/2026 (Citrix) · 04/11/2026 (Dameware) · Cisco parcialmente pendiente
Citrix CTX697300 · INCIBE-CERT (Citrix) · Cisco
CRÍTICASIN PARCHE
[Actualización] Kernel de Linux (fallo en TCP): parches de Red Hat y equipos WatchGuard afectados
CVE-2026-98432 · 9,8
- Afecta a
- Red Hat Enterprise Linux 8, 9 y 10, OpenShift 4 y productos basados en ese kernel; WatchGuard Fireware OS 12.0 y posteriores y 2025.1, puntos de acceso WatchGuard AP y Dimension 2.0 y posteriores.
- Qué ocurre
- Red Hat ya publica kernels corregidos para este fallo, que permite ejecutar código como root a distancia y tiene exploit público. Ubuntu solo lo ofrece en su canal de pruebas y WatchGuard confirma que sus equipos están afectados, todavía sin versión corregida.
- Qué hacer
- RHEL 8: kernel 4.18.0-553.182.1.el8_10 (RHSA-2026:93414) y reiniciar; RHEL 9, 10 y OpenShift según el boletín RHSB-2026-016. Instalar también los kernels publicados el 06/11 para Ubuntu, SUSE, Red Hat y Debian. WatchGuard: seguir el boletín WGSA-2026-0033 y aplicar la versión en cuanto salga.
- Fechas
- Aviso: 29/10/2026 (actualizado 03/11/2026 y 04/11/2026) · Solución: 03/11/2026 (Red Hat) · WatchGuard sin solución
Red Hat RHSB-2026-016 · WatchGuard WGSA-2026-0033 · INCIBE-CERT
CRÍTICAEXPLOTADA
[Actualización] Ivanti Connect Secure: ya hay versiones que corrigen la cadena completa
CVE-2026-104935, CVE-2026-111357 y CVE-2026-118527
- Afecta a
- VPN Ivanti Connect Secure 25.1.1 anterior a 25.1.1.3, 22.8 anterior a 22.8R2.6 y 25.1.2.
- Qué ocurre
- Ivanti publica las versiones que corrigen los tres fallos encadenados que dan acceso como root sin credenciales. Las versiones 25.1.1.2 y 22.8R2.5 no corrigen los dos fallos nuevos, y un resultado limpio de la herramienta de integridad no descarta el ataque.
- Qué hacer
- Actualizar a 25.1.1.3 o 22.8R2.6 (mejor migrar a la rama 25.1) y, si está en 25.1.2, a 25.1.3.1 o posterior. Si hay sospechas, conservar las evidencias e investigar el equipo.
- Fechas
- Aviso: 13/10/2026 (actualizado 03/11/2026) · Solución: 03/11/2026
INCIBE-CERT · Ivanti
ALTAEXPLOTADA
[Actualización] Plex «Plex2Shell»: NAS QNAP comprometidos
CVE-2026-96652, 96654, 96655 y 96656
- Afecta a
- NAS QNAP con Plex Media Server anterior a 1.43.3.10861 instalado desde el App Center.
- Qué ocurre
- QNAP ha recibido varios avisos de NAS comprometidos a través de Plex. El sistema operativo de QNAP no está afectado, pero el NAS y todo su contenido deben considerarse comprometidos si Plex era accesible desde Internet.
- Qué hacer
- Actualizar Plex Media Server a 1.43.3.10861 desde el App Center. Actualizar no elimina lo que el atacante haya instalado: revisar el equipo y, si Plex estaba expuesto, restaurarlo y cambiar las credenciales.
- Fechas
- Aviso: 16/10/2026 (actualizado 06/11/2026) · Solución: disponible (1.43.3.10861)
BleepingComputer
MEDIA
[Actualización] Chainalysis: la brecha expuso las credenciales de todos los clientes
- Afecta a
- Todos los usuarios de las plataformas de Chainalysis.
- Qué ocurre
- La empresa confirma que se expusieron nombres, usuarios, hashes de contraseñas y tokens activos de todos los clientes, y ha desconectado temporalmente Reactor, KYT y otros servicios.
- Qué hacer
- Si es cliente, cambiar la contraseña en cuanto sea posible, revocar los tokens o claves de API e incluir en la vigilancia los correos de phishing que suplanten a Chainalysis.
- Fechas
- Aviso: 31/10/2026 (actualizado 06/11/2026) · Solución: No aplica (amenaza; mitigaciones disponibles)
The Hacker News
1. Vulnerabilidades que ya se están atacando
Explotación confirmada o en el catálogo KEV de CISA. Si usa alguno de estos productos, actúe de inmediato.
CRÍTICAEXPLOTADA
OpenSSH «SSHole» — entrada sin contraseña en Alpine Linux
CVE-2026-123158 · 8,1
- Afecta a
- OpenSSH anterior a 10.6p2 en sistemas Linux con musl y sin PAM: Alpine Linux 3.16 a 3.24 y edge (incluidos contenedores), con acceso por contraseña activo (opción por defecto) y al menos una cuenta sin contraseña y otra con contraseña. No afecta a Debian, Ubuntu, Red Hat, a sistemas con PAM ni a Dropbear.
- Qué ocurre
- Enviando una contraseña de entre 257 y 1.024 caracteres, un atacante entra en cuentas sin contraseña, como las que solo usan clave. Funciona al primer intento y ya se ha usado para obtener root en un servidor trampa; hay al menos 20 intentos desde 13 direcciones IP.
- Qué hacer
- Instalar OpenSSH 10.6p2 o el paquete de Alpine corregido (3.24: 10.3_p1-r2; 3.23: 10.2_p1-r1; 3.22: 10.0_p1-r11; 3.21: 9.9_p2-r1; las versiones antiguas, según el aviso) y reiniciar sshd. Mientras tanto, PasswordAuthentication no. Revisar los registros de accesos «Accepted password for».
- Fechas
- Aviso: 05/11/2026 · Solución: 05/11/2026
Alpine Linux · CERT-FR · Explotación
CRÍTICAEXPLOTADA
SonicWall SonicOS — salto de la doble autenticación en la VPN SSL
CVE-2026-19868 · 7,1 y 6 fallos más
- Afecta a
- Cortafuegos SonicWall Gen7 con SonicOS 7.3.3-7015 y anteriores y Gen8 con 8.2.2-8015 y anteriores. El fallo explotado solo afecta a la VPN SSL configurada con autenticación SAML.
- Qué ocurre
- Un usuario con credenciales válidas de otro método de autenticación puede saltarse SAML y su doble factor. CISA la incluyó el 06/11 en su catálogo de explotadas. Se corrigen además dos fallos de 8,8 en la interfaz de gestión y desbordamientos en la VPN SSL y TACACS+.
- Qué hacer
- Actualizar a SonicOS 7.3.4-7013 (Gen7) o 8.2.3-8015 (Gen8). No hay soluciones alternativas. Revisar los accesos VPN recientes.
- Fechas
- Aviso: 06/11/2026 · KEV 06/11/2026 · Solución: disponible (06/11/2026)
SonicWall SNWLID-2026-0014 · CISA
CRÍTICAEXPLOTADA
NAS Synology — ransomware que aprovecha versiones de DSM sin actualizar
CVE-2024-10441 · 9,8 y otros fallos de DSM
- Afecta a
- NAS Synology con DSM sin actualizar: 7.2.2 anterior a 7.2.2-72806-1, 7.2.1 anterior a 7.2.1-69057-6, 7.2 anterior a 7.2-64570-4, 7.1 anterior a 7.1.1-42962-7 y 6.2 anterior a 6.2.4-25556-8.
- Qué ocurre
- Synology alerta de ataques que cifran los datos del NAS y piden rescate. Clientes afectados informan del ransomware C3RB3R, que deja los archivos con la extensión «.L0CK3D».
- Qué hacer
- Actualizar DSM a la última versión de su rama, retirar de Internet la administración del NAS y mantener una copia de seguridad fuera del propio NAS.
- Fechas
- Aviso: 03/11/2026 · Solución: disponible desde diciembre de 2024
The Hacker News
ALTAEXPLOTADA
Siemens SIMATIC IoT2050 — Node-RED sin autenticación
CVE-2026-58115 · 10,0
- Afecta a
- Equipos industriales SIMATIC IoT2050 Advanced con firmware anterior a 4.3.4.1 y Node-RED accesible.
- Qué ocurre
- Los atacantes usan la interfaz de administración de Node-RED, que no pide credenciales, para descargar e instalar un bot de Linux.
- Qué hacer
- Actualizar el firmware a 4.3.4.1, desinstalar o proteger Node-RED con contraseña y no exponer los sistemas industriales a Internet.
- Fechas
- Aviso: 03/11/2026 · Solución: disponible desde agosto de 2026
Siemens SSA-834709 · The Hacker News
MEDIAEXPLOTADA
Apple — fallo antiguo usado para instalar malware que roba información
CVE-2024-27834
- Afecta a
- iPhone, iPad, Mac, Safari, Apple TV y Apple Watch que no se han actualizado desde mayo de 2024 (versiones 17.5 / 14.5 y anteriores).
- Qué ocurre
- CISA lo incluyó el 04/11 en su catálogo de explotadas: se usa para saltarse una protección de memoria e instalar malware que roba datos.
- Qué hacer
- Actualizar los dispositivos Apple a la última versión disponible y retirar los que ya no reciben actualizaciones.
- Fechas
- Aviso: 04/11/2026 · Solución: disponible (actualizaciones de Apple de 2024)
Apple · CISA
2. Vulnerabilidades críticas por fabricante
Sin explotación confirmada por ahora, pero de gravedad crítica o alta en productos muy usados. Recomendamos parchear en los próximos días.
CRÍTICA
WatchGuard AuthPoint Gateway — 3 fallos críticos en la doble autenticación
CVE-2026-121638, CVE-2026-121639 y CVE-2026-121640
- Afecta a
- AuthPoint Authentication Gateway 1.0 hasta antes de 7.6.0, conectado a LDAP, Active Directory, RADIUS o ADFS.
- Qué ocurre
- Un atacante con acceso de red podría interrumpir la autenticación y borrar la sincronización de directorios, interceptar el tráfico con los servidores de autenticación o hacer acciones de administrador reutilizando peticiones capturadas.
- Qué hacer
- Actualizar AuthPoint Gateway a 7.6.0.
- Fechas
- Aviso: 05/11/2026 · Solución: disponible (7.6.0)
WatchGuard · INCIBE-CERT
CRÍTICA
Barracuda Email Security Gateway — root sin iniciar sesión
CVE-2026-116606 · 9,3 y CVE-2026-111560 · 8,6
- Afecta a
- Barracuda Email Security Gateway anterior a 9.4.0.030; el segundo fallo afecta también a otros cinco productos Barracuda, aunque en ellos requiere cuenta de administrador.
- Qué ocurre
- Encadenando un salto de autorización y una inyección de órdenes, un atacante sin cuenta puede ejecutar órdenes como root en el filtro de correo. Ya se han publicado los detalles técnicos del ataque.
- Qué hacer
- Instalar el firmware 9.4.0.030 o posterior (y los parches de los demás productos), reactivar la actualización automática si estaba desactivada y limitar la administración a redes internas.
- Fechas
- Aviso: 03/11/2026 · Solución: 02/11/2026
The Hacker News
CRÍTICASIN PARCHE
SonicWall GMS — sin parche: el producto está fuera de soporte
CVE-2026-109593 · 9,1
- Afecta a
- SonicWall Global Management System (GMS) 9.5.2 y anteriores, en appliance virtual y en Windows.
- Qué ocurre
- Un atacante sin credenciales puede leer archivos internos; otro fallo permite inyección SQL. SonicWall no publicará correcciones.
- Qué hacer
- Migrar a SonicWall Network Security Manager (NSM). Mientras tanto, no dejar GMS accesible desde Internet y limitar su acceso a la red de administración.
- Fechas
- Aviso: 04/11/2026 · Solución: sin parche
SonicWall SNWLID-2026-0019 · INCIBE-CERT
CRÍTICA
Herramientas de administración e infraestructura: NetApp StorageGRID, SolarWinds Dameware y Tenable Identity Exposure
CVE-2026-22058 · CVE-2026-28336 · CVE-2026-119314
- Afecta a
- StorageGRID 11.3 a 11.8, 11.9 anterior a 11.9.0.15, 12.0 anterior a 12.0.0.9 y 12.1 anterior a 12.1.0.1; Dameware 2026.3 y anteriores; Tenable Identity Exposure 3.93.5 y 3.77.17 y anteriores.
- Qué ocurre
- StorageGRID: salto de autenticación desde la red interna del almacenamiento. Dameware: inyección de órdenes que compromete los equipos controlados en remoto (y el fallo de Brotli). Tenable: un usuario con pocos privilegios puede ejecutar órdenes como SYSTEM en el controlador de dominio.
- Qué hacer
- StorageGRID 11.9.0.15, 12.0.0.9 o 12.1.0.1 (las ramas antiguas deben migrar). Dameware 2026.3.1. Tenable Identity Exposure 3.93.6 o 3.77.18.
- Fechas
- Aviso: 03/11/2026 y 04/11/2026 · Solución: disponible
NetApp · Dameware 2026.3.1 · Tenable
ALTA
Switches Zyxel GS1900 — el parche anterior no bastaba
CVE-2026-107441
- Afecta a
- Switches Zyxel GS1900 (10 modelos: GS1900-8, 8HP, 10HP, 16, 24, 24E, 24EP, 24HPv2, 48 y 48HPv2) con firmware 2.90 Patch 2 o anterior.
- Qué ocurre
- La corrección de junio para un fallo ya explotado no frenaba el exploit real: cualquiera con acceso a la web de gestión puede ejecutar órdenes como root sin iniciar sesión.
- Qué hacer
- Instalar el firmware 2.90 Patch 3 de su modelo, por ejemplo 2.90(AAHL.3)C0 en el GS1900-24, y no exponer la gestión del switch.
- Fechas
- Aviso: 05/11/2026 · Solución: 23/10/2026
The Hacker News
ALTASIN PARCHE
Switches D-Link DGS-3130 — fallos sin parche
Sin CVE publicado
- Afecta a
- Switches gestionables D-Link DGS-3130-30TS con varias versiones de firmware; D-Link investiga otros modelos.
- Qué ocurre
- Fallos en el protocolo de descubrimiento DDP permiten obtener datos del equipo, cambiar credenciales o configuración, filtrar comunidades SNMP o reiniciar el switch.
- Qué hacer
- Aplicar las mitigaciones de D-Link: limitar el acceso de gestión y DDP a la red de administración y vigilar la publicación del firmware corregido.
- Fechas
- Aviso: 06/11/2026 · Solución: sin parche
BleepingComputer
3. Sistemas Windows, servidores y aplicaciones
CRÍTICA
Android — boletín de noviembre con 216 vulnerabilidades
CVE-2026-58868 (crítica) y 215 más
- Afecta a
- Android 14, 15, 16 y 17 y móviles con chips MediaTek o Qualcomm sin el parche de seguridad de noviembre.
- Qué ocurre
- El fallo más grave permite ejecutar código en el móvil a distancia sin que el usuario haga nada. También se corrige el «SMS of Death», que deja el móvil sin servicio, y fallos del módem MediaTek explotables desde una antena falsa.
- Qué hacer
- Instalar la actualización del fabricante hasta el nivel de parche 2026-11-05 o posterior y sustituir los móviles de empresa que ya no reciben actualizaciones.
- Fechas
- Aviso: 03/11/2026 · Solución: 03/11/2026
INCIBE-CERT (Android) · INCIBE-CERT (MediaTek)
ALTA
Navegadores: Chrome, Edge y Firefox
Unas 30 CVE de Chromium
- Afecta a
- Chrome anterior a 157.0.8103.38; Microsoft Edge anterior a 156.0.4314.58; Firefox anterior a 159.0.1.
- Qué ocurre
- Nuevas correcciones de seguridad, varias de uso de memoria liberada y corrupción de memoria que pueden aprovecharse al visitar una web.
- Qué hacer
- Reiniciar los navegadores para que se actualicen y comprobar las versiones; en empresas, forzarlo desde la consola de gestión.
- Fechas
- Aviso: 04/11/2026 y 05/11/2026 · Solución: 04-05/11/2026
CERT-FR (Chrome) · CERT-FR (Edge) · CERT-FR (Firefox)
ALTA
Paint de Windows — la corrección solo llega por Microsoft Store
CVE-2026-83844 · 8,1
- Afecta a
- Paint de Windows 11 anterior a la compilación 11.2609.401.0.
- Qué ocurre
- Un fallo de lectura de memoria podría permitir ejecutar código al abrir una imagen manipulada. Windows Update no instala esta corrección: llega solo como actualización de la aplicación en Microsoft Store.
- Qué hacer
- Comprobar que Paint está en 11.2609.401.0 o posterior y que las actualizaciones de Microsoft Store están permitidas; en equipos gestionados, desplegarla con Intune o la herramienta de gestión.
- Fechas
- Aviso: 13/10/2026 · Solución: 06/11/2026
Microsoft · The Hacker News
ALTA
APT (Debian y Ubuntu) — paquetes sustituidos al instalar
CVE-2026-109518 · 7,7
- Afecta a
- Servidores Debian 12 y posteriores y Ubuntu 22.04 y posteriores (y versiones anteriores si se activó Acquire::Retries), además de distribuciones derivadas.
- Qué ocurre
- Quien pueda manipular las descargas (un espejo o proxy malicioso) puede cambiar un paquete ya verificado por otro y ejecutar código como root al instalarlo.
- Qué hacer
- Actualizar APT: Ubuntu 26.10 3.3.3ubuntu0.1, 26.04 3.2.1ubuntu0.1, 24.04 2.8.4ubuntu0.1, 22.04 2.4.15ubuntu0.1; Debian con el paquete corregido (Debian 11: 2.2.5). Usar repositorios HTTPS de confianza.
- Fechas
- Aviso: 04/11/2026 · Solución: 04/11/2026
The Hacker News
CRÍTICA
Software de gestión con avisos de INCIBE: MatchPoint, ALO Suite y SIREC
CVE-2026-111489 · 9,9 · CVE-2026-108047 · 8,6 · CVE-2026-123087 · 8,7
- Afecta a
- MatchPoint de TPC Software (gestión de centros deportivos); ALO Suite de AM System versión 25_09_15.03_35 (gestión empresarial en la nube); SIREC de Atmira (gestión de cobros).
- Qué ocurre
- MatchPoint: una credencial incrustada en la app y un fallo de autorización permitían acceder a datos personales y bancarios de socios y modificar cuentas. ALO Suite: un atacante podía darse permisos de administrador y ver datos de otras empresas. SIREC: inyección SQL.
- Qué hacer
- MatchPoint: el fabricante ya corrigió el servidor; instalar la última versión de la app. ALO Suite: usar la versión 26_04_15.03_10 o posterior. SIREC: corregido el 16/10/2026; confirmar con Atmira que su instalación está actualizada.
- Fechas
- Aviso: 03/11/2026 a 06/11/2026 · Solución: disponible
MatchPoint · ALO Suite · SIREC
4. Webs con WordPress
CRÍTICAEXPLOTADASIN PARCHE
Plugin CryptoPayment Gateway — atacado y sin parche
CVE-2026-81648 · 10,0
- Afecta a
- Webs con el plugin CryptoPayment Gateway 1.2.1 y 1.2.2 (la última versión). El plugin está retirado del directorio de WordPress desde agosto.
- Qué ocurre
- Sin iniciar sesión, un atacante puede borrar archivos del servidor, cambiar la configuración de pagos y obtener en claro las credenciales de las carteras. Ya hay intentos de explotación.
- Qué hacer
- Desinstalar el plugin, cambiar las credenciales de las carteras que tuviera configuradas y revisar los archivos y la configuración de pagos de la web.
- Fechas
- Aviso: 03/11/2026 · Solución: sin parche
The Hacker News
5. Proveedores comprometidos (cadena de suministro)
CRÍTICAEXPLOTADA
cPGuard — actualización maliciosa en servidores cPanel
Versiones 5.88.12 a 5.88.19
- Afecta a
- Servidores de alojamiento con el antimalware cPGuard (OPSSHIELD) que se actualizaron el 02/11/2026; unos 2.950 servidores ejecutaron el código malicioso.
- Qué ocurre
- Un atacante entró en el sistema de actualizaciones con credenciales robadas y distribuyó un script que instalaba una puerta trasera y copiaba los hashes de contraseñas, la configuración de MySQL, el historial de root y los archivos SSH.
- Qué hacer
- Actualizar a cPGuard 5.88.26 o posterior, comprobar que han desaparecido la puerta trasera y la tarea programada, y cambiar todas las contraseñas y claves SSH del servidor.
- Fechas
- Aviso: 03/11/2026 · Solución: No aplica (limpiar y rotar credenciales)
Aviso de OPSSHIELD · The Hacker News
ALTA
Gestor de contraseñas mSecure — actividad sospechosa
- Afecta a
- Clientes actuales y antiguos del gestor de contraseñas mSecure.
- Qué ocurre
- El fabricante avisó el 03/11 de actividad sospechosa y pide cambiar las contraseñas guardadas, restablecer la doble autenticación y eliminar las passkeys, sin aclarar qué ocurrió.
- Qué hacer
- Si usa mSecure, cambiar primero las contraseñas más críticas (correo, banca, administración), restablecer la doble autenticación y valorar el cambio a otro gestor.
- Fechas
- Aviso: 03/11/2026 · Solución: No aplica (amenaza; mitigaciones disponibles)
The Hacker News
ALTA
Ataques a través de proveedores: Crédit Mutuel Arkéa y Chainstack
- Afecta a
- Cualquier empresa que dé acceso a sus sistemas a proveedores o plataformas de terceros.
- Qué ocurre
- El banco francés Crédit Mutuel Arkéa sufrió transferencias fraudulentas por un importe estimado de 118 millones de euros tras un acceso a través de la plataforma de un proveedor. Chainstack fue atacada mediante un componente de terceros y se expusieron datos de clientes y hashes de contraseñas.
- Qué hacer
- Revisar qué proveedores tienen acceso a sistemas críticos, exigir doble autenticación y accesos mínimos, y establecer límites y doble validación para las operaciones de pago.
- Fechas
- Aviso: 03/11/2026 y 04/11/2026 · Solución: No aplica (amenaza; mitigaciones disponibles)
Crédit Mutuel Arkéa · Chainstack
6. Protección de datos (AEPD)
Guías publicadas por la Agencia Española de Protección de Datos esta semana, con lo que implican para su empresa. No se han publicado resoluciones nuevas en el periodo.
MEDIA
AEPD — guía sobre entornos de tratamiento seguro para datos sensibles
Guía publicada el 05/11/2026 con la autoridad griega de protección de datos
- Afecta a
- Clínicas, centros de investigación, aseguradoras y empresas que comparten o reutilizan datos sensibles, sobre todo de salud, o que prestan servicios de análisis de datos a terceros.
- Qué ocurre
- La guía explica cómo diseñar entornos en los que los datos se analizan sin entregarlos ni descargarlos, obligatorios para reutilizar datos de salud con el Espacio Europeo de Datos de Salud. Incluye un método de análisis de riesgos con catálogo de medidas y un caso práctico.
- Qué hacer
- Si su empresa comparte datos de salud u otros datos sensibles para investigación o análisis, valorar un entorno de tratamiento seguro en lugar de enviar copias, aplicar el análisis de riesgos de la guía y mantener el control efectivo aunque el entorno lo gestione un tercero.
- Fechas
- Aviso: 05/11/2026 · Solución: No aplica (recomendación)
Nota de prensa AEPD
7. Otros avisos
Componentes y productos más específicos. Revíselos solo si los usa.
| Producto / servicio | Fallo | Situación |
|---|
Coupa Total Spend Management (portal de proveedores)
CVE-2026-111036 · 8,4 y 3 más | SSRF al convertir plantillas, XSS e inyección de fórmulas en CSV | Sin solución. Limitar quién edita plantillas (04/11) |
|---|
HPE Networking Fabric Composer y Aruba VIA
46 CVE, 3 críticas | Contraseñas incorporadas y ejecución de código sin autenticación | Corregido: Fabric Composer 7.4.1 y 7.3.5; VIA 4.7.9 (04/11) |
|---|
Citrix XenServer 8.4 y 9 (Workload Balancing y Conversion Manager)
CTX697256 | Ejecución de código y elevación de privilegios | Corregido: WLB 2026.1.1 y Conversion Manager 2026.2.0 (04/11) |
|---|
Xen (hipervisor) y XCP-ng
CVE-2026-102703 y CVE-2026-102704 (XSA-523) | Una máquina virtual puede leer y escribir la memoria de otras | Corregido: parches de Xen 4.6 y posteriores; sin mitigación (03/11) |
|---|
Ruby on Rails (Active Storage con ImageMagick)
GHSA-f3w6-w445-fwh9 · 9,8 | Escritura y lectura de archivos del servidor al subir una imagen | Corregido: 8.1.4.1 y 8.0.5.2 (04/11) |
|---|
Laravel (framework PHP)
GHSA-63hm-g96r-2m2q | Ejecución remota de código | Corregido: 13.40.0 (04/11) |
|---|
GLPI (gestión de incidencias e inventario)
3 avisos | Elevación de privilegios, XSS y salto de seguridad | Corregido: 11.0.10 y 10.0.28 (03/11) |
|---|
PostgreSQL ODBC (psqlODBC)
CVE-2026-120057 y siguientes | Inyección SQL y salto de seguridad | Corregido: 18.00.0006 (03/11) |
|---|
Apache OpenOffice
CVE-2026-59263 y más | Ejecución de código al abrir documentos | Corregido: 4.1.17 (05/11) |
|---|
Splunk, AppDynamics y OpenTelemetry Collector
SVD-2026-1014 y SVD-2026-1015 | Ejecución de código y fuga de datos en componentes de terceros | Corregido: Splunk Enterprise 10.2 y OTel Collector 0.163.1; desinstalar Visual Exporter (06/11) |
|---|
IBM AIX, Db2 y QRadar
Varios boletines | Ejecución de código, elevación de privilegios y caídas | Corregido: parches de cada boletín de IBM (06/11) |
|---|
Elastic (Elasticsearch, Elastic Agent, APM Server)
Varias CVE | Ejecución de código, caídas y fuga de datos | Corregido: 8.19.24, 9.4.9 y 9.5.6 (04/11) |
|---|
MongoDB (Database Tools y controladores)
Varias CVE | Ejecución de código y fuga de datos | Corregido: Database Tools 100.20.1, controlador Node.js 7.8.0 y otros (04-05/11) |
|---|
Mattermost Server y Desktop
Varias CVE | Fallos de seguridad sin detallar | Corregido: Server 11.7.15, 11.10.5, 11.11.4 y 12.0.2; Desktop 6.3.1 y 6.2.5 (04 y 06/11) |
|---|
Componentes Symfony y Apache ZooKeeper
Varias CVE | Caídas, fuga de datos y salto de seguridad | Corregido: Symfony 5.4.56, 6.4.50, 7.4.23 y 8.1.11; ZooKeeper 3.8.8 y 3.9.7 (04/11) |
|---|
Foxit Workspace
CVE-2026-119431 a 119433 | SSRF y XSS | Corregido por Foxit; no requiere acción (06/11) |
|---|
Wazuh, MariaDB, Sonatype Nexus, SEPPmail, Apache ActiveMQ y HCL BigFix
WID-SEC-2026-4377, 4367, 4362, 4349, 4348 y 4366 | Vulnerabilidades de riesgo alto (ejecución de código en SEPPmail y Wazuh) | Según cada fabricante (05-06/11) |
|---|
JetBrains IntelliJ IDEA y YouTrack, FRRouting y extensiones de Drupal
WID-SEC-2026-4379, 4378, 4356 y 4352 | Vulnerabilidades de riesgo alto | Según cada fabricante (05-06/11) |
|---|
Gogs (servidor Git)
WID-SEC-2026-4360 | Salto de seguridad y caída por usuario autenticado | Sin solución. Limitar el acceso (05/11) |
|---|
Samsung Exynos
WID-SEC-2026-4363 | Caídas, fuga y manipulación de datos | Corregido: actualizaciones del fabricante del móvil (05/11) |
|---|
Kernel de Linux de Ubuntu, SUSE, Red Hat y Debian
Varias CVE | Ejecución de código, elevación de privilegios y caídas | Corregido: instalar el kernel y reiniciar (06/11) |
|---|
BTCPay Server
Sin CVE en las fuentes | Robo de bitcoin y litecoin de carteras activas; explotado | Corregido: instalar la última versión (03/11) |
|---|
WAGO, Festo, Siemens Desigo CC, ABB Advanced Batch Management, Welotec y Subnet PowerSYSTEM Center
Avisos SCI de INCIBE y CISA | Vulnerabilidades en sistemas industriales | Corregido: según cada aviso (03-06/11) |
|---|
Amenazas destacadas
Ataques a sistemas de refrigeración: CISA, el FBI y otras agencias alertan de ataques a controladores de frío accesibles desde Internet que fuerzan ciclos de calor y descongelación; ya han afectado a cientos de supermercados europeos. Supermercados, hostelería, farmacias y logística deben retirar estos equipos de Internet, cambiar las contraseñas por defecto y actualizarlos (05/11).
Falsas invitaciones a eventos de OpenAI, SpaceX y Anthropic: páginas de registro falsas roban cuentas de Microsoft 365 con el truco del código de dispositivo y cuentas de Google con un proxy que captura la sesión, aunque haya doble autenticación. Bloquee el inicio de sesión por código de dispositivo si no lo usa y avise a los usuarios (05/11).
Herramientas de seguridad falsas en GitHub: repositorios que imitan utilidades de escaneo y análisis de registros instalan una puerta trasera y un ladrón de credenciales; ya hay más de 2.000 equipos Windows infectados. Revise el código antes de ejecutarlo y pruebe estas herramientas en entornos aislados (06/11).
Secretos expuestos por Claude Code: al aprobar una orden con «no volver a preguntar», el asistente puede guardarla con contraseñas o claves en .claude/settings.local.json, y ya hay 1.122 copias públicas en GitHub con secretos. Si sus desarrolladores lo usan, excluyan ese archivo de los repositorios y cambien cualquier clave que haya contenido (07/11).
Puerta trasera en Control Web Panel: una versión manipulada del servidor web de CWP ejecuta órdenes sin dejar rastro en los registros. Si gestiona servidores con CWP, compruebe la integridad de cwpsrv y busque cabeceras X-Ngx-Integrity (06/11).
Botnet en receptores Android TV: Google y sus socios desmantelaron X.CPE, una red de más de 1,3 millones de receptores con malware de fábrica que alquilaban su conexión a delincuentes. No conecte receptores o dispositivos baratos sin marca a la red de la oficina (03/11).
Nuestras recomendaciones
- Comprobar hoy si hay servidores o contenedores Alpine Linux con SSH accesible y actualizar OpenSSH o desactivar el acceso por contraseña.
- Actualizar los cortafuegos y VPN: SonicWall SonicOS, Ivanti Connect Secure y WatchGuard (AuthPoint y, cuando salga, Fireware), y retirar de Internet sus interfaces de administración.
- Actualizar los NAS Synology y QNAP (DSM y Plex) y mantener una copia de seguridad fuera del propio NAS.
- Confirmar que todas las webs están en WordPress 7.1.4 y desinstalar el plugin CryptoPayment Gateway si se usa.
- Instalar las actualizaciones de Android de noviembre, los navegadores y Paint (Microsoft Store), y los kernels y APT corregidos en los servidores Linux.
- Si usa cPGuard o mSecure, seguir las instrucciones del fabricante y cambiar contraseñas y claves.
Si necesita ayuda para revisar su exposición a alguna de estas incidencias, contacte con su responsable en Solutions ITS. Estaremos encantados de ayudarle.
Un saludo,
Equipo de Ciberseguridad · Solutions ITS
Fuentes: AEPD, INCIBE-CERT (avisos y avisos SCI), INCIBE (empresas), CISA (avisos y catálogo KEV), CERT-FR (ANSSI, Francia), BSI CERT-Bund (Alemania), Microsoft MSRC, avisos de los fabricantes (OpenSSH, Alpine, SonicWall, Synology, QNAP, WatchGuard, Barracuda, NetApp, SolarWinds, Tenable, Zyxel, D-Link, Fortinet, Citrix, Cisco, Red Hat, Ivanti, Siemens, Apple), SANS ISC, Wordfence, Recorded Future, KrebsOnSecurity, BleepingComputer y The Hacker News. Boletín elaborado a partir de información pública; no sustituye a una auditoría de seguridad específica. TLP:CLEAR.
Protección de datos y baja del boletín. Recibe este boletín por su relación como cliente de Solutions ITS, responsable del tratamiento de sus datos de contacto, con la finalidad de informarle sobre amenazas y vulnerabilidades que pueden afectar a sus sistemas, sobre la base de la relación contractual y del interés legítimo, conforme al Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 34/2002 (LSSI-CE). Sus datos no se ceden a terceros salvo obligación legal.
Si no desea seguir recibiendo este boletín, envíe un correo a [email protected] con el asunto «BAJA». En esa misma dirección puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Si considera que no se han atendido correctamente, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
Ver todos los boletines
