Fue una semana cargada. Unos atacantes voltearon los firewalls contra sus propios dueños, una falla en tres partes entregó equipos VPN sin contraseña, WordPress publicó una corrección urgente y hackers de Corea del Norte cometieron el mayor robo de criptomonedas registrado. Aquí está todo en un solo lugar, con qué hacer. Las historias más grandes tienen su propio artículo, enlazado abajo.
Actúa esta semana
Firewalls de Palo Alto Networks tomados con php2shell. Unos atacantes combinaron las fallas de PHP sobre las que escribimos la semana pasada con una falla de Linux para tomar el control total de firewalls cuya página de administración era accesible desde internet. Qué hacer: instala las actualizaciones de octubre de Palo Alto y saca la página de administración de internet. Artículo completo.
VPN Ivanti Connect Secure: tres fallas encadenadas en una toma total. No se necesita contraseña. En el ataque que investigó Volexity, el intruso robó las credenciales guardadas en el equipo y luego buscó en el Active Directory de la empresa información de recuperación de BitLocker. CISA catalogó las dos últimas fallas como explotadas activamente el 30 de octubre. Qué hacer: actualiza y luego cambia las contraseñas de todos los que usan la VPN. Artículo completo.
WordPress 7.1.4, Drupal Commerce y Magento. Una falla de WordPress puede aprovecharse durante una actualización automática del núcleo, una falla de acceso en Drupal Commerce se está explotando, una falla de Magento corregida en julio entró a la lista de explotadas de CISA, y la tienda Revolve informó que se llevaron los datos de tarjeta guardados de sus clientes. Qué hacer: actualiza tu sitio web y tu tienda en línea esta semana. Artículo completo.
Firewalls Cisco ASA y Firepower pueden quedar fuera de línea a distancia. Cisco publicó el 28 de octubre un aviso sobre una falla en el servicio de VPN de acceso remoto que permite a cualquiera en internet hacer que el firewall se reinicie, y dijo que la había visto explotada en octubre. CISA la agregó a su lista de explotadas al día siguiente. Solo están afectados los equipos con la VPN SSL activada y autenticación secundaria configurada. Qué hacer: actualiza a la versión corregida para tu línea que indica el aviso de Cisco.
GitLab autoadministrado: una falla calificada con 10 de 10. Una configuración de CI/CD manipulada puede ejecutar código en un servidor GitLab autoadministrado sin iniciar sesión. GitLab la corrigió el 12 de octubre, unos atacantes la intentaron contra el servidor del proyecto Alpine Linux el 20 y 21 de octubre, y CISA la catalogó como explotada el 29 de octubre. Los usuarios de GitLab.com ya están protegidos. Qué hacer: actualiza GitLab autoadministrado a la 19.4.2, 19.3.5 o 19.2.8, o posterior.
Vale la pena saberlo
ConnectWise Cloud Backup está volviendo después de su compromiso. El servicio de respaldo de Microsoft 365, antes SkyKick, está migrando a sus clientes a una app reconstruida. La causa todavía no se conoce. Qué hacer: si tú o tu proveedor de TI lo usan, asegúrate de que cada tenant de Microsoft 365 esté reconectado a la app nueva y de que los respaldos de verdad se estén completando. Artículo completo.
TeamViewer: la computadora a la que te conectas puede tomar la tuya. Una falla permite que una computadora maliciosa o infectada ejecute código en la máquina del técnico durante una sesión remota. No se han reportado ataques. Qué hacer: actualiza TeamViewer, incluidos los complementos de Remote Management. Artículo completo.
Microsoft corrigió las fallas de Always On VPN causadas por las actualizaciones de septiembre. Desde septiembre, a algunos usuarios de Windows 11 la conexión VPN se les quedaba en "Conectando" cuando el perfil estaba configurado para elegir el protocolo automáticamente. Microsoft confirmó el 28 de octubre que la corrección está en KB5127936, la actualización opcional de vista previa de octubre, después de haber dicho por error que la actualización regular de octubre lo resolvía. Qué hacer: instala KB5127936 o espera el Patch Tuesday de noviembre; mientras tanto, configurar el perfil VPN con un solo protocolo lo evita.
Una falla de descompresión Brotli entró a la lista de explotadas de CISA. El 27 de octubre, CISA agregó CVE-2026-111497, una falla de corrupción de memoria en la biblioteca de compresión Brotli de Google, a su lista de vulnerabilidades explotadas activamente. Brotli viene integrada en mucho software: Node.js la corrigió en sus versiones de seguridad del 21 de octubre, y PHP reconstruyó sus paquetes para Windows el 26 de octubre para incluir la corrección. Qué hacer: si usas aplicaciones en Node.js, pídele a tu desarrollador que actualice a las versiones de seguridad de octubre de 2026 o posteriores; si usas PHP en Windows, instala los paquetes reconstruidos que terminan en -1.
Filtraciones
6,300 millones de dólares robados a Binance. El FBI atribuye el robo del 29 de octubre al grupo norcoreano TraderTraitor. Binance dice que pudo haber empezado con la laptop comprometida de un ingeniero, y desde entonces encontró otros puntos de entrada. Artículo completo.
El sitio de ayuda financiera estudiantil de Florida: 4.9 millones de personas. El Departamento de Educación de Florida supo el 19 de octubre que un tercero no autorizado había accedido a su sitio de ayuda financiera para estudiantes, y lo anunció el 29 de octubre. Quedaron expuestos los nombres, direcciones, teléfonos, correos, fechas de nacimiento y números de Seguro Social de unos 4.9 millones de solicitantes. El sitio se puso fuera de línea, y no se ha dicho cómo entró el atacante. Qué hacer: si tú o tus empleados solicitaron ayuda estudiantil en Florida, vigilen sus reportes de crédito y consideren congelar su crédito. Artículo completo.
Chainalysis vulnerada por atacantes que usaron agentes de IA. La firma de análisis de blockchain informó el 30 de octubre que un actor externo usó lo que llamó "técnicas agénticas ofensivas" para entrar a sus sistemas internos a principios de octubre. Quedaron expuestos nombres, correos y etiquetas de rol de usuarios de su plataforma; Chainalysis dice que no encontró evidencia de acceso a datos de investigaciones ni a credenciales, y que la brecha no tiene relación con Binance. Qué hacer: si usas Chainalysis, espera phishing que use su nombre, sobre todo ofertas de "recuperación de fondos".
Fuentes
- Cisco Secure Firewall ASA and FTD Remote Access SSL VPN denial of service vulnerability — Cisco
- GitLab patch release 19.4.2 — GitLab
- CISA adds actively exploited GitLab RCE — The Hacker News
- Microsoft finally fixes VPN issues caused by September updates — BleepingComputer
- October 2026 security releases — Node.js
- CISA adds two known exploited vulnerabilities to catalog — CISA
- Florida warns 5 million affected by financial aid site breach — The Record
- Chainalysis discloses data breach from offensive agentic techniques — BleepingComputer
