Black October: muchos ataques llevaban meses en marcha
Una publicación muy compartida en X bautizó esta semana como «Black October» y las 48 horas más graves de la ciberseguridad. Lo que se acumuló fueron, sobre todo, los anuncios: muchos ataques habían comenzado semanas o meses antes. Numerosos casos comparten un patrón de credenciales robadas, canales de distribución manipulados y plataformas con muchos clientes.
Lo esencial en breve
- La acumulación afecta sobre todo a los avisos. En Paradigm Healthcare Services, el posible acceso se produjo en octubre de 2025; en AOMEI Backupper, en mayo y julio de 2026.
- Las credenciales y claves robadas abren el acceso a plataformas con muchos clientes. En Zeabur se filtraron datos de 321.810 cuentas; en UpdraftPlus, unas 400.000 webs se consideraban vulnerables.
- La IA ayudó a buscar vulnerabilidades en algunos casos. Según Wiz Research, las vulnerabilidades PHP2Shell se descubrieron con modelos de IA de frontera; el NCSC británico (Centro Nacional de Ciberseguridad) aconseja desde mayo prepararse para una oleada de parches.
Relacionado: Cuando las herramientas de seguridad crecen más rápido que la estrategia · OpenSSL: qué deben demostrar ahora los fabricantes
Un término nacido en una publicación de X
El 22 de octubre a las 03:42 UTC, la cuenta AISafetyMemes publicó en X un mensaje que se compartió ampliamente. Describía las 48 horas anteriores como las más graves de la historia de la ciberseguridad y las bautizaba como «Black October». La lista numerada abarcaba desde PHP2Shell hasta la autoridad de certificación eMudhra, los datos de estudiantes de California y las plataformas Railway y Zeabur, además de LiteLLM, GitLab, Cairn, Ahold Delhaize y Onamae.
Entre el 19 y el 22 de octubre, autoridades, fabricantes e investigadores anunciaron, en efecto, una larga serie de incidentes graves. Sin embargo, muchos de los ataques se remontan a semanas o meses atrás.
¿Qué es un ataque a la cadena de suministro? En un ataque a la cadena de suministro, los atacantes manipulan el software, los servicios o los canales de distribución de un proveedor para acceder a los sistemas de sus clientes mediante entregas habituales, como las actualizaciones. El código malicioso procede así de una fuente en la que los clientes confían. En AOMEI Backupper bastó con modificar dos archivos de configuración en los servidores del fabricante.
Ataques anteriores a la semana de los avisos
Un ataque contra Educational Testing Service (ETS), proveedor de servicios de evaluación del Departamento de Educación de California (CDE), expuso datos de todos los niños que asistieron a escuelas públicas durante los últimos tres años, incluida su situación de discapacidad y las adaptaciones de sus pruebas. Los atacantes copiaron los datos entre el 22 de mayo y el 18 de septiembre a través de un sitio SFTP, un servidor de transferencia segura de archivos. Accedieron mediante unas credenciales comprometidas. ETS detectó la intrusión el 25 de septiembre y las familias reciben notificaciones desde el 16 de octubre. Según Los Angeles Times, el número de afectados supera ampliamente los 5,7 millones de alumnos actuales, porque los registros se remontan a las matrículas de 2023.
| Hecho | Fuente |
|---|---|
| Según ETS, los atacantes copiaron los datos entre el 22 de mayo y el 18 de septiembre de 2026 a través de un sitio SFTP. ETS detectó la intrusión el 25 de septiembre; el estado notifica a las familias desde el 16 de octubre y continuará hasta noviembre. | Fuente |
| Paradigm detectó el acceso no autorizado el 13 de octubre de 2025; los archivos con nombres, fechas de nacimiento, sexo y números de afiliación a Medi-Cal podrían haberse consultado entre el 8 y el 15 de octubre de 2025. Las cartas de notificación están fechadas el 14 de septiembre de 2026. | Fuente |
| Palo Alto Networks publicó y corrigió CVE-2026-0257 el 13 de mayo, inicialmente clasificada como de gravedad media; Rapid7 informó de ataques desde el 17 de mayo. | Fuente |
| Se han confirmado tres intervalos: el 28 de mayo de 2026 (10 minutos), el 16 de julio de 2026 (6 minutos) y el 20 de julio de 2026 (5 minutos). Resultaron afectadas organizaciones de servicios informáticos, telecomunicaciones y educación superior de 11 países. | Fuente |
| PingCAP, proveedor de la base de datos TiDB, informó de que un intruso accedió a sistemas internos entre el 09 de septiembre y el 07 de octubre de 2026 con credenciales robadas de una cuenta de servicio, copió datos y sustrajo código fuente. No hay indicios de que los datos almacenados en TiDB se vieran afectados. | Fuente |
| Kaspersky GReAT presentó la campaña de ciberespionaje Operation FlashHole, atribuida al grupo Lazarus, activa desde al menos julio de 2025 y que afectó como mínimo a tres organizaciones surcoreanas de construcción, software y fabricación de equipos de comunicaciones por cable. | Fuente |
| Un investigador de seguridad documentó que, desde el 02 de octubre de 2026, los atacantes redirigieron conexiones SSH mediante 333 nodos de salida de Tor comprometidos hacia doce servidores de interceptación para capturar contraseñas; equivalen aproximadamente al diez por ciento de los nodos de salida. Los nodos quedaron bloqueados y desconectados a más tardar el 05 de octubre de 2026. | Fuente |
Paradigm Healthcare Services, que gestiona la facturación del programa Medicaid de California, Medi-Cal, detectó el acceso no autorizado el 13 de octubre de 2025 y acaba de comunicar al Departamento de Salud y Servicios Humanos de EE. UU. (HHS) que hay más de 970.000 afectados.
La vulnerabilidad CVE-2026-0257 en PAN-OS de Palo Alto Networks está corregida desde el 13 de mayo; Rapid7 informó de ataques desde el 17 de mayo. Desde principios de junio, Unit 42 investiga casos en sectores como educación, finanzas y sanidad. En ellos ha observado intentos de explotación de los grupos de Ransomware Qilin e Inc, que cifran datos y exigen rescates.
Credenciales y claves robadas
En PingCAP, proveedor de la base de datos TiDB, un intruso accedió a sistemas internos entre el 9 de septiembre y el 7 de octubre. Utilizó credenciales robadas de una cuenta de servicio, es decir, una cuenta técnica. Así sustrajo código fuente. Zeabur cesa sus operaciones tras el segundo incidente en dos meses. Un atacante utilizó credenciales internas almacenadas en texto plano y sustrajo datos de 321.810 cuentas. También obtuvo unos 3,2 millones de registros de variables de entorno, donde las aplicaciones guardan valores de configuración y claves. Los tokens de administrador nunca caducaban y no se habían rotado desde enero de 2024.
Informe sobre el segundo incidente de seguridad de la plataforma para desarrolladores Zeabur en dos meses: un atacante utilizó credenciales internas almacenadas en texto plano, consultó la base de datos de la plataforma y sustrajo datos de 321.810 cuentas y unos 3,2 millones de registros de variables de entorno. Los tokens de administrador nunca caducaban y no se habían rotado desde enero de 2024. Zeabur cesa sus operaciones. Fuente
GMO confirmó el 20 de octubre de 2026 un acceso no autorizado a Onamae.com Desktop Cloud y la instalación de programas no autorizados en algunos entornos de servidores de clientes. El número de servidores posiblemente afectados asciende a 26.739; los servicios de todos los planes se desconectan progresivamente desde el 21 de octubre de 2026 a las 4:00, hora local. Fuente
Railway informó el 21 de octubre de que un intruso podría haber accedido a variables de entorno cifradas y descifrado parte de ellas. La plataforma suspendió todos los despliegues y recomendó rotar todas las variables, claves de API y credenciales de registros.
Cairn es una plataforma de IA de código abierto que coordina agentes de IA hacia un objetivo y puede funcionar como motor autónomo de pruebas de penetración. NorForge encontró más de 20 paneles de control expuestos en internet con los que los atacantes probablemente automatizaban sus ataques mediante Cairn. De los cientos de secretos presentes en los datos de los paneles, el 11 por ciento eran válidos. Según Reuters, el mayor grupo, de habla china, se infiltró en más de 100 empresas, entre ellas John Deere y SharkNinja.
El 20 de octubre, el FBI (Buró Federal de Investigaciones), la CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras), el Servicio Secreto de EE. UU., la Oficina de Investigación Criminal de Renania-Palatinado e investigadores británicos alertaron conjuntamente sobre el grupo de Ransomware SafePay, con al menos 600 víctimas. Sus vías de entrada son contraseñas robadas o adivinadas, vulnerabilidades en productos de seguridad y phishing.
Canales de distribución y plataformas de gran alcance
En AOMEI Backupper, los atacantes modificaron dos archivos de configuración en los servidores del fabricante. El software descargó entonces el instalador malicioso CROSSROAD, que instaló Radmin y la puerta trasera SHINYROAD. Google Threat Intelligence Group y Mandiant atribuyen los breves intervalos de manipulación al grupo UNC7017. Hay tres confirmados: 10 minutos el 28 de mayo, 6 minutos el 16 de julio y 5 minutos el 20 de julio.
En OVHcloud, un atacante tomó el control de la cuenta de GitHub de un desarrollador y modificó las versiones 0.11.0 a 0.15.0 de la interfaz de línea de comandos (CLI). La versión manipulada estuvo disponible el 19 de octubre de 14:47 a 16:21.
A través de teamupdraft.com, un atacante aprovechó la conexión con las webs de clientes durante el fin de semana del 17/18 de octubre, creó cuentas de administrador e instaló plugins maliciosos. Patchstack contabilizó 99 nombres distintos para estas puertas traseras. Se estima que eran vulnerables unas 400.000 webs con claves de UpdraftCentral o Migrator. La actualización 1.26.13 o 2.26.13 del 19 de octubre revoca las claves de UpdraftCentral. En la biblioteca de pasarela de IA LiteLLM, todos los paquetes Wheel de PyPI de la versión 1.107.0 contenían un ladrón de credenciales y un descargador de código externo.
En GMO Internet, 26.739 servidores de Onamae.com Desktop Cloud podrían estar afectados; los servicios de todos los planes se desconectan progresivamente desde el 21 de octubre. Bullhorn, que afirma dar servicio a más de 10.000 clientes, desconectó su plataforma de selección de personal. Tras el incidente comunicado el 12 de octubre, Ahold Delhaize desconectó las webs y aplicaciones de la mayoría de sus marcas en Europa y EE. UU.; las tiendas permanecieron abiertas.
La IA en la búsqueda y explotación de vulnerabilidades
Las alertas de la semana no atribuyen esta acumulación a la IA; lo documentado son conclusiones más generales y casos concretos, como el uso malicioso de la herramienta de IA Cairn. El NCSC británico aconseja desde el 1 de mayo que todas las organizaciones se preparen para una oleada de parches. Explica que, en manos expertas, la IA puede explotar rápidamente y a gran escala la deuda técnica acumulada.
En su alerta sobre PHP2Shell del 21 de octubre, el NCSC remite expresamente a esa advertencia y aconseja desconectar los sistemas sin parchear si es necesario. Las dos vulnerabilidades pueden permitir ejecutar código sin autenticación en todas las instalaciones de PHP que atienden peticiones web. Las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 las corrigen. El artículo Vulnerabilidades en PHP: las autoridades de seguridad aconsejan desconectar sistemas explica cómo reaccionaron las autoridades de Alemania, Austria y Países Bajos.
Según Wiz Research, las vulnerabilidades se encontraron con modelos de IA de frontera; los fallos llevaban más de una década en el código. Según Rapid7, el 8 por ciento de los informes de amenazas analizados mencionaban la IA como componente operativo de los ataques.
A partir del próximo lunes, 26 de octubre, el proyecto curl hará públicos los avisos de vulnerabilidades de gravedad baja y media. El proyecto lo atribuye a una avalancha de avisos que desborda al equipo. PostgreSQL 19 se ha retrasado y está previsto para el 19 de noviembre. Según Peter Eisentraut, desarrollador con permisos de incorporación de cambios, las revisiones de código asistidas por LLM encontraron numerosos fallos mucho más rápido y se pospusieron entre ocho y diez funciones importantes.
Tres comprobaciones tras la semana de los avisos
– Fijar caducidad y rotar los secretos: En Zeabur, los tokens de administrador nunca caducaban; tras el incidente, Railway recomendó rotar todas las variables, claves de API y credenciales de registros. – Bloquear la modificación de los canales de actualización y publicación: En OVHcloud se pudieron sustituir versiones de la CLI porque la inmutabilidad de las versiones publicadas en GitHub estaba desactivada. – Comparar el plazo de parcheo con el de explotación: En el tercer trimestre, Rapid7 registró una media de tres días entre la publicación y la explotación de vulnerabilidades graves; aun así, la vulnerabilidad de PAN-OS corregida desde el 13 de mayo sigue siendo objeto de ataques.
Preguntas frecuentes
Cada pregunta está cerrada. Toca para abrir la respuesta.
¿Ya se está explotando la vulnerabilidad de Signal en RingRTC?
El catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA no incluye CVE-2026-113380. Si un participante sobrecarga la cola de eventos, esta vulnerabilidad, con una puntuación CVSS de 9,3, puede impedir que se cuelgue la llamada, de modo que el audio y posiblemente el vídeo siguen activos. Está corregida desde septiembre en RingRTC 2.72.0.
¿Qué gravedad tienen las nuevas vulnerabilidades de NGINX?
F5 asigna a tres errores de memoria una puntuación de 9,2 y los considera críticos. El proyecto NGINX clasifica esas mismas vulnerabilidades con gravedad «media». Todas requieren una directiva configurada expresamente; las versiones 1.30.6 y 1.31.7, publicadas el 14 de octubre, las corrigen.
¿Qué vulnerabilidad de Siemens se está explotando activamente?
Siemens confirma ataques contra CVE-2026-110936 en Siemens Software Center; la CISA incorporó la vulnerabilidad el martes a su catálogo de vulnerabilidades explotadas activamente. Para explotar este fallo, con una puntuación CVSS v4 de 8,4, los atacantes combinaron una copia del programa con firma válida y archivos DLL propios, que la versión 3.5.8.7 cargaba sin verificarlos. Está corregido en la versión 4.0.9.8; Siemens atribuye los ataques a la campaña ClickFix Romulus.
Fuente de la imagen: generada por IA (octubre de 2026)
Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.
