{"id":25162,"date":"2026-10-22T09:42:50","date_gmt":"2026-10-22T09:42:50","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=25162"},"modified":"2026-10-22T13:19:40","modified_gmt":"2026-10-22T13:19:40","slug":"black-october-ataques-que-llevaban-meses-en-marcha","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2026\/10\/22\/black-october-ataques-que-llevaban-meses-en-marcha\/","title":{"rendered":"Black October: muchos ataques llevaban meses en marcha"},"content":{"rendered":"<p><strong>Una publicaci\u00f3n muy compartida en X bautiz\u00f3 esta semana como \u00abBlack October\u00bb y las 48 horas m\u00e1s graves de la ciberseguridad. Lo que se acumul\u00f3 fueron, sobre todo, los anuncios: muchos ataques hab\u00edan comenzado semanas o meses antes. Numerosos casos comparten un patr\u00f3n de credenciales robadas, canales de distribuci\u00f3n manipulados y plataformas con muchos clientes.<\/strong><\/p>\n<div style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"color:#69d8ed;text-transform:uppercase;letter-spacing:0.08em;font-size:0.82em;font-weight:700;margin:0 0 16px;\">Lo esencial en breve<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">La acumulaci\u00f3n afecta sobre todo a los avisos.<\/strong> En Paradigm Healthcare Services, el posible acceso se produjo en octubre de 2025; en AOMEI Backupper, en mayo y julio de 2026.<\/li>\n<li style=\"margin-bottom:10px;\"><strong style=\"color:#69d8ed;\">Las credenciales y claves robadas abren el acceso a plataformas con muchos clientes.<\/strong> En Zeabur se filtraron datos de 321.810 cuentas; en UpdraftPlus, unas 400.000 webs se consideraban vulnerables.<\/li>\n<li style=\"margin-bottom:0;\"><strong style=\"color:#69d8ed;\">La IA ayud\u00f3 a buscar vulnerabilidades en algunos casos.<\/strong> Seg\u00fan Wiz Research, las vulnerabilidades PHP2Shell se descubrieron con modelos de IA de frontera; el NCSC brit\u00e1nico (Centro Nacional de Ciberseguridad) aconseja desde mayo prepararse para una oleada de parches.<\/li>\n<\/ul>\n<\/div>\n<p style=\"border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">Relacionado:<\/strong> <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/10\/19\/cuando-stack-seguridad-crece-mas-que-estrategia\/\">Cuando las herramientas de seguridad crecen m\u00e1s r\u00e1pido que la estrategia<\/a> &nbsp;\u00b7&nbsp; <a href=\"https:\/\/www.securitytoday.de\/2026\/10\/15\/openssl-cra-post-quantum-verantwortung\/\">OpenSSL: qu\u00e9 deben demostrar ahora los fabricantes<\/a><\/p>\n<h2>Un t\u00e9rmino nacido en una publicaci\u00f3n de X<\/h2>\n<p>El 22 de octubre a las 03:42 UTC, la cuenta AISafetyMemes public\u00f3 en X un mensaje que se comparti\u00f3 ampliamente. Describ\u00eda las 48 horas anteriores como <a href=\"https:\/\/x.com\/AISafetyMemes\/status\/2113113711644737835\">las m\u00e1s graves de la historia de la ciberseguridad<\/a> y las bautizaba como \u00abBlack October\u00bb. La lista numerada abarcaba desde PHP2Shell hasta la autoridad de certificaci\u00f3n eMudhra, los datos de estudiantes de California y las plataformas Railway y Zeabur, adem\u00e1s de LiteLLM, GitLab, Cairn, Ahold Delhaize y Onamae.<\/p>\n<p>Entre el 19 y el 22 de octubre, autoridades, fabricantes e investigadores anunciaron, en efecto, una larga serie de incidentes graves. Sin embargo, muchos de los ataques se remontan a semanas o meses atr\u00e1s.<\/p>\n<p><strong>\u00bfQu\u00e9 es un ataque a la cadena de suministro?<\/strong> En un ataque a la cadena de suministro, los atacantes manipulan el software, los servicios o los canales de distribuci\u00f3n de un proveedor para acceder a los sistemas de sus clientes mediante entregas habituales, como las actualizaciones. El c\u00f3digo malicioso procede as\u00ed de una fuente en la que los clientes conf\u00edan. En AOMEI Backupper bast\u00f3 con modificar dos archivos de configuraci\u00f3n en los servidores del fabricante.<\/p>\n<h2>Ataques anteriores a la semana de los avisos<\/h2>\n<p>Un ataque contra Educational Testing Service (ETS), proveedor de servicios de evaluaci\u00f3n del Departamento de Educaci\u00f3n de California (CDE), expuso datos de <a href=\"https:\/\/therecord.media\/california-warns-all-public-school-students-of-data-breach\">todos los ni\u00f1os que asistieron a escuelas p\u00fablicas durante los \u00faltimos tres a\u00f1os<\/a>, incluida su situaci\u00f3n de discapacidad y las adaptaciones de sus pruebas. Los atacantes copiaron los datos entre el 22 de mayo y el 18 de septiembre a trav\u00e9s de un sitio SFTP, un servidor de transferencia segura de archivos. Accedieron mediante unas <a href=\"https:\/\/www.securityweek.com\/one-compromised-login-exposed-millions-of-california-students-records\/\">credenciales comprometidas<\/a>. ETS detect\u00f3 la intrusi\u00f3n el 25 de septiembre y las familias reciben notificaciones desde el 16 de octubre. Seg\u00fan Los Angeles Times, el n\u00famero de afectados <a href=\"https:\/\/www.latimes.com\/california\/story\/2026-10-16\/state-testing-student-data-hack\">supera ampliamente los 5,7 millones<\/a> de alumnos actuales, porque los registros se remontan a las matr\u00edculas de 2023.<\/p>\n<div style=\"overflow-x:auto;-webkit-overflow-scrolling:touch;margin:24px 0;\">\n<table style=\"width:100%;min-width:640px;border-collapse:collapse;font-size:0.92em;\">\n<thead style=\"\">\n<tr style=\"border-bottom:2px solid #69d8ed;\">\n<th style=\"text-align:left;padding:12px 14px;\">Hecho<\/th>\n<th style=\"text-align:left;padding:12px 14px;\">Fuente<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">Seg\u00fan ETS, los atacantes copiaron los datos entre el 22 de mayo y el 18 de septiembre de 2026 a trav\u00e9s de un sitio SFTP. ETS detect\u00f3 la intrusi\u00f3n el 25 de septiembre; el estado notifica a las familias desde el 16 de octubre y continuar\u00e1 hasta noviembre.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/therecord.media\/california-warns-all-public-school-students-of-data-breach\">Fuente<\/a><\/td>\n<\/tr>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">Paradigm detect\u00f3 el acceso no autorizado el 13 de octubre de 2025; los archivos con nombres, fechas de nacimiento, sexo y n\u00fameros de afiliaci\u00f3n a Medi-Cal podr\u00edan haberse consultado entre el 8 y el 15 de octubre de 2025. Las cartas de notificaci\u00f3n est\u00e1n fechadas el 14 de septiembre de 2026.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/www.securityweek.com\/970000-medi-cal-members-affected-by-paradigm-healthcare-data-breach\/\">Fuente<\/a><\/td>\n<\/tr>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">Palo Alto Networks public\u00f3 y corrigi\u00f3 CVE-2026-0257 el 13 de mayo, inicialmente clasificada como de gravedad media; Rapid7 inform\u00f3 de ataques desde el 17 de mayo.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/21\/ransomware-groups-exploit-palo-alto-globalprotect-cve-2026-0257\/\">Fuente<\/a><\/td>\n<\/tr>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">Se han confirmado tres intervalos: el 28 de mayo de 2026 (10 minutos), el 16 de julio de 2026 (6 minutos) y el 20 de julio de 2026 (5 minutos). Resultaron afectadas organizaciones de servicios inform\u00e1ticos, telecomunicaciones y educaci\u00f3n superior de 11 pa\u00edses.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/thehackernews.com\/2026\/10\/attackers-tampered-with-aomei.html\">Fuente<\/a><\/td>\n<\/tr>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">PingCAP, proveedor de la base de datos TiDB, inform\u00f3 de que un intruso accedi\u00f3 a sistemas internos entre el 09 de septiembre y el 07 de octubre de 2026 con credenciales robadas de una cuenta de servicio, copi\u00f3 datos y sustrajo c\u00f3digo fuente. No hay indicios de que los datos almacenados en TiDB se vieran afectados.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/www.pingcap.com\/trust-hub\/security\/security-update-october-2026\/\">Fuente<\/a><\/td>\n<\/tr>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">Kaspersky GReAT present\u00f3 la campa\u00f1a de ciberespionaje Operation FlashHole, atribuida al grupo Lazarus, activa desde al menos julio de 2025 y que afect\u00f3 como m\u00ednimo a tres organizaciones surcoreanas de construcci\u00f3n, software y fabricaci\u00f3n de equipos de comunicaciones por cable.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/www.kaspersky.com\/about\/press-releases\/kaspersky-identifies-new-lazarus-apt-campaign-utilizing-ai-and-post-quantum-encryption\">Fuente<\/a><\/td>\n<\/tr>\n<tr style=\"border-bottom:1px solid rgba(230,227,218,0.12);\">\n<td style=\"padding:11px 14px;\">Un investigador de seguridad document\u00f3 que, desde el 02 de octubre de 2026, los atacantes redirigieron conexiones SSH mediante 333 nodos de salida de Tor comprometidos hacia doce servidores de interceptaci\u00f3n para capturar contrase\u00f1as; equivalen aproximadamente al diez por ciento de los nodos de salida. Los nodos quedaron bloqueados y desconectados a m\u00e1s tardar el 05 de octubre de 2026.<\/td>\n<td style=\"padding:11px 14px;\"><a href=\"https:\/\/kaba.cx\/posts\/20261020_Tor\/\">Fuente<\/a><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Paradigm Healthcare Services, que gestiona la facturaci\u00f3n del programa Medicaid de California, Medi-Cal, detect\u00f3 el acceso no autorizado el 13 de octubre de 2025 y acaba de comunicar al Departamento de Salud y Servicios Humanos de EE. UU. (HHS) que hay <a href=\"https:\/\/www.securityweek.com\/970000-medi-cal-members-affected-by-paradigm-healthcare-data-breach\/\">m\u00e1s de 970.000 afectados<\/a>.<\/p>\n<p>La vulnerabilidad CVE-2026-0257 en PAN-OS de Palo Alto Networks est\u00e1 corregida desde el 13 de mayo; Rapid7 inform\u00f3 de ataques <a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/21\/ransomware-groups-exploit-palo-alto-globalprotect-cve-2026-0257\/\">desde el 17 de mayo<\/a>. Desde <a href=\"https:\/\/unit42.paloaltonetworks.com\/active-exploitation-of-pan-os-cve-2026-0257\/\">principios de junio<\/a>, Unit 42 investiga casos en sectores como educaci\u00f3n, finanzas y sanidad. En ellos ha observado intentos de explotaci\u00f3n de los grupos de Ransomware Qilin e Inc, que cifran datos y exigen rescates.<\/p>\n<h2>Credenciales y claves robadas<\/h2>\n<p>En PingCAP, proveedor de la base de datos TiDB, un intruso accedi\u00f3 a sistemas internos <a href=\"https:\/\/www.pingcap.com\/trust-hub\/security\/security-update-october-2026\/\">entre el 9 de septiembre y el 7 de octubre<\/a>. Utiliz\u00f3 credenciales robadas de una cuenta de servicio, es decir, una cuenta t\u00e9cnica. As\u00ed sustrajo c\u00f3digo fuente. Zeabur cesa sus operaciones tras el segundo incidente en dos meses. Un atacante utiliz\u00f3 credenciales internas almacenadas en texto plano y sustrajo datos de <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/zeabur-shutting-down-after-second-security-breach-in-two-months\/\">321.810 cuentas<\/a>. Tambi\u00e9n obtuvo unos 3,2 millones de registros de variables de entorno, donde las aplicaciones guardan valores de configuraci\u00f3n y claves. Los tokens de administrador nunca caducaban y no se hab\u00edan rotado desde enero de 2024.<\/p>\n<div style=\"display:flex;flex-wrap:wrap;gap:16px;margin:32px 0;\">\n<div style=\"flex:1 1 200px;min-width:0;background:#003340;border:1px solid rgba(105,216,237,0.28);border-radius:10px;padding:22px 20px;box-sizing:border-box;\">\n<div style=\"font-size:1.7em;font-weight:800;color:#69d8ed;line-height:1.1;word-break:keep-all;\">321.810<\/div>\n<p style=\"margin:10px 0 0;font-size:0.88em;color:#e6e3da;line-height:1.5;\">Informe sobre el segundo incidente de seguridad de la plataforma para desarrolladores Zeabur en dos meses: un atacante utiliz\u00f3 credenciales internas almacenadas en texto plano, consult\u00f3 la base de datos de la plataforma y sustrajo datos de 321.810 cuentas y unos 3,2 millones de registros de variables de entorno. Los tokens de administrador nunca caducaban y no se hab\u00edan rotado desde enero de 2024. Zeabur cesa sus operaciones. <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/zeabur-shutting-down-after-second-security-breach-in-two-months\/\" style=\"font-size:0.78em;color:#8fa3ab;\">Fuente<\/a><\/p>\n<\/div>\n<div style=\"flex:1 1 200px;min-width:0;background:#003340;border:1px solid rgba(105,216,237,0.28);border-radius:10px;padding:22px 20px;box-sizing:border-box;\">\n<div style=\"font-size:1.7em;font-weight:800;color:#69d8ed;line-height:1.1;word-break:keep-all;\">26.739<\/div>\n<p style=\"margin:10px 0 0;font-size:0.88em;color:#e6e3da;line-height:1.5;\">GMO confirm\u00f3 el 20 de octubre de 2026 un acceso no autorizado a Onamae.com Desktop Cloud y la instalaci\u00f3n de programas no autorizados en algunos entornos de servidores de clientes. El n\u00famero de servidores posiblemente afectados asciende a 26.739; los servicios de todos los planes se desconectan progresivamente desde el 21 de octubre de 2026 a las 4:00, hora local. <a href=\"https:\/\/www.onamae.com\/news\/article\/11584\" style=\"font-size:0.78em;color:#8fa3ab;\">Fuente<\/a><\/p>\n<\/div>\n<\/div>\n<p>Railway inform\u00f3 el <a href=\"https:\/\/blog.railway.com\/p\/security-disclosure-wednesday-october-21st\">21 de octubre<\/a> de que un intruso podr\u00eda haber accedido a variables de entorno cifradas y descifrado parte de ellas. La plataforma suspendi\u00f3 todos los despliegues y recomend\u00f3 rotar todas las variables, claves de API y credenciales de registros.<\/p>\n<p>Cairn es una <a href=\"https:\/\/www.securityweek.com\/ai-platform-cairn-abused-to-hack-over-100-organizations\/\">plataforma de IA de c\u00f3digo abierto<\/a> que coordina agentes de IA hacia un objetivo y puede funcionar como motor aut\u00f3nomo de pruebas de penetraci\u00f3n. NorForge encontr\u00f3 <a href=\"https:\/\/norforge.com\/blog\/inside_cairn\">m\u00e1s de 20 paneles de control expuestos en internet<\/a> con los que los atacantes probablemente automatizaban sus ataques mediante Cairn. De los cientos de secretos presentes en los datos de los paneles, el 11 por ciento eran v\u00e1lidos. Seg\u00fan Reuters, el mayor grupo, de habla china, se infiltr\u00f3 en m\u00e1s de 100 empresas, entre ellas John Deere y SharkNinja.<\/p>\n<p>El 20 de octubre, el FBI (Bur\u00f3 Federal de Investigaciones), la CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras), el Servicio Secreto de EE. UU., la Oficina de Investigaci\u00f3n Criminal de Renania-Palatinado e investigadores brit\u00e1nicos alertaron conjuntamente sobre el grupo de Ransomware SafePay, con <a href=\"https:\/\/www.cisa.gov\/news-events\/cybersecurity-advisories\/aa26-293a\">al menos 600 v\u00edctimas<\/a>. Sus v\u00edas de entrada son contrase\u00f1as robadas o adivinadas, vulnerabilidades en productos de seguridad y phishing.<\/p>\n<h2>Canales de distribuci\u00f3n y plataformas de gran alcance<\/h2>\n<p>En AOMEI Backupper, los atacantes modificaron <a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/20\/aomei-backupper-compromised-supply-chain\/\">dos archivos de configuraci\u00f3n<\/a> en los servidores del fabricante. El software descarg\u00f3 entonces el instalador malicioso CROSSROAD, que instal\u00f3 Radmin y la puerta trasera SHINYROAD. Google Threat Intelligence Group y Mandiant atribuyen los <a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/investigating-ephemeral-supply-chain-tampering\">breves intervalos de manipulaci\u00f3n<\/a> al grupo UNC7017. Hay <a href=\"https:\/\/thehackernews.com\/2026\/10\/attackers-tampered-with-aomei.html\">tres confirmados<\/a>: 10 minutos el 28 de mayo, 6 minutos el 16 de julio y 5 minutos el 20 de julio.<\/p>\n<p>En OVHcloud, un atacante tom\u00f3 el control de la cuenta de GitHub de un desarrollador y modific\u00f3 las versiones 0.11.0 a 0.15.0 de la interfaz de l\u00ednea de comandos (CLI). La versi\u00f3n manipulada estuvo disponible el 19 de octubre <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/ovhcloud-cli-releases-backdoored-on-github-to-steal-developer-secrets\/\">de 14:47 a 16:21<\/a>.<\/p>\n<p>A trav\u00e9s de teamupdraft.com, un atacante aprovech\u00f3 la conexi\u00f3n con las webs de clientes durante el <a href=\"https:\/\/teamupdraft.com\/blog\/security-incident-october-2026\/\">fin de semana del 17\/18 de octubre<\/a>, cre\u00f3 cuentas de administrador e instal\u00f3 plugins maliciosos. Patchstack contabiliz\u00f3 <a href=\"http:\/\/patchstack.com\/articles\/updraftcentral-key-compromise-wordpress-backdoors\/\">99 nombres distintos<\/a> para estas puertas traseras. Se estima que eran vulnerables <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites\/\">unas 400.000 webs<\/a> con claves de UpdraftCentral o Migrator. La actualizaci\u00f3n 1.26.13 o 2.26.13 del 19 de octubre revoca las claves de UpdraftCentral. En la biblioteca de pasarela de IA LiteLLM, todos los paquetes Wheel de PyPI de la <a href=\"https:\/\/github.com\/BerriAI\/litellm\/issues\/47826\">versi\u00f3n 1.107.0<\/a> conten\u00edan un ladr\u00f3n de credenciales y un descargador de c\u00f3digo externo.<\/p>\n<p>En GMO Internet, <a href=\"https:\/\/www.onamae.com\/news\/article\/11584\">26.739 servidores<\/a> de Onamae.com Desktop Cloud podr\u00edan estar afectados; los servicios de todos los planes se desconectan progresivamente desde el 21 de octubre. Bullhorn, que afirma dar servicio a <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/bullhorn-takes-staffing-platform-offline-to-contain-cyberattack\/\">m\u00e1s de 10.000 clientes<\/a>, desconect\u00f3 su plataforma de selecci\u00f3n de personal. Tras el <a href=\"https:\/\/newsroom.aholddelhaize.com\/ahold-delhaize-update-on-status-of-cybersecurity-incident\/\">incidente comunicado el 12 de octubre<\/a>, Ahold Delhaize desconect\u00f3 las webs y aplicaciones de la mayor\u00eda de sus marcas en Europa y EE. UU.; las tiendas permanecieron abiertas.<\/p>\n<h2>La IA en la b\u00fasqueda y explotaci\u00f3n de vulnerabilidades<\/h2>\n<p>Las alertas de la semana no atribuyen esta acumulaci\u00f3n a la IA; lo documentado son conclusiones m\u00e1s generales y casos concretos, como el uso malicioso de la herramienta de IA Cairn. El NCSC brit\u00e1nico aconseja <a href=\"https:\/\/www.ncsc.gov.uk\/blogs\/prepare-for-vulnerability-patch-wave\">desde el 1 de mayo<\/a> que todas las organizaciones se preparen para una oleada de parches. Explica que, en manos expertas, la IA puede explotar r\u00e1pidamente y a gran escala la deuda t\u00e9cnica acumulada.<\/p>\n<p>En su alerta sobre PHP2Shell del 21 de octubre, el NCSC remite expresamente a esa advertencia y aconseja <a href=\"https:\/\/www.ncsc.gov.uk\/news\/critical-security-issue-affecting-php\">desconectar los sistemas sin parchear si es necesario<\/a>. Las dos vulnerabilidades pueden permitir ejecutar c\u00f3digo sin autenticaci\u00f3n en todas las instalaciones de PHP que atienden peticiones web. Las versiones <a href=\"https:\/\/www.php.net\/archive\/2026.php\">8.5.12, 8.4.27, 8.3.36 y 8.2.35<\/a> las corrigen. El art\u00edculo <a href=\"https:\/\/www.securitytoday.de\/es\/2026\/10\/22\/fallos-en-php-las-autoridades-aconsejan-desconectar\/\">Vulnerabilidades en PHP: las autoridades de seguridad aconsejan desconectar sistemas<\/a> explica c\u00f3mo reaccionaron las autoridades de Alemania, Austria y Pa\u00edses Bajos.<\/p>\n<p>Seg\u00fan Wiz Research, las vulnerabilidades se encontraron con modelos de IA de frontera; los fallos llevaban <a href=\"https:\/\/www.wiz.io\/blog\/php2shell-php-rce\">m\u00e1s de una d\u00e9cada<\/a> en el c\u00f3digo. Seg\u00fan Rapid7, el <a href=\"https:\/\/www.rapid7.com\/blog\/post\/tr-q3-2026-threat-update-attackers-exploiting-vulnerabilities-within-3-days\/\">8 por ciento de los informes de amenazas analizados<\/a> mencionaban la IA como componente operativo de los ataques.<\/p>\n<p>A partir del pr\u00f3ximo lunes, <a href=\"https:\/\/www.theregister.com\/security\/2026\/10\/20\/swamped-curl-maintainers-take-low-level-flaws-public-to-survive-vulnerability-avalanche\/5304198\">26 de octubre<\/a>, el proyecto curl har\u00e1 p\u00fablicos los avisos de vulnerabilidades de gravedad baja y media. El proyecto lo atribuye a una avalancha de avisos que desborda al equipo. PostgreSQL 19 se ha retrasado y est\u00e1 previsto para el 19 de noviembre. Seg\u00fan Peter Eisentraut, desarrollador con permisos de incorporaci\u00f3n de cambios, las revisiones de c\u00f3digo asistidas por LLM encontraron numerosos fallos mucho m\u00e1s r\u00e1pido y se pospusieron <a href=\"https:\/\/www.theregister.com\/databases\/2026\/10\/16\/postgres-19-delayed-after-ai-reviewers-find-more-bugs-than-humans-can-fix\/5303471\">entre ocho y diez funciones importantes<\/a>.<\/p>\n<h2>Tres comprobaciones tras la semana de los avisos<\/h2>\n<p>&#8211; <strong>Fijar caducidad y rotar los secretos:<\/strong> En Zeabur, los tokens de administrador nunca caducaban; tras el incidente, Railway recomend\u00f3 rotar todas las variables, claves de API y credenciales de registros. &#8211; <strong>Bloquear la modificaci\u00f3n de los canales de actualizaci\u00f3n y publicaci\u00f3n:<\/strong> En OVHcloud se pudieron sustituir versiones de la CLI porque la inmutabilidad de las versiones publicadas en GitHub estaba desactivada. &#8211; <strong>Comparar el plazo de parcheo con el de explotaci\u00f3n:<\/strong> En el tercer trimestre, Rapid7 registr\u00f3 una media de tres d\u00edas entre la publicaci\u00f3n y la explotaci\u00f3n de vulnerabilidades graves; aun as\u00ed, la vulnerabilidad de PAN-OS corregida desde el 13 de mayo sigue siendo objeto de ataques.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 cerrada. Toca para abrir la respuesta.<\/p>\n<details>\n<summary><strong>\u00bfYa se est\u00e1 explotando la vulnerabilidad de Signal en RingRTC?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">El cat\u00e1logo de vulnerabilidades explotadas de la agencia estadounidense CISA no incluye CVE-2026-113380. Si un participante sobrecarga la cola de eventos, esta vulnerabilidad, con una puntuaci\u00f3n <a href=\"https:\/\/www.theregister.com\/security\/2026\/10\/21\/signal-bug-could-keep-your-mic-and-camera-on-after-hangup\/5304528\">CVSS de 9,3<\/a>, puede impedir que se cuelgue la llamada, de modo que el audio y posiblemente el v\u00eddeo siguen activos. Est\u00e1 corregida desde septiembre en RingRTC 2.72.0.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 gravedad tienen las nuevas vulnerabilidades de NGINX?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">F5 asigna a tres errores de memoria una puntuaci\u00f3n de <a href=\"https:\/\/thehackernews.com\/2026\/10\/nginx-fixes-5-flaws-including-possible.html\">9,2 y los considera cr\u00edticos<\/a>. El proyecto NGINX clasifica esas mismas vulnerabilidades con gravedad <a href=\"https:\/\/nginx.org\/en\/security_advisories.html\">\u00abmedia\u00bb<\/a>. Todas requieren una directiva configurada expresamente; las versiones <a href=\"https:\/\/nginx.org\/\">1.30.6 y 1.31.7<\/a>, publicadas el 14 de octubre, las corrigen.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfQu\u00e9 vulnerabilidad de Siemens se est\u00e1 explotando activamente?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Siemens confirma ataques contra CVE-2026-110936 en Siemens Software Center; la CISA incorpor\u00f3 la vulnerabilidad el martes a su <a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-orders-federal-agencies-to-patch.html\">cat\u00e1logo de vulnerabilidades explotadas activamente<\/a>. Para explotar este fallo, con una <a href=\"https:\/\/www.securityweek.com\/siemens-software-center-vulnerability-exploited-in-clickfix-malware-attacks\/\">puntuaci\u00f3n CVSS v4 de 8,4<\/a>, los atacantes combinaron una copia del programa con firma v\u00e1lida y archivos DLL propios, que la versi\u00f3n 3.5.8.7 cargaba sin verificarlos. Est\u00e1 corregido en la <a href=\"https:\/\/productcert.siemens.com\/news\/2026\/10\/19\/active-exploitation-of-cve-2026-110936-in-siemens-software-center\/\">versi\u00f3n 4.0.9.8<\/a>; Siemens atribuye los ataques a la campa\u00f1a ClickFix Romulus.<\/p>\n<\/details>\n<aside data-element=\"sources\">\n<details class=\"evm-sources\">\n<summary>Fuentes y fechas de los informes <span class=\"evm-sources-count\">(37)<\/span><\/summary>\n<ul>\n<li><a href=\"https:\/\/therecord.media\/california-warns-all-public-school-students-of-data-breach\" rel=\"noopener\" target=\"_blank\">therecord.media: California alerta a todos los alumnos de escuelas p\u00fablicas del robo de datos en una brecha de un contratista, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.securityweek.com\/one-compromised-login-exposed-millions-of-california-students-records\/\" rel=\"noopener\" target=\"_blank\">SecurityWeek: Unas credenciales comprometidas expusieron los registros de millones de estudiantes de California, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.latimes.com\/california\/story\/2026-10-16\/state-testing-student-data-hack\" rel=\"noopener\" target=\"_blank\">Los Angeles Times: Atacantes roban datos personales de millones de estudiantes de California en una filtraci\u00f3n masiva, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.securityweek.com\/970000-medi-cal-members-affected-by-paradigm-healthcare-data-breach\/\" rel=\"noopener\" target=\"_blank\">SecurityWeek: 970.000 afiliados a Medi-Cal afectados por la filtraci\u00f3n de datos de Paradigm Healthcare, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/21\/ransomware-groups-exploit-palo-alto-globalprotect-cve-2026-0257\/\" rel=\"noopener\" target=\"_blank\">Help Net Security: Grupos de Ransomware explotan desde junio una vulnerabilidad de la VPN GlobalProtect de Palo Alto, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/unit42.paloaltonetworks.com\/active-exploitation-of-pan-os-cve-2026-0257\/\" rel=\"noopener\" target=\"_blank\">Unit 42: Informe de amenazas: explotaci\u00f3n activa de CVE-2026-0257 en PAN-OS (actualizado el 20 de octubre), octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.pingcap.com\/trust-hub\/security\/security-update-october-2026\/\" rel=\"noopener\" target=\"_blank\">TiDB: Actualizaci\u00f3n de seguridad &#8211; Informe del incidente de seguridad de octubre de 2026: acceso no autorizado a recursos en la nube de PingCAP, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/zeabur-shutting-down-after-second-security-breach-in-two-months\/\" rel=\"noopener\" target=\"_blank\">BleepingComputer: Zeabur cierra tras su segunda brecha de seguridad en dos meses, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/blog.railway.com\/p\/security-disclosure-wednesday-october-21st\" rel=\"noopener\" target=\"_blank\">Railway Blog: Comunicado de seguridad: mi\u00e9rcoles 21 de octubre, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.securityweek.com\/ai-platform-cairn-abused-to-hack-over-100-organizations\/\" rel=\"noopener\" target=\"_blank\">SecurityWeek: La plataforma de IA Cairn se utiliza para atacar a m\u00e1s de 100 organizaciones, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/norforge.com\/blog\/inside_cairn\" rel=\"noopener\" target=\"_blank\">NorForge: Dentro de Cairn: ventanas abiertas a ciberoperaciones masivas impulsadas por IA, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.cisa.gov\/news-events\/cybersecurity-advisories\/aa26-293a\" rel=\"noopener\" target=\"_blank\">Agencia de Ciberseguridad y Seguridad de las Infraestructuras CISA: #StopRansomware: Ransomware SafePay | CISA, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.helpnetsecurity.com\/2026\/10\/20\/aomei-backupper-compromised-supply-chain\/\" rel=\"noopener\" target=\"_blank\">Help Net Security: Servidores de AOMEI Backupper secuestrados durante minutos para distribuir una puerta trasera, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/investigating-ephemeral-supply-chain-tampering\" rel=\"noopener\" target=\"_blank\">Google Cloud Blog: Investigaci\u00f3n de manipulaciones ef\u00edmeras de la cadena de suministro, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/thehackernews.com\/2026\/10\/attackers-tampered-with-aomei.html\" rel=\"noopener\" target=\"_blank\">The Hacker News: Atacantes manipularon durante minutos los servidores de actualizaci\u00f3n de AOMEI Backupper para distribuir una puerta trasera, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/ovhcloud-cli-releases-backdoored-on-github-to-steal-developer-secrets\/\" rel=\"noopener\" target=\"_blank\">BleepingComputer: Versiones de la CLI de OVHcloud manipuladas en GitHub con puertas traseras para robar secretos de desarrolladores, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/teamupdraft.com\/blog\/security-incident-october-2026\/\" rel=\"noopener\" target=\"_blank\">TeamUpdraft: Incidente de seguridad de TeamUpdraft: lo que deben saber los clientes, octubre de 2026<\/a><\/li>\n<li><a href=\"http:\/\/patchstack.com\/articles\/updraftcentral-key-compromise-wordpress-backdoors\/\" rel=\"noopener\" target=\"_blank\">Patchstack: Claves robadas de UpdraftCentral se utilizan para instalar puertas traseras en sitios de WordPress, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/stolen-updraftcentral-keys-used-to-backdoor-wordpress-sites\/\" rel=\"noopener\" target=\"_blank\">BleepingComputer: Claves robadas de UpdraftCentral utilizadas para instalar puertas traseras en sitios de WordPress, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/github.com\/BerriAI\/litellm\/issues\/47826\" rel=\"noopener\" target=\"_blank\">GitHub: [SEGURIDAD] litellm 1.107.0 comprometido (retirado de PyPI; retiradas las im\u00e1genes Docker latest\/main-stable): cook.pth \u2026, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.onamae.com\/news\/article\/11584\" rel=\"noopener\" target=\"_blank\">onamae.com: 26.739 servidores, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/bullhorn-takes-staffing-platform-offline-to-contain-cyberattack\/\" rel=\"noopener\" target=\"_blank\">BleepingComputer: Bullhorn desconecta su plataforma de selecci\u00f3n de personal para contener un ciberataque, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/newsroom.aholddelhaize.com\/ahold-delhaize-update-on-status-of-cybersecurity-incident\/\" rel=\"noopener\" target=\"_blank\">Ahold Delhaize informa sobre el estado del incidente de ciberseguridad, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.ncsc.gov.uk\/blogs\/prepare-for-vulnerability-patch-wave\" rel=\"noopener\" target=\"_blank\">National Cyber Security Centre: Prepararse para una \u00aboleada de parches de vulnerabilidades\u00bb, mayo de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.ncsc.gov.uk\/news\/critical-security-issue-affecting-php\" rel=\"noopener\" target=\"_blank\">National Cyber Security Centre: Problema cr\u00edtico de seguridad que afecta a PHP, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.php.net\/archive\/2026.php\" rel=\"noopener\" target=\"_blank\">php.net: PHP: archivo de noticias &#8211; 2026, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.wiz.io\/blog\/php2shell-php-rce\" rel=\"noopener\" target=\"_blank\">wiz.io: PHP2Shell: la IA descubre vulnerabilidades cr\u00edticas de ejecuci\u00f3n remota de c\u00f3digo que afectan al 70% de internet | Wiz Blog, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.rapid7.com\/blog\/post\/tr-q3-2026-threat-update-attackers-exploiting-vulnerabilities-within-3-days\/\" rel=\"noopener\" target=\"_blank\">Rapid7: Actualizaci\u00f3n de amenazas del tercer trimestre de 2026: los atacantes explotan vulnerabilidades en 3 d\u00edas, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.theregister.com\/security\/2026\/10\/20\/swamped-curl-maintainers-take-low-level-flaws-public-to-survive-vulnerability-avalanche\/5304198\" rel=\"noopener\" target=\"_blank\">theregister: Desbordados, los mantenedores de curl hacen p\u00fablicos fallos de baja gravedad para sobrevivir a la avalancha de vulnerabilidades, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.theregister.com\/databases\/2026\/10\/16\/postgres-19-delayed-after-ai-reviewers-find-more-bugs-than-humans-can-fix\/5303471\" rel=\"noopener\" target=\"_blank\">theregister: Postgres 19 se retrasa porque los revisores de IA encuentran m\u00e1s fallos de los que los humanos pueden corregir, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.theregister.com\/security\/2026\/10\/21\/signal-bug-could-keep-your-mic-and-camera-on-after-hangup\/5304528\" rel=\"noopener\" target=\"_blank\">theregister: Un fallo de Signal podr\u00eda mantener activos el micr\u00f3fono y la c\u00e1mara despu\u00e9s de colgar, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/thehackernews.com\/2026\/10\/nginx-fixes-5-flaws-including-possible.html\" rel=\"noopener\" target=\"_blank\">The Hacker News: NGINX corrige 5 fallos, entre ellos una posible ejecuci\u00f3n remota de c\u00f3digo y un error de TLS que puede omitir la verificaci\u00f3n de certificados de cliente, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/nginx.org\/en\/security_advisories.html\" rel=\"noopener\" target=\"_blank\">nginx.org: avisos de seguridad de nginx, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/nginx.org\/\" rel=\"noopener\" target=\"_blank\">nginx.org: nginx, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/thehackernews.com\/2026\/10\/cisa-orders-federal-agencies-to-patch.html\" rel=\"noopener\" target=\"_blank\">The Hacker News: La CISA ordena a las agencias federales corregir vulnerabilidades explotadas de Plex2Shell, Siemens y SiteGuard, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.securityweek.com\/siemens-software-center-vulnerability-exploited-in-clickfix-malware-attacks\/\" rel=\"noopener\" target=\"_blank\">SecurityWeek: Una vulnerabilidad de Siemens Software Center se explota en ataques de malware ClickFix, octubre de 2026<\/a><\/li>\n<li><a href=\"https:\/\/productcert.siemens.com\/news\/2026\/10\/19\/active-exploitation-of-cve-2026-110936-in-siemens-software-center\/\" rel=\"noopener\" target=\"_blank\">productcert.siemens.com: Explotaci\u00f3n activa de CVE-2026-110936 en Siemens Software Center &#8211; Siemens ProductCERT, octubre de 2026<\/a><\/li>\n<\/ul>\n<\/details>\n<\/aside>\n<p><!--ST-LOWER-CARDS lang=es--><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Fuente de la imagen: generada por IA (octubre de 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Entre el 19 y el 22 de octubre se acumularon avisos de incidentes graves de seguridad. Muchos ataques hab\u00edan comenzado semanas o meses antes.","protected":false},"author":10,"featured_media":25107,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Black October","_yoast_wpseo_title":"Black October: muchos ataques llevaban meses en marcha","_yoast_wpseo_metadesc":"Entre el 19 y el 22 de octubre se acumularon avisos de incidentes graves de seguridad. Muchos ataques hab\u00edan comenzado semanas o meses antes.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[253],"tags":[],"class_list":["post-25162","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualidad"],"evm_reading_time_minutes":16,"wpml_language":"es","wpml_translation_of":25104,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25162","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=25162"}],"version-history":[{"count":8,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25162\/revisions"}],"predecessor-version":[{"id":25196,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/25162\/revisions\/25196"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/25107"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=25162"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=25162"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=25162"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}