A Daily Field Report on Things That Are Probably Fine
No. 17·Miércoles 14 Octubre 2026·Publicado a las 06:00 UK·Indicador Fine 3/5: No está bien, pero es sobrevivible
Apertura · Vulnerabilidades
Ivanti Connect Secure: comprometido hasta el nivel root pese a estar totalmente parcheado, y uno de los tres agujeros sigue abierto
CVE-2026-104935 entró el martes en el catálogo KEV de la CISA, y el atacante que está detrás no necesitaba que usted fuera con retraso en las actualizaciones.
confianza0.85
La CISA añadió CVE-2026-104935 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 13 de octubre: una elusión de autenticación por suplantación en Ivanti Connect Secure que permite a un atacante remoto y no autenticado ejecutar comandos arbitrarios. Ivanti pidió el martes a sus clientes que aplicaran el parche de inmediato. Volexity describió después cómo fue en realidad la explotación: tres día cero encadenados para ejecutar comandos como root en el dispositivo sin iniciar sesión, en pasarelas que ya estaban actualizadas. Ivanti ha publicado correcciones para dos de las tres y ha indicado a los clientes de las versiones afectadas que actúen de inmediato. La tercera no tiene parche.
Es un error de categoría que seguimos cometiendo. Tratamos «parcheado» como un estado de la máquina cuando solo es una marca de tiempo en un documento, y la distancia entre el documento y el equipo es precisamente el espacio en el que vive una cadena de ataque. Un concentrador VPN es el único dispositivo del parque cuya misión entera es ser accesible para desconocidos y de confianza para todo lo que hay detrás; es la puerta de entrada que compramos precisamente para que fuera un producto y no un problema nuestro.
El momento es la parte cruel. Coincidió con el día en que Microsoft publicó el mayor lote de parches jamás visto, lo que significa que quienes necesitan retirar de servicio una pasarela de acceso remoto son los mismos a quienes se pide desplegar un millar largo de correcciones de Windows. La atención es un control finito y nadie la ha puesto nunca en un panel de control.
Por qué importaSi usa Connect Secure, asuma que puede haber compromiso en un dispositivo parcheado: aplique las dos correcciones disponibles, busque actividad con privilegios de root en la pasarela y trate como sospechoso todo aquello en lo que la VPN confiaba hasta que exista la tercera corrección.
El número de fallos que un proveedor corrige en un mes no es una medida de su diligencia ni de su riesgo. Es una medida de cuánto código lanzó mientras nadie contaba.
— Sturgeon's Revelations · Probably Fine Daily No. 17
Cada mañana06:00 UK
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§2
Principales noticias
El resto de las últimas 24 horas, con fuentes.
Vulnerabilidades
Un Patch Tuesday récord y la segunda entrada KEV que nadie tendrá tiempo de leer
Microsoft publicó correcciones para 1.411 fallos, entre ellos un día cero explotado activamente y dos divulgados públicamente, según BleepingComputer; el SANS Internet Storm Center contabilizó 1.417, de los cuales 76 son críticos y siete no requieren ninguna acción del cliente. Krebs señala que la cifra eclipsa el récord de septiembre, de casi un millar, que ya era aproximadamente diez veces un mes normal. Con discreción, la CISA añadió además CVE-2026-96951 al KEV: una inyección de comandos en Windows Shell que permite a un atacante no autorizado eludir una función de seguridad a través de la red. Ya están disponibles Windows 11 KB5127648 y KB5126653; Windows 10 recibe KB5126657 como actualización de seguridad extendida, y Windows 11 24H2 Home y Pro quedan ya completamente fuera de soporte.
Por qué importaPriorice primero el único fallo explotado y la entrada del KEV; mil CVE no son un plan de parcheo, son un fenómeno meteorológico.
Wallstreet publica once víctimas en tres minutos, y la mayoría son suecas
Entre las 16:52 y las 16:55 del 13 de octubre, el sitio de filtraciones de Wallstreet listó a Mantum Holding, Danvikshem, Briab Group, Fab Support, Vendus Sweden, Englunds Konsultbyrå y cuatro estudios de arquitectura de Estocolmo —Brunnberg & Forshed, Byrån för Arkitektur och Urbanism, Spectrum Arkitekter y Ahlqvist & Almqvist—, además de un centro residencial para mayores en Hildesheim (Alemania). El actor suma 39 elementos en cuatro fuentes dentro de la ventana, y ransomware.live lo recogió unas 2,5 horas antes que ransomlook. Cuatro estudios de arquitectura de una misma ciudad en un mismo lote no son once robos independientes; es la forma de una causa común aguas arriba, aunque nada en las fuentes nombra a un proveedor compartido.
Por qué importaSi es una empresa sueca de servicios profesionales, pregunte a su proveedor de software de diseño, alojamiento o TI qué ocurrió la semana pasada antes de preguntárselo a sí misma.
confianza0.60
Ransomware
HYFLOCK ataca siete países en cinco minutos; N0n numera a sus víctimas como si fueran inventario
HYFLOCK publicó ocho entradas entre las 15:24 y las 15:29 en ransomlook —una consultora malasia, una empresa brasileña de ingeniería de combustión, un proveedor saudí de ERP en la nube, un fabricante indio de productos químicos, una empresa india de bebidas, un proveedor de internet de Bangladés, un fabricante farmacéutico turco y la sede de la Policía Nacional de Ecuador—; dos de ellas aparecieron en ransomware.live 1,8 horas después, uno de los raros casos en que ransomlook fue por delante. Por separado, N0n generó 18 elementos en un día frente a una mediana de uno, entre ellos una consulta de neurología australiana con 15.252 imágenes de pacientes y 839 archivos de historiales, y entradas provisionales marcadas «Company #63», «#64» y «#65» con PENDING EXPOSURE referidas a sectores en lugar de nombres.
Por qué importaLa divulgación escalonada y numerada es un calendario de extorsión: si está en plena negociación, su entrada ya tiene un hueco y un índice.
confianza0.60
Actores de amenazas
Alguien calentó las neveras: controladores Danfoss secuestrados en cientos de supermercados franceses
En la noche del 11 de octubre, unos atacantes tomaron el control remoto de la refrigeración de cientos de supermercados franceses accediendo al controlador Danfoss que gestiona todas las neveras y congeladores de una tienda, calentándolos hasta 50 °C y obligando a los establecimientos a desechar mercancía, según varias cadenas de distribución. Un investigador que escribe en Mastodon afirma que los errores que permiten precisamente este tipo de ataque de control remoto sobre controladores de refrigeración eran conocidos desde hacía más de un año. En la misma ventana, Ahold Delhaize desconectó sistemas para contener un incidente, y TFG London informó de un ataque que afectó a los sistemas informáticos usados por Phase Eight, Hobbs y Whistles; ninguna de las informaciones señala una causa común.
Por qué importaSu inventario de OT no son los PLC del diagrama de ingeniería; es todo lo que tenga una interfaz web capaz de cambiar una consigna física, incluido el equipo que mantiene fría la sección de refrigerados.
Anthropic dice que los modelos pequeños podrían autorreplicarse pronto en hornos inteligentes; los escáneres ya van a por las claves de modelos
Anthropic advierte de que los modelos de IA pequeños podrían estar a meses de poder autorreplicarse en dispositivos IoT de consumo —reproductores Android TV baratos, hornos inteligentes—, formando botnets autónomas tipo gusano que ejecuten cargas de trabajo de IA sin un centro de datos, y los investigadores afirmaron que sería «difícil» desmantelarlas. Por separado, la startup de seguridad de IA AIR informa de un fallo de filtrado de red en Vercel Sandbox que podría permitir a los agentes abusar de la validación de certificados para sacar datos de las redes autorizadas, y el NVD recogió esta semana una serie de CVE en la infraestructura de los agentes, entre ellos un fallo de agotamiento de memoria en el SDK de MCP para Kotlin y mcp-remote enviando secretos de cliente por HTTP sin cifrar.
Por qué importaLas claves de API de modelos son ya una clase de credencial con su propia firma de escaneo; inclúyalas hoy mismo en el mismo inventario, rotación y sistema de alertas que las claves en la nube.
Docker Hub, npm y SAP: tres maneras de ser otra persona esta semana
Docker divulgó CVE-2026-105445, un fallo de dos años en la función de conversión de tokens de acceso personal que permitía a un usuario subir, descargar o eliminar imágenes como si fuera otro; se corrigió el 30 de septiembre y Docker afirma que no halló indicios de explotación. GitHub hace ahora caducar las configuraciones de publicación de confianza de npm no validadas 48 horas después de su creación, tras descubrir los investigadores más de 1.500 paquetes en los que un atacante podía publicar nuevas versiones del paquete de otra persona sin robar ninguna credencial. Y las actualizaciones de octubre de SAP abarcan 20 fallos, entre ellos uno de severidad máxima en el SDK de Cloud para Python que puede enviar las credenciales de cliente OAuth2 de una aplicación multiinquilino a un servidor controlado por el atacante.
Por qué importaLos tres son fallos de identidad en los lugares de donde se obtiene el código, la única decisión de confianza que su cadena de compilación toma miles de veces al día sin preguntar.
El resto del montón: Ghostscript, MarkLogic, Adobe y un televisor LG que se hace root a sí mismo para cualquiera en la red Wi-Fi
Un desbordamiento de búfer en el montón crítico en Ghostscript, CVE-2026-39919, permite la ejecución remota de código mediante PDF manipulados, lo que importa en cualquier lugar donde un servidor procese archivos subidos por usuarios. Progress publicó 31 fallos de MarkLogic Server el 12 de octubre, cinco de ellos críticos, dos de los cuales permiten que una cuenta con solo privilegios parciales de gestión asuma el control de administrador. Adobe corrigió 140 vulnerabilidades en diez productos, y SSD Secure Disclosure publicó una cadena de tres fallos de webOS que otorga a un atacante en la misma red local acceso root a ciertos televisores inteligentes LG, sin PIN y sin interacción del propietario; LG ya tiene una corrección.
Por qué importaLos gestores de subidas de archivos y cualquier equipo con pantalla en la VLAN de invitados cuentan como superficie de ataque, y solo uno de ellos tiene responsable en su CMDB.
Un dispositivo de escucha en la sala de conferencias, una placa de circuito bajo la pantalla y teléfonos comprometidos antes de sacarlos de la caja
El FBI y OpenAI afirman que se encontró un dispositivo de escucha en una sala de conferencias de directivos en las oficinas de la compañía en San Francisco; el ciudadano saudí Abdulrahman Alfozan, de 35 años, empleado de OpenAI, fue detenido el viernes, despedido y acusado formalmente. SecurityWeek informa de un robo de criptomonedas de 86 millones de dólares atribuido a un implante de hardware en firmantes de Ledger —una pequeña placa de circuito oculta bajo las pantallas, que leía datos del usuario y los transmitía a los atacantes—. Y AlienVault describe «Midnight Mimosa», código malicioso preinstalado en el firmware de dispositivos Android de bajo coste con MediaTek antes de que el comprador los encienda siquiera.
Por qué importaTres recordatorios de que la cadena de suministro incluye la sala, el dispositivo y la fábrica, y de que ninguno de ellos lo cubre su agente EDR.
La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.
Bajo las fuentes: una emergencia real, un lote de rastreadores que coinciden entre sí y un día de estadísticas sin referencia de base.
Exception 01
La cadena de Ivanti es lo único en lo que convergen cuatro fuentes independientes
CVE-2026-104935 aparece en el KEV, en la señal del KEV, en noticias y en RSS el mismo día, seis elementos en total, y describe una cadena de tres fallos hasta root en dispositivos parcheados con uno de ellos aún sin corregir. Es el elemento accionable de mayor confianza de la ventana y coincide con el Patch Tuesday, que divide la atención de los defensores.
confianza0.80
Wrong if
Un aviso del proveedor que muestre los tres fallos parcheados, o ningún nuevo informe de explotación en 48 horas.
Watch
Un parche para el tercer fallo, cualquier directiva de la CISA y telemetría de explotación durante los próximos uno a tres días.
La corroboración entre rastreadores de ransomware es sobre todo un único suceso contado varias veces
Para la mayoría de los actores con más de una fuente, ransomware.live aparece primero: Aurora por 9,4 horas, Safepay 8,8, BYOD 6,4, N0n y Panzer 5,9, Play 4,2, Wallstreet 2,5. Por tanto, las noticias de Atlas van por detrás de los datos de los sitios de filtraciones en lugar de confirmarlos de forma independiente.
confianza0.70
Wrong if
Estas marcas de tiempo son momentos de rastreo y no de publicación, por lo que el desfase es un artefacto de la recopilación.
Watch
Si ransomware.live conserva la delantera en la próxima ventana y si se repite la ventaja de 1,8 horas de ransomlook en HYFLOCK.
Atlas sigue vinculando ransomware con el KEV sin que ninguna entrada del KEV nombre a nadie
Atlas generó noticias de «fusión KEV × ransomware» para play, akira, Wallstreet, qilin, Panzer, Orova y otros, pero ningún elemento del KEV en esta ventana nombra a ningún actor de ransomware. El vínculo es una inferencia del sistema, no un reportaje. Saddlers Court MFG está etiquetada como GB mientras que su campo de país dice Estados Unidos, lo que indica cuánto fiarse de la geografía.
confianza0.50Speculative
Wrong if
Un informe de incidente que nombre Ivanti Connect Secure o el fallo de Windows Shell en una intrusión de Play o akira.
Watch
Cualquier informe de respuesta a incidentes que vincule a estos actores con las incorporaciones al KEV del 13 de octubre.
El silencio del NVD tras el 12 de octubre es probablemente un problema de infraestructura, no de calma
El NVD aportó 100 elementos, todos ellos anteriores al 2026-10-12 23:21, incluida una gran avalancha de plugins de WordPress con marca de tiempo 07:17 y un lote de CVE de IA y MCP. Parece una única importación masiva más que una pausa real en las divulgaciones.
confianza0.50Speculative
Wrong if
Elementos del NVD con horas de evento posteriores en la próxima ventana de recopilación.
Nothing to seeLa ventana es en la práctica de un solo día —315 de 561 elementos llegaron el 13 de octubre—, por lo que cada «ráfaga» se mide frente a una mediana de cero y debe leerse como tal. La campaña de Kimsuky contra expertos ucranianos en diplomacia y seguridad, el lote de Vidar en ThreatFox, la brecha de Meta en GitHub que afecta a 1.500 personas, la multa a Xandr y las redadas en complejos de estafas de África Occidental no mostraron vínculos ocultos; son lo que dicen ser.
Deep read: 561 artículos leídos
§4
Previsión
Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.
Today’s calls
DueCallConfidence
DueSat 24 Oct10 days
Ivanti publica una corrección o una mitigación formal para el tercer fallo de la cadena de Connect Secure.
Wrong ifNingún aviso de Ivanti cubre el tercer fallo a fecha de 24 de octubre, y el relato de Volexity sigue sin modificarse.
N0n nombra en su sitio de filtraciones al menos una de las entradas provisionales «Company #63», «#64» o «#65».
Wrong ifLas tres siguen en PENDING EXPOSURE o se retiran sin una víctima nombrada a 24 de octubre.
f-2026-10-14-2
Confidence0.55
DueWed 21 Oct7 days
Wallstreet publica en su sitio de filtraciones al menos otras tres víctimas suecas.
Wrong ifAparecen menos de tres nuevas entradas de Wallstreet etiquetadas SE en ransomware.live o ransomlook a 21 de octubre.
f-2026-10-14-3
Confidence0.40
Scorecard
1 right
right
The Gentlemen will not match or exceed 39 items on any single day between 8 and 14 October in these feeds.
Called Wed 7 Oct · due Wed 14 Oct
All atlas/signal:atlas/ransomware.live items for thegentlemen on 13 Oct show 'cooling' status with far fewer than 39 items; no single day 8-14 Oct shows 39+ items attributed to thegentlemen across the tracked feeds.
Glosario de términos ante los que se espera que asientas
Totalmente parcheado(n.)
Una descripción del dispositivo que fue exacta hasta que se divulgó el tercer fallo de la cadena, que en el caso de hoy fue hace dos fallos.
§5
Desde nuestro perímetro
Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.
Nuestro propio perímetro perfiló 178 fuentes hostiles en las últimas 24 horas —114 escáneres, 49 rastreadores automáticos, 13 operadores dirigidos y un solitario atacante de fuerza bruta— que enviaron entre todas 24.431 solicitudes; 45 pasaron del reconocimiento a intentos reales de explotación, y 21 grupos de direcciones compartían una huella de comportamiento, incluido un clúster de 34 IP que se comportaban como la misma herramienta. La mayor puntuación de hostilidad fue 7,7 sobre 10, alcanzada por dos operadores distintos que pedían la misma lista curiosamente específica de archivos de WordPress bajo /login/. Un escáner envió 234 solicitudes buscando /.env.anthropic junto a /.aws/credentials.bak, lo que indica dónde figuran ahora las claves de modelos en la lista de la compra; otro logró 118 solicitudes en unos 0,3 segundos, que no es tanto reconocimiento como un estornudo. Ocho direcciones nos lanzaron CVE-2017-9841, 26 solicitudes de disparates de phpunit, porque en algún lugar todavía funciona. A lo largo del día vimos 2.898 direcciones de 103 países, 1.119 de ellas por primera vez. Los registros en bruto nunca salieron del equipo; solo los hallazgos.
178fuentes hostiles perfiladas
24.431solicitudes de ellas
45llegaron a la explotación
21clústeres de ADN compartido
7,7/10hostilidad máxima
2.898direcciones en nuestro perímetro
1.119vistas por primera vez hoy
103países
La lista WTF
WTF #1
Buscando sus claves de IA
104.199.36.53, un escáner (hostilidad 5,7/10), envió 234 solicitudes a 2 de nuestros sitios, buscando /.aws/credentials.bak, /.env.anthropic, /.env.aws, /.docker/laravel/app/.env.
Por qué es llamativoFue directo a por credenciales de IA: /.env.anthropic. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: desconocidoTue 13 Oct, 09:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · ADN d4765ccc77a2
WTF #2
El visitante más decidido
146.70.194.230, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del tablero; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoTue 13 Oct, 09:00 UTC
Detail
cadena de ataque: reconocimiento → militarización → explotación → acceso a credenciales · ADN 82a939927b85
WTF #3
Probando CVE-2017-9841 contra nosotros
8 direcciones enviaron 26 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 188.166.118.113, 167.99.44.143, 188.166.90.102.
Por qué es llamativoUn exploit conocido y con nombre que todavía se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga sobre el año las notas del parche.
attribution: desconocido
Detail
familia de sondeo: phpunit-rce
WTF #4
Mismo ADN, distintas direcciones
40.74.77.37, un escáner (hostilidad 5,9/10), envió 290 solicitudes a 3 por minuto a 2 de nuestros sitios, buscando /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Por qué es llamativo34 IP comparten una misma huella de comportamiento (ADN dfef4501b216): una herramienta o un operador que rota direcciones: 20.196.208.116, 20.24.70.216, 23.100.83.23, 2604:2dc0:101:100::1189, 20.211.27.190 y más.
attribution: desconocidoWed 14 Oct, 04:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · ADN dfef4501b216
WTF #5
La lista de la compra más extraña
203.159.90.72, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoPidió archivos que casi nadie más pide: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: desconocidoWed 14 Oct, 04:00 UTC
Detail
cadena de ataque: reconocimiento → militarización → explotación → acceso a credenciales · ADN 82a939927b85
WTF #6
Con prisa
45.138.12.28, un escáner (hostilidad 5,4/10), envió 118 solicitudes a uno de nuestros sitios, buscando /.aws/.env, /.docker/.env, /.docker/laravel/app/.env, /.env.
Por qué es llamativoLanzó 118 solicitudes en unos 0,3 segundos.
attribution: desconocidoTue 13 Oct, 09:00 UTC
Detail
cadena de ataque: reconocimiento → militarización · ADN 18e39c4b41fb
§6
Acompañamientos
Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§7
Colofón
Cómo se elaboró esta edición, sin rodeos.
La edición 17 fue elaborada por una máquina y comprobada por código. Se leyó íntegramente cada elemento publicado por 13 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (561 elementos): las estadísticas se calcularon en código, cada porción fue leída por Claude Sonnet y la estructura fue sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se basa; las noticias cuyas referencias no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Las previsiones se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: 0,90 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el objetivo o bien el problema.
561items read
24hour window
$0.90cost of this edition
04:05 UTCgenerated
Fuentes de esta mañana
Signal Atlas101ok
NVD100ok
ThreatFox100ok
RansomLook59ok
Security news50ok
ransomware.live45ok
atlas40ok
infosec.exchange38ok
RSS13ok
signal:ioc-family8ok
AlienVault OTX3ok
signal:kev2ok
CISA KEV2ok
ITEMS READ: 561|SOURCES: 13|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.90|STATUS: NO ESTÁ BIEN, PERO ES SOBREVIVIBLE
OWNER: la máquina|EDITOR: las normas|CALLS OPEN: 3|NEXT REVIEW: mañana 06:00 UK