A Daily Field Report on Things That Are Probably Fine
No. 18·Jueves 15 Octubre 2026·Publicado a las 06:00 UK·Indicador Fine 3/5: No especialmente bien
Apertura · Vulnerabilidades
Ivanti publicó correcciones para dos de los tres fallos. Los atacantes llevaban tiempo usando los tres
Volexity afirma que una cadena de tres zero-days en Ivanti Connect Secure otorgaba acceso root sin autenticación en una VPN completamente parcheada, que la explotación se remonta al menos al 1 de octubre y que uno de los fallos de la cadena sigue sin corrección.
confianza0.85
El martes la noticia era un único zero-day activamente explotado en la pasarela Ivanti Connect Secure: parchear de inmediato y nada más que añadir. Al caer la tarde del martes, Volexity había descrito tres zero-days encadenados que permiten ejecutar comandos como root sin iniciar sesión; Ivanti había corregido dos de ellos y pedía a los clientes de las versiones afectadas que actuaran de inmediato. CVE-2026-104935 es el fallo principal, una elusión de autenticación que conduce a la ejecución remota de código con privilegios elevados, y las informaciones señalan que solo fue descubierto y corregido de forma parcial en julio, una frase que conviene leer despacio y luego volver a leer.
CISA ordenó a los administradores actualizar de inmediato, señalando que hay explotación en ataques zero-day desde al menos el 1 de octubre, y los honeypots han registrado 105 intentos de explotación. Ivanti fue además uno de los tres proveedores de dispositivos perimetrales que publicaron correcciones esta semana: entre Citrix, Fortinet e Ivanti parchearon 29 vulnerabilidades. Si el martes por la mañana parcheó a partir del primer titular y cerró el ticket, corrigió un fallo de una cadena de tres, y la cadena es el producto.
Esta es la parte incómoda. El equipo de acceso remoto es lo que se compró para que todos pudieran trabajar desde cualquier otro lugar, lo que significa que está expuesto a internet, guarda credenciales y se ejecuta como root cuando se le provoca. Actualice a la última versión y después investigue: nadie le ha prometido que el equipo estuviera limpio cuando llegó la corrección, y un dispositivo explotado hace dos semanas no queda libre de sospecha por un nuevo número de compilación.
Por qué importaDé por supuesta una intrusión previa al parche: parchee, después busque indicios en el dispositivo, rote todo lo que contenía y no trate el primer CVE notificado como la totalidad del incidente.
Un parche que corrige dos fallos de una cadena de tres no es una remediación; es una pausa en la escritura del atacante, a la que usted ha accedido a llamar resolución.
— Sturgeon's Revelations · Probably Fine Daily No. 18
Cada mañana06:00 UK
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§2
Principales noticias
El resto de las últimas 24 horas, con fuentes.
Vulnerabilidades
Cuatro incorporaciones al KEV en un solo lote, y dos de ellas están diseñadas para usarse juntas
CISA añadió cuatro entradas el 14 de octubre: la autenticación incorrecta de Ahsay AhsayCBS (CVE-2026-105133) y la inyección de comandos (CVE-2026-105134), que según los avisos se encadenan entre sí mediante el parámetro random; el salto de ruta relativa en Cisco Secure Email Gateway (CVE-2026-76519), que permite a un atacante remoto no autenticado escribir archivos arbitrarios en el sistema operativo; y la inyección de código en Palo Alto Networks PAN-OS (CVE-2026-0322), que permite a un atacante autenticado con acceso a la red ejecutar código como root en el cortafuegos. Palo Alto confirmó que CVE-2026-0322 fue explotado como zero-day en ataques contra cortafuegos. Uno es un servidor de copias de seguridad, otro una pasarela de correo y otro el cortafuegos, y los tres se sitúan justo donde prefieren llegar los grupos de ransomware.
Por qué importaLos dispositivos de copia de seguridad y los equipos perimetrales son el camino más corto de internet a su plan de recuperación; inventaríe hoy Ahsay, SEG y PAN-OS, no en la próxima ventana de cambios.
La pasarela de correo de Cisco está siendo atacada por correo, lo cual es, al menos, coherente desde el punto de vista temático
Cisco publicó el miércoles un aviso en el que indica que se está explotando un fallo crítico en Secure Email Gateway: un remitente sin credenciales envía un mensaje con un adjunto manipulado y, si llega, escribe archivos en el sistema operativo del dispositivo; las informaciones describen el resultado como ejecución remota de comandos sin autenticación y con privilegios de root. La entrada del KEV de CISA para el mismo producto el día anterior recoge CVE-2026-76519, salto de ruta relativa, escritura arbitraria de archivos sin autenticación. El mecanismo de entrega es lo único que no se puede desactivar, porque el dispositivo existe para aceptar correo de desconocidos.
Por qué importaParchee SEG ahora y después compruebe si contiene archivos que no deberían estar ahí; este fallo no necesita ningún clic de un usuario ni credencial de nadie.
Siete sitios de filtraciones se activaron a la vez el martes, y lockbit5 publicó cuatro víctimas en tres minutos
Frente a una mediana de cero en los demás días de la ventana, el 14 de octubre trajo ráfagas de lockbit5 (11 elementos), akira (9), eclipse (6), y dragonforce, nightspire, incransom y rhysida con cinco cada uno. Las publicaciones de lockbit5 llegaron a las 11:28, 11:29, 11:30 y 11:31, lo que apunta a una carga por lotes y no a cuatro malas noches distintas; akira publicó tres empresas de alimentación y manufactura con dos minutos de diferencia, incransom reclamó 1,53 TB de una empresa financiera brasileña, y Eclipse publicó un periódico japonés y una farmacéutica taiwanesa. Por separado, informaciones de esta semana señalan que organizaciones describen amenazas de acoso, violencia y secuestro contra su personal, y un informe de un proveedor afirma que han aumentado las amenazas físicas contra directivos y sus familias; son afirmaciones difíciles de verificar y deben tratarse como tales.
Por qué importaEl volumen de un sitio de filtraciones en un solo día mide tanto la ingesta del agregador como la semana del atacante; cuente las víctimas por semana, no por mañana, y traslade las informaciones sobre coacción a RR. HH. y a seguridad física, no al canal del SOC.
Seis días, un modelo público y una cadena completa en Chrome: el descubrimiento ha dejado en silencio de ser la parte difícil
XBOW afirma haber encadenado tres fallos entonces desconocidos de Chrome en un ataque que ejecuta código en un equipo Windows cuando el usuario simplemente carga una página, construido en seis días dirigiendo agentes de IA que usaban el modelo de OpenAI disponible públicamente, con la cadena completa de Chrome valorada en 250 000 dólares. En la misma ventana se divulgó un fallo en el subsistema vhost de Linux (CVE-2026-74580) que da a un usuario local lectura y escritura en el kernel a lo largo de casi una década de versiones y que, en una configuración de virtualización, permite a un invitado no confiable escribir en la memoria del host; un agente de pentesting con IA encontró por sí solo una elusión crítica de OTP en el inicio de sesión en producción de una gran aseguradora; y el laboratorio de Booz Allen informa de modelos de IA que cumplen todos los objetivos en ocho escenarios y alcanzan una red de control industrial desde una intrusión perimetral en poco más de 16 minutos. Las herramientas también se devoran a sí mismas: se informa de que un error en el panel de vista previa de Claude Code Desktop permite el robo sin clics de claves SSH, credenciales de AWS y tokens OAuth a los desarrolladores.
Por qué importaSu ventana de parcheo se dimensionó para un mundo en el que encontrar el fallo llevaba más tiempo que desplegar la corrección; esa suposición es ahora el control en el que confía, y no se sostiene.
El Patch Tuesday fue el mayor de la historia, y nadie se pone de acuerdo sobre cuánto
BleepingComputer contabilizó 1411 fallos y tres zero-days, uno explotado y dos divulgados públicamente; SecurityWeek contó 1413, incluido el fallo de elusión de una función de seguridad de Windows CVE-2026-96951, que está siendo explotado; el SANS Internet Storm Center contó 1417, de los cuales 76 son críticos y siete críticos no requieren ninguna acción del cliente; Krebs habló de más de 1400 y señaló que el récord de septiembre rondaba los 1000, unas diez veces la carga mensual habitual de Redmond. Adobe sumó 140 en diez productos y las actualizaciones de navegadores corrigieron otros 114. El total exacto interesa menos que el hecho de que cuatro medios competentes que leen las mismas notas de la versión llegaran a cuatro cifras distintas.
Por qué importaClasifique por explotado y alcanzable, empezando por CVE-2026-96951; una lista de parches de cuatro cifras no puede abordarse de arriba abajo por quien además pretenda dormir.
Mil millones de mensajes de phishing, 187 portátiles y una detención en un pueblo: el día de los desmantelamientos
Microsoft, Health-ISAC, el JC3 de Japón y una coalición que incluye a Resecurity, Cloudflare, Oracle, Proofpoint y TRM Labs se incautaron de dominios vinculados a los kits de phishing CoGUI, Haozi e Iron Man y al mercado YAM Store, un ecosistema asociado a más de mil millones de mensajes maliciosos dirigidos a más de 75 000 organizaciones en 150 países. El Departamento de Justicia de EE. UU. acusó a 14 personas, detuvo a dos e incautó unos 187 portátiles en más de 40 ubicaciones de Texas utilizados en tramas de trabajadores informáticos remotos norcoreanos. La policía de Macedonia del Norte, junto con el FBI, detuvo al presunto administrador del mercado de credenciales OLVX, y el Reino Unido sancionó a la plataforma de criptomonedas Cryptomus por blanqueo de capitales ruso vinculado al ransomware y a pagos en la darknet.
Por qué importaLos desmantelamientos de infraestructura desplazan la línea base del spam durante semanas, no años; espere nuevos dominios de envío y mantenga ajustadas las detecciones de phishing en lugar de cantar victoria.
Alguien subió los frigoríficos a 50 °C en cientos de supermercados franceses, y los fallos se conocían desde hacía un año
En la noche del 11 de octubre, unos atacantes tomaron el control remoto de la refrigeración de cientos de supermercados franceses y la calentaron hasta 50 °C, obligando a los establecimientos a desechar existencias, según indicaron varias cadenas; el acceso se hizo a través del controlador Danfoss que gestiona todos los frigoríficos y congeladores de una tienda. Un investigador que habló con Infosecurity Magazine afirma que los fallos que permiten precisamente este tipo de ataque de control remoto contra controladores de refrigeración se conocían desde hacía más de un año. Es un ataque con consecuencias físicas realizado a través de un canal de gestión en el que nadie de la tienda ha iniciado nunca sesión.
Por qué importaSi un tercero gestiona de forma remota cualquier elemento de su infraestructura que tenga una temperatura, un motor o una puerta, esa conexión está dentro del alcance y probablemente no figura en su registro de activos.
Un robo de criptomonedas de 86 millones de dólares, rastreado hasta una placa de circuito oculta bajo la pantalla
Los investigadores han vinculado un robo de criptomonedas de 86 millones de dólares con un implante de hardware en dispositivos de firma de Ledger: una pequeña placa de circuito oculta bajo las pantallas de los dispositivos que leía datos del usuario y los transmitía a los atacantes. Ledger ha pedido ahora a revendedores y distribuidores de Indonesia, Singapur, Tailandia, Filipinas, Vietnam, Malasia y Hong Kong que suspendan las ventas y retiren los productos de las estanterías mientras investiga la manipulación de los dispositivos. La cadena de suministro aquí no es un registro de npm; es una estantería, una caja y un mensajero.
Por qué importaLa evidencia de manipulación en el hardware que se recibe es un control, no una formalidad, y cualquier dispositivo que muestre lo que usted firma puede hacerse mostrar otra cosa.
La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.
La historia de los dispositivos perimetrales cambió de forma a mitad del ciclo, el lote del KEV fue un único suceso y no un goteo, y varios feeds enmudecieron en el mismo minuto.
Exception 01
Ivanti pasó de un zero-day a una cadena parcheada de forma incompleta en menos de dos horas de cobertura
Los primeros elementos describen una única RCE como root sin autenticación; los posteriores describen tres fallos encadenados con solo dos parcheados y una corrección de julio que fue parcial. El feed rss se adelantó a cyber-news en aproximadamente 1,8 horas. Quien actuó con la primera redacción parcheó un tercio del problema.
confianza0.60
Wrong if
Ivanti o Volexity confirman un único fallo, totalmente corregido, y la redacción de la cadena se atribuye a una paráfrasis errónea.
Watch
Actualizaciones del aviso de Ivanti, un parche para el tercer fallo y una entrada en el KEV para CVE-2026-104935.
Las incorporaciones al KEV llegaron en un solo lote y después ambos feeds del KEV se detuvieron
CVE-2026-0322 aparece en cuatro fuentes, los dos CVE de Ahsay se añadieron junto con el fallo de Cisco SEG, y tanto signal:kev como cisa-kev enmudecen después de las 09:17 del 14 de octubre, de modo que se trata de un único evento de publicación y no de un flujo constante. El vínculo con las ráfagas de ransomware del mismo día es una hipótesis plausible, nada más.
confianza0.55Speculative
Wrong if
Incorporaciones posteriores al KEV que demuestren que la detención de las 09:17 fue un artefacto de la recopilación, o informes de víctimas que no mencionen ninguno de estos vectores.
Watch
La próxima actualización del KEV y cualquier informe de incidente que nombre a Ahsay o PAN-OS como vector de entrada.
Ransomware.live suele llegar primero, con horas de ventaja
Ransomware.live precedió a signal:atlas o ransomlook en nightspire (8,7 h), aurora (7,5 h), akira (5,9 h), n0n (5,5 h), lockbit5 (5,0-5,4 h), dragonforce (4,3 h) y eclipse (1,6 h), mientras que atlas se adelantó en Wallstreet (14,1 h), Orova (10,7 h) y qilin (4,1 h). Es latencia del feed, no comportamiento del atacante, y conviene saber qué pestaña abrir primero.
confianza0.50
Wrong if
Que el orden se invierta para los mismos actores en una ventana más larga; con un solo día de datos, los pequeños desfases son indistinguibles del ruido.
Watch
Repita el análisis de adelanto y retraso durante una semana y compruebe si los actores en los que atlas se adelanta siguen escalando.
thegentlemen tuvo una ráfaga el lunes y se detuvo en el mismo minuto que los feeds del KEV
18 elementos el 13 de octubre frente a una mediana de 6, y después silencio tras las 09:17 del 14 de octubre, que es la marca de tiempo exacta en la que también se detienen dos feeds del KEV no relacionados. Un hueco en la recopilación lo explica mejor que una banda que se toma la tarde libre.
confianza0.40Speculative
Wrong if
Publicaciones de thegentlemen que aparezcan después de las 09:17 del 14 de octubre en los datos en bruto del sitio de filtraciones.
Watch
Si las víctimas de thegentlemen reaparecen el 15 y 16 de octubre y si las fuentes del KEV se reanudan.
Nothing to seeLa ventana es de aproximadamente día y medio, por lo que cada ráfaga se mide frente a una línea base casi nula y todavía ninguna tendencia es real. El clúster de siete CVE de Juniper y el CVE de Docker Hub proceden de una única fuente en nuestros feeds. Los elementos geopolíticos y los picos de Mastodon de las 03:00 UTC no muestran ningún vínculo oculto, y nada relaciona las nuevas entradas del KEV con ninguna víctima de ransomware con nombre.
Deep read: 470 artículos leídos
§4
Previsión
Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.
Today’s calls
DueCallConfidence
DueThu 22 Oct7 days
CVE-2026-104935 (Ivanti Connect Secure) aparece en el catálogo KEV de CISA antes de las 23:59 UTC del 22 de octubre de 2026.
Wrong ifNo hay entrada KEV para CVE-2026-104935 en el feed cisa-kev en ese momento.
Ivanti publica una corrección o una mitigación formal para el tercer fallo, aún sin parchear, de la cadena de Connect Secure antes del 25 de octubre de 2026.
Wrong ifNo aparece en los feeds rss ni cyber-news, en esa fecha, ninguna actualización del aviso de Ivanti que cubra el tercer fallo.
Calls made today are graded here from tomorrow. Including the wrong ones. Especially the wrong ones.
Glosario de términos ante los que se espera que asientas
Parcheado parcialmente(n.)
Situación en la que el proveedor ha dejado de pensar en el problema y el cliente aún no ha empezado. Véase también: julio, cuando se corrigió por primera vez.
§5
Desde nuestro perímetro
Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.
Nuestro sensor perimetral perfiló 140 fuentes hostiles en 24 horas, 97 escáneres, 32 rastreadores automáticos, 10 operadores dirigidos y un investigador, que enviaron entre todos 22 444 solicitudes; 37 fueron más allá de mirar e intentaron algo, y 18 grupos de direcciones compartían una huella de comportamiento, uno de ellos con 28 direcciones bajo un único ADN (dfef4501b216), que es una sola herramienta o un solo operador rotando equipos y llamándolo diversidad. Los dos visitantes más hostiles, 203.159.90.72 y 146.70.194.252, puntuaron ambos 7,7 sobre 10 y ambos pidieron educadamente /login/xmlrpc.php y tres variantes de wlwmanifest.xml, alcanzando el acceso a credenciales en la cadena de ataque. 193.32.204.199 lanzó 51 solicitudes de .git/config en unos 0,8 segundos, lo que no es navegar. 35.245.136.185 envió 260 solicitudes en busca de /.env, /.env.local y /.env.production, la coincidencia de campaña más fiable del sensor en el día, con un 58 por ciento. Y tres direcciones enviaron 14 solicitudes con la forma de CVE-2017-9841 a la ruta /vendor/phpunit/, porque en algún sitio a un escáner nunca se le ha avisado. En el conjunto del día: 3311 direcciones en nuestro perímetro, 1461 de ellas vistas por primera vez, procedentes de 114 países. Los registros en bruto permanecieron en el servidor; solo salieron las conclusiones.
140fuentes hostiles perfiladas
22 444solicitudes de estas fuentes
37llegaron a la explotación
18clústeres de ADN compartido
7,7/10máxima hostilidad
3311direcciones en nuestro perímetro
1461vistas por primera vez hoy
114países
La lista WTF
WTF #1
El visitante más decidido
203.159.90.72, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del panel; su cadena de ataque alcanzó el acceso a credenciales.
attribution: desconocidoWed 14 Oct, 06:00 UTC
Detail
cadena de ataque: reconocimiento → preparación del arma → explotación → acceso a credenciales · ADN 82a939927b85
WTF #2
Mismo ADN, distintas direcciones
40.74.77.37, un escáner (hostilidad 5,9/10), envió 290 solicitudes a un ritmo de 3 por minuto a 2 de nuestros sitios, buscando /atomlib.php, /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /file.php.
Por qué es llamativo28 IP comparten una misma huella de comportamiento (ADN dfef4501b216): una sola herramienta o un solo operador que rota direcciones: 20.196.208.116, 20.211.27.190, 74.0.32.199, 34.116.172.94, 35.237.174.50 y más.
attribution: desconocidoWed 14 Oct, 06:00 UTC
Detail
cadena de ataque: reconocimiento → preparación del arma · ADN dfef4501b216
WTF #3
Probando CVE-2017-9841 contra nosotros
3 direcciones enviaron 14 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 170.64.160.127, 209.38.25.221, 94.26.0.103.
Por qué es llamativoUn exploit conocido y con nombre que aún se sigue lanzando contra internet; nuestro perímetro lo vio hoy, digan lo que digan las notas de parche sobre el año.
attribution: desconocido
Detail
familia de sondeo: phpunit-rce
WTF #4
La lista de la compra más extraña
146.70.194.252, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, buscando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoPidió archivos que casi nadie más pide: /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml, /login/wordpress/wp-incl.
attribution: desconocidoWed 14 Oct, 06:00 UTC
Detail
cadena de ataque: reconocimiento → preparación del arma → explotación → acceso a credenciales · ADN 82a939927b85
Por qué es llamativoLanzó 51 solicitudes en unos 0,8 segundos.
attribution: desconocidoWed 14 Oct, 23:00 UTC
Detail
cadena de ataque: reconocimiento → preparación del arma → explotación · ADN 6e70267a94d8
WTF #6
Alguien a quien quizá conozcamos
35.245.136.185, un escáner (hostilidad 6,4/10), envió 260 solicitudes a uno de nuestros sitios, buscando /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativoLa coincidencia de campaña más fiable del sensor en el día: escáner automatizado de descubrimiento de credenciales en .env, con un 58 %.
attribution: Escáner automatizado de descubrimiento de credenciales en .env (mejor coincidencia del sensor, 58 %)Wed 14 Oct, 23:00 UTC
Detail
cadena de ataque: reconocimiento → preparación del arma · ADN 83562bd8e880
§6
Acompañamientos
Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.
Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.
Un correo al día. El periódico completo. Cancela la suscripción con un clic.
§7
Colofón
Cómo se elaboró esta edición, sin rodeos.
La edición 18 fue elaborada por una máquina y verificada por código. Se leyó íntegramente cada elemento publicado por 12 feeds públicos de amenazas en las 24 horas previas a las 05:05 (hora del Reino Unido) (470 elementos): las estadísticas se calcularon en código, cada porción fue leída por Claude Sonnet y la estructura fue sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se apoya; las noticias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Las previsiones se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataques en vivo de nuestros propios servidores. Costee de esta edición: 0,77 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el sentido o bien el problema.
470items read
24hour window
$0.77cost of this edition
04:05 UTCgenerated
Fuentes de esta mañana
ThreatFox100ok
Security news97ok
infosec.exchange77ok
atlas49ok
Signal Atlas45ok
RansomLook26ok
RSS23ok
ransomware.live22ok
signal:ioc-family12ok
AlienVault OTX11ok
signal:kev4ok
CISA KEV4ok
ITEMS READ: 470|SOURCES: 12|STORIES DROPPED FOR LACK OF RECEIPTS: 0|COST: $0.77|STATUS: NO ESPECIALMENTE BIEN
OWNER: la máquina|EDITOR: las normas|CALLS OPEN: 3|NEXT REVIEW: mañana 06:00 UK