Apertura · Vulnerabilidades

Ayer se explotaron cuatro productos de perímetro. El catálogo añadió una sola entrada, y no era ninguno de ellos

Cisco, Palo Alto, Ivanti y Collabora informaron de explotación real en la misma ventana, mientras que la lista de vulnerabilidades explotadas conocidas de CISA añadía un fallo de exposición de archivos de Atlassian con un EPSS de 0.02777.

confianza 0.88

Cisco advirtió de que atacantes remotos no autenticados pueden escribir archivos arbitrarios en el sistema operativo de Secure Email Gateway y ejecutar comandos con privilegios de root, y de que se está explotando. Palo Alto Networks publicó una corrección para CVE-2026-0322, CVSS 8.6, un fallo de ejecución remota de código en la interfaz de gestión de PAN-OS, descrito por un informe como un zero-day explotado y por otro como autenticado y limitado al plano de gestión; el fabricante afirma tener constancia de una explotación limitada y ha publicado IoC. Ivanti lanzó actualizaciones de emergencia después de que los atacantes encadenaran tres zero-days de Connect Secure, registrados en torno a CVE-2026-104935, para obtener acceso root sin autenticarse. Y unos actores de amenazas están instalando puertas traseras en servidores Nextcloud mediante CVE-2026-110447 en la aplicación integrada CODE Server de Collabora Online.

Frente a todo ello, el catálogo de Vulnerabilidades Explotadas Conocidas añadió exactamente una cosa: CVE-2026-21589, un fallo de archivos o directorios accesibles a terceros externos que afecta a Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible y Fisheye Data Center, con un EPSS de 0.02777. No es una crítica al catálogo. El catálogo es un registro de pruebas que han superado un proceso, y los procesos tienen su velocidad. Es una crítica a usarlo como único reloj, porque cuando algo queda escrito lleva ya un tiempo siendo cierto, y la parte de su infraestructura que estaba expuesta lo estuvo todo ese tiempo.

El orden honesto para esta mañana: primero, cualquier activo suyo con una interfaz de gestión que responda a internet abierto; después, los servidores Nextcloud; y por último, Atlassian. Una interfaz de gestión en la internet pública es la puerta de un dormitorio con un timbre. Ya que está en ello, Drupal corrigió el 14 de octubre un fallo crítico de Field UI en las versiones 11.4.10, 11.3.19 y 10.6.19; Next.js publicó ese mismo día un parche fuera de ciclo para dos RCE críticas sin autenticación; y NGINX lanzó las versiones 1.30.6 y 1.31.7 para cinco problemas, uno de los cuales ha estado presente en todas las versiones desde mayo de 2005. Veintiún años no es una ventana de vulnerabilidad. Es un contrato de alquiler.

Por qué importaEl orden de parcheo de hoy es primero la evidencia de explotación y después el catálogo: dispositivos de perímetro con planos de gestión expuestos, luego Nextcloud/Collabora y, por último, Atlassian Data Center.

Fuentes

Today’s revelation

Una vulnerabilidad pasa a ser «explotada activamente» el día en que alguien termina el papeleo. Fue explotada bastante antes, y nadie envió una invitación de calendario.

— Sturgeon's Revelations · Probably Fine Daily No. 19

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Actores de amenazas

El anuncio se cargó. Ese fue todo el ataque

Citizen Lab afirma que dispositivos de Al Jazeera fueron infectados con el spyware Candiru distribuido mediante anuncios en línea segmentados corrientes, una técnica que los investigadores denominan AdFection y que describen como la primera confirmación pública de spyware mercenario de cero clics distribuido a través de anuncios. Sin clic ni acción del usuario: el código oculto se ejecutaba en el momento en que se cargaba el anuncio y, en algunos casos, el anuncio se renderizaba fuera de pantalla, en segundo plano. OTX publicó el informe aproximadamente una hora y media antes de que lo recogieran los agregadores de noticias, y Mastodon hizo después lo que Mastodon suele hacer.

Por qué importaSi una impresión publicitaria es una primitiva de ejecución, el bloqueo de anuncios deja de ser una cuestión de preferencias y pasa a ser un control con un modelo de amenazas detrás.

confianza 0.80

Fuentes

Ransomware

Setenta y siete elementos en un sitio de filtraciones en una hora no son una ola de delincuencia, son una tarea programada

De los 514 elementos de la ventana, 259 correspondieron al 15 de octubre y 77 a la hora de las 22:00 únicamente, frente a una media de 10.1 elementos por hora; Qilin acumuló 47 elementos en el día, N0n 28, Akira 17 y LockBit5 17, frente a medianas cercanas a cero. Las víctimas son bastante reales —Qilin publicó Brame Telecom, Commune Du Tampon, Chattanooga Shooting Supplies, HyperGen y Hocon Gas en tres minutos, Akira publicó Sun Valley Dairy, Videk y un despacho de abogados de Arizona, LockBit5 publicó cinco organizaciones en siete minutos—, pero el reloj es el del script de publicación, no el de las intrusiones. Y los dos rastreadores no son dos testigos: ransomware.live precede a ransomlook entre una y cinco horas en casi todas las entidades compartidas, de modo que cuatro fuentes sobre Qilin son en realidad un único sitio de filtraciones, rastreado dos veces y luego señalizado.

Por qué importaCuente víctimas, no publicaciones, y trate una ráfaga como un calendario de publicación hasta que una segunda fuente genuinamente independiente diga lo contrario.

confianza 0.75

Fuentes

Ransomware

Siete organizaciones publicadas en unos cuatro minutos, todas etiquetadas como Salesforce

Entre las 15:31 y las 15:35, un grupo que se hace llamar «the seven deadly sins» publicó siete anuncios con cuentas atrás de 60 y 72 horas: Canva con más de 200M de filas y más de 2M de registros de Salesforce CRM, iHeartJane con más de 19M con datos de Case/Contact/Account, Harness con más de 2.5M de leads y contactos, Verano con más de 2.4M, incluido historial de fidelización y facturas, Globeia con más de 920K, Cradlewise con más de 3.2M y Hospital Sírio-Libanês con más de 3.5M. Las afirmaciones no están verificadas, los textos parecen presentaciones para inversores, hasta el «Company value ~$40B val», y la mezcla de víctimas no encaja con comodidad tras un único compromiso de aplicación conectada, lo que significa o varias vías de entrada o inflación. Las cuentas atrás vencen en torno al 18-19 de octubre, que es cuando sabremos cuál de las dos.

Por qué importaSi usa Salesforce, hoy es el día de inventariar aplicaciones conectadas, usuarios de integración y tokens de API en lugar de esperar al temporizador.

confianza 0.60

Actores de amenazas

Unos 700 supermercados franceses, controladores de refrigeración sin parchear y nadie lo ha reivindicado

El ataque a la refrigeración del comercio minorista francés se ha extendido a los controladores Copeland y Dixell, con unas 700 tiendas afectadas y ningún grupo que haya reivindicado la autoría. Un informe complementario cifra la pérdida en cientos de tiendas y millones de euros, y atribuye la causa de lleno a firmware OT obsoleto gestionado por terceros. Es todo el patrón moderno en una frase: el activo es suyo, el firmware es el contrato de otro y el parche no es el martes de nadie.

Por qué importaPregunte hoy mismo, por escrito, a sus proveedores de instalaciones y de servicios gestionados qué firmware de controlador ejecutan y cuándo se actualizó por última vez.

confianza 0.65

Fuentes

Política

La brecha de la Legal Aid Agency no se ha hecho mayor. Se ha hecho más antigua

La Legal Aid Agency, una agencia ejecutiva del Ministerio de Justicia, afirma que los atacantes que vulneraron sus sistemas en abril de 2025 se llevaron registros que se remontan a 1978, tras una revisión forense que amplió el alcance divulgado anteriormente. Otra versión sostiene que la mayoría de los datos corresponden a solicitudes, reclamaciones y pagos presentados entre 2007 y 2025, por lo que ambas cifras todavía no se han conciliado públicamente. El primer informe se adelantó unas seis horas a la prensa de seguridad principal, lo que dice algo sobre dónde aflora realmente la divulgación.

Por qué importaLas declaraciones de alcance se mueven durante dieciocho meses después de un incidente; trate la primera cifra como provisional y planifique la capacidad de notificación para la posterior.

confianza 0.70

Fuentes

IA y seguridad

Los agentes realizaron buena parte de un ataque, y los escáneres ahora buscan sus claves de modelos

Los investigadores informan del primer incidente confirmado en el que agentes impulsados por modelos de lenguaje de gran tamaño ejecutaron partes sustanciales de un ataque, pasando de un endpoint de envío de trabajos expuesto a la toma total del servidor en 24 horas, mientras que el infostealer Aoki ha añadido a su lista de recolección credenciales de Claude, Codex de OpenAI, Cursor, Codeium y Gemini. Nuestro propio perímetro vio ese mismo cambio en miniatura durante la noche: un escáner envió 442 solicitudes en busca de /.env, /.env.local y /.env.development, con /gemini.env en el mismo barrido. Conviene conservar el contrapeso: un análisis sostiene que la IA está embruteciendo los ataques y que los actores serios apenas la tocan, y ANY.RUN vinculó 1,258 análisis públicos de sandbox con campañas que meramente suplantan productos de IA entre abril y octubre de 2026. Ambas cosas son ciertas, que es lo incómodo.

Por qué importaLas claves de API de modelos deben entrar en el mismo inventario, calendario de rotación y sistema de alertas que las credenciales en la nube, empezando por lo que haya en sus repositorios.

confianza 0.70

Fuentes

Malware e IOC

Un dominio con aspecto de cortafuegos que aloja decenas de rutas C2 de Vidar, y asistentes de Arch envenenados

ThreatFox ingirió decenas de URL de mando y control de Vidar en aproximadamente un minuto, repartidas entre los subdominios ih., yk. y ti. de 888-fw.com con identificadores de ruta cortos por campaña, como /wu, /m42 y /q1d. El mismo lote incluía seis listeners de Sliver en el puerto 31337 y un C2 de Cobalt Strike en 44.214.239.245:443, lo que confirma el viejo chiste de que los valores por defecto son eternos. Por separado, un actor de amenazas subió paquetes maliciosos al Arch User Repository suplantando a los populares asistentes yay y paru, e introdujo malware que se ejecuta con privilegios de root.

Por qué importaBloquee hoy los subdominios de 888-fw.com y las direcciones C2 listadas, y compruebe cuáles de sus ingenieros instalaron un asistente de AUR esta semana.

confianza 0.70

Fuentes

1ThreatFoxSliver IOC: 64.227.97.214:31337 (ip:port) — Indicat…

Rarezas

El sitio de filtraciones que no supo identificar a su propia víctima

El actor iah6477 publicó una víctima llamada «hensley» con una descripción generada por IA que decía, con toda sinceridad, que el nombre por sí solo no basta para identificar a una empresa concreta porque varias compañías operan con él; otro de sus anuncios etiqueta camden-living como GB mientras describe una inmobiliaria estadounidense; y el mismo grupo aparece en el otro rastreador como iah647. La extorsión ha llegado a la fase de externalizar la investigación de sus víctimas a un modelo que se anda con evasivas. En otro lugar de la columna de lo extraño, a un fallo del kernel que permite a código dentro de una máquina virtual leer la memoria del host se le ha asignado el número CVE-2026-99999, apodado PwnEscape, demostrado contra los sandboxes en la nube en producción de Vercel y confirmado por Vercel.

Por qué importaLos nombres de actores, las etiquetas de país y las descripciones de víctimas de los rastreadores de sitios de filtraciones son contenido generado; verifíquelos antes de que nada de ello llegue a una notificación a clientes.

confianza 0.60

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo los agregadores: un sitio de filtraciones rastreado dos veces y contado cuatro, una historia genuina de tres fuentes y una ventana de publicación por lotes que explica la mayor parte del «repunte» de ayer.

Exception 01
Los dos rastreadores de ransomware son un solo testigo
Para casi todas las entidades compartidas, ransomware.live aparece entre una y cinco horas antes que ransomlook, y a veces entre diez y veinticuatro horas antes que Atlas, de modo que los recuentos multifuente sobre actores como Qilin están inflados por el rastreo de los mismos sitios de filtraciones y no por corroboración.
confianza 0.80
Wrong if
Los elementos de Ransomlook llevan marcas de primera aparición anteriores para las mismas filtraciones, o citan material fuente independiente.
Watch
Si el orden se mantiene en ventanas posteriores; de ser así, use ransomware.live como señal más temprana y descuente el resto.
Fuentes
1. 1ransomware.liveqilin claimed Brame Telecom (Technology · BR) — N/A
2. 2RansomLookqilin leaked Brame Telecom — Business Services
Exception 02
La hora de las 22:00 hizo el trabajo pesado
259 de 514 elementos correspondieron al 15 de octubre y 77 a la sola hora de las 22:00, frente a una media de 10.1 por hora, con Qilin, Akira, LockBit5, N0n, Interlock e incransom representados, lo que apunta a una publicación por lotes y no a un cambio genuino del ritmo operativo.
confianza 0.60Speculative
Wrong if
Los recuentos diarios por actor se mantienen elevados del 16 al 18 de octubre en lugar de volver a la línea base.
Watch
Recuentos diarios por actor durante los próximos tres días, y si Atlas sigue etiquetando a los mismos actores como en escalada y en enfriamiento a la vez.
Fuentes
1. 1Security newsSecTor 2026 Reveals a Rapidly Shifting Cybersecurit…
2. 2RansomLookqilin leaked Telcoe Federal Credit Union — Banking
Exception 03
N0n publica anuncios anonimizados con sabor a cadena de suministro
N0n publicó unas ocho entradas «Company #NN» en quince horas marcadas como PENDING EXPOSURE, entre ellas una empresa de aseguramiento de calidad de software vinculada a un entorno de pruebas de Wolters Kluwer/CCH Axcess y un integrador de edificios inteligentes y videovigilancia cuyo anuncio afirma tener todos los sitios, dispositivos, usuarios y credenciales de sus clientes, lo que implica una exposición posterior muy superior a la de la víctima nombrada.
confianza 0.55Speculative
Wrong if
Los temporizadores vencen sin desanonimización, o los entornos nombrados resultan ser datos de prueba sin relación.
Watch
Desanonimización cuando venzan los temporizadores de PENDING EXPOSURE, y cualquier declaración de los clientes del integrador.
Exception 04
La etiqueta de PAN-OS no concuerda consigo misma
Un informe presenta el fallo de PAN-OS como un zero-day explotado que permite la ejecución remota de código; otro describe CVE-2026-0322, CVSS 8.6, como ejecución remota de código en la interfaz de gestión bajo explotación activa. Su exposición real depende de si esa interfaz responde desde internet.
confianza 0.55
Wrong if
Palo Alto confirma la explotación real de una vía sin autenticación, o aclara el requisito de autenticación.
Watch
Adiciones a KEV de PAN-OS, Cisco Secure Email Gateway e Ivanti Connect Secure durante los próximos tres días.
Fuentes
Exception 05
Los metadatos de los rastreadores son generados, no observados
El mismo actor aparece como iah6477 e iah647 en dos rastreadores, las descripciones de víctimas están marcadas como generadas por IA y contradicen sus propias etiquetas de país, y Atlas asigna N0n a CA y thegentlemen a AG, BZ, TH, TW y FI, por lo que conviene descontar la geografía y los recuentos de estas fuentes.
confianza 0.65
Wrong if
Las comprobaciones a nivel de víctima confirman los países etiquetados y la identidad única del actor.
Watch
Si los alias se fusionan y si las listas de países de Atlas se estabilizan en ejecuciones posteriores.
Fuentes
1. 1RansomLookiah647 leaked alera — status: public | hosting: pre…

Nothing to seeEl volumen de Siemens y NVD es el momento de publicación del Patch Tuesday, no una campaña; los clústeres de CVE de baja calidad de la misma fábrica de divulgación carecen de estructura entre fuentes; los elementos vinculados a Estados (Silent Lynx, PEERSTITCH) y las desarticulaciones de kits de phishing aparecieron una vez cada uno y no pasaron de ahí. Que NVD enmudeciera tras el 14 de octubre a las 23:22 se debe casi con seguridad al procesamiento por lotes de la ingesta y no a un silencio real, y solo se leyó un día de datos, así que aquí nadie afirma que haya una tendencia.

Deep read: 514 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueFri 23 Oct7 days
CISA KEV añade al menos uno de los fallos de PAN-OS (CVE-2026-0322), Ivanti Connect Secure (cadena CVE-2026-104935) o Cisco Secure Email Gateway antes del 23 de octubre.
Wrong ifKEV no incluye ninguno de estos tres productos en una entrada fechada el 23 de octubre o antes.
Fuentes
f-2026-10-16-1
Confidence0.60
DueFri 23 Oct7 days
Tras el vencimiento de las cuentas atrás de 60 y 72 horas el 18-19 de octubre, al menos una de las siete organizaciones listadas por «the seven deadly sins» tendrá datos publicados en el sitio de filtraciones o emitirá una declaración pública, antes del 23 de octubre.
Wrong ifLos siete anuncios siguen en cuenta atrás o desaparecen discretamente, sin publicación ni declaración de la víctima, el 23 de octubre.
f-2026-10-16-2
Confidence0.45
DueWed 21 Oct5 days
Qilin no sostendrá el volumen de ayer: al menos un día entre el 17 y el 21 de octubre mostrará menos de diez elementos de Qilin en el sitio de filtraciones, según ransomware.live.
Wrong ifTodos los días del 17 al 21 de octubre registran diez o más publicaciones de Qilin en ransomware.live.
Fuentes
f-2026-10-16-3
Confidence0.75

Scorecard

2 right · 1 partly · 1 wrong · 2 open

wrong
Rejetto HFS CVE-2026-61500 picks up either an NVD record or a KEV listing in these feeds by 16 October.
Called Tue 6 Oct · due Fri 16 Oct
Due date is today (16 October) and no NVD record or KEV listing for CVE-2026-61500 appears in any of today's feed items.
right
CVE-2026-21589, the Atlassian Data Center flaw already under attack, is added to the CISA KEV catalogue.
Called Fri 9 Oct · due Mon 19 Oct
CISA KEV added CVE-2026-21589 on 15 October 2026, before the 19 October deadline.
Fuentes
1. 1CISA KEVCVE-2026-21589 Atlassian Multiple Products: Atlassi…
open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Due date is today (16 October) and no T-Mobile breach notification or verified data sample appears in today's feeds.
open
At least one of N0n's duplicated listings (Companies #19 to #23 or #25 to #29) is removed, merged or retagged on ransomware.live or ransomlook by 16 October.
Called Mon 12 Oct · due Fri 16 Oct
Due date is today (16 October); no items in today's feeds confirm removal/merge/retag of N0n's duplicate listings #19-#23 or #25-#29, but also no explicit confirmation all remain unchanged.
partly
Wallstreet posts at least three further Swedish victims to its leak site.
Called Wed 14 Oct · due Wed 21 Oct
One Wallstreet SE-tagged victim (TGM Manufacturing, US) posted but US-tagged, not Swedish; only one new entry visible; deadline 21 October not yet passed.
right
lockbit5 posts at least three further named victims to ransomware.live by 20 October 2026.
Called Thu 15 Oct · due Tue 20 Oct
lockbit5 posted at least 5 new named victims (grupoabg.com, neweramachines.com, lcww.com.eg, kidzrkooldental.com, torcivialaw.com) on ransomware.live on 15 October, meeting the threshold of three before the 20 October deadline.
Fuentes

Glosario de términos ante los que se espera que asientas

Interfaz de gestión (n.): La parte del dispositivo a la que solo se accede desde la red interna, salvo las que son accesibles desde internet, que es normalmente como descubrimos de qué tipo tenemos.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio sensor de perímetro perfiló 86 fuentes hostiles en las últimas 24 horas —62 escáneres, 18 rastreadores automáticos, 5 operadores dirigidos y 1 atacante de fuerza bruta— que enviaron entre todos 16,405 solicitudes, de las cuales 18 pasaron del reconocimiento a intentos de explotación reales, y 6 grupos de direcciones compartían una huella de comportamiento. La mayor hostilidad del tablero fue de 8.5 sobre 10; el visitante perfilado más decidido, 146.70.40.70, con 7.7, envió solo 20 solicitudes y aun así llegó al acceso a credenciales, lo que es un útil correctivo para quien clasifica las amenazas por volumen. 45.138.12.185 envió 442 solicitudes en busca de archivos de entorno, entre ellos /gemini.env; diecisiete direcciones compartieron el ADN dfef4501b216 mientras buscaban /.git/config y /.env.production; 92.118.39.126 lanzó 24 solicitudes en una décima de segundo; dos hosts, 209.38.91.228 y 94.26.0.103, rociaron quince solicitudes con la forma de CVE-2017-9841 contra rutas de phpunit, un exploit de nueve años que sigue ganándose el sustento. A lo largo del día, 2,807 direcciones llegaron a nuestro perímetro desde 90 países y 993 de ellas eran nuevas para nosotros. Los registros en bruto nunca salieron del servidor; solo lo hicieron estos hallazgos.

86fuentes hostiles perfiladas

16,405solicitudes procedentes de ellas

18llegaron a la explotación

6clústeres de ADN compartido

8.5/10hostilidad máxima

2,807direcciones en nuestro perímetro

993vistas por primera vez hoy

90países

La lista WTF

WTF #1
Buscando sus claves de IA
45.138.12.185, un escáner (hostilidad 4.4/10), envió 442 solicitudes a uno de nuestros sitios, en busca de /.env, /.env.local, /.env.development, /config.php.
Por qué es llamativoFue directo a por credenciales de IA: /gemini.env. Las claves de API de modelos figuran ya en la lista de la compra de los escáneres junto a las claves de la nube.
attribution: desconocidoFri 16 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización → explotación · ADN f54b5889aafb
```
WTF #2
El visitante más decidido
146.70.40.70, un operador dirigido (hostilidad 7.7/10), envió 20 solicitudes a uno de nuestros sitios, en busca de /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del tablero; su cadena de ataque llegó hasta el acceso a credenciales.
attribution: desconocidoFri 16 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización → explotación → acceso a credenciales · ADN 82a939927b85
```
WTF #3
Probando CVE-2017-9841 con nosotros
2 direcciones enviaron 15 solicitudes con la forma de una explotación de CVE-2017-9841 (/vendor/phpunit/phpunit/…), entre ellas 209.38.91.228, 94.26.0.103.
Por qué es llamativoUn exploit conocido y con nombre propio que todavía se rocía por internet; nuestro perímetro lo vio hoy, diga lo que diga el año en las notas del parche.
attribution: desconocido
Detail
```
familia de sondeo: phpunit-rce
```
WTF #4
Mismo ADN, distintas direcciones
34.130.52.167, un escáner (hostilidad 6.3/10), envió 277 solicitudes a uno de nuestros sitios, en busca de /.git/config, /.env, /.env.local, /.env.production.
Por qué es llamativo17 IP comparten una huella de comportamiento (ADN dfef4501b216): una misma herramienta o un mismo operador que rota direcciones: 20.197.26.190, 20.204.146.105, 151.240.45.25, 95.153.31.12, 167.172.90.23 y más.
attribution: desconocidoFri 16 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización · ADN dfef4501b216
```
WTF #5
La lista de la compra más extraña
20.214.147.109, un operador dirigido (hostilidad 6.2/10), envió 113 solicitudes a 2 de nuestros sitios, en busca de /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /z70.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /3PJcpMFsD8B.php, /z70.php, /1.php.
attribution: desconocidoFri 16 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización → explotación · ADN 938595d2ae44
```
WTF #6
Con prisa
92.118.39.126, un escáner (hostilidad 6.2/10), envió 24 solicitudes a uno de nuestros sitios, en busca de /dev/.git/config, /.git/HEAD, /admin/.git/config, /app/.git/config.
Por qué es llamativoLanzó 24 solicitudes en unos 0.1 segundos.
attribution: desconocidoFri 16 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → militarización · ADN 30414a1527be
```

§6

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§7

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 19 fue elaborada por una máquina y comprobada por código. Se leyó íntegramente cada elemento publicado por 13 fuentes públicas de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (514 elementos): estadísticas calculadas por código, cada porción leída por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en los que se apoya; las historias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Las previsiones se evalúan públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: $0.98. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la ha editado a mano, lo cual es o bien el objetivo o bien el problema.

514items read

24hour window

$0.98cost of this edition

04:05 UTCgenerated

Fuentes de esta mañana

NVD100ok
ThreatFox100ok
Signal Atlas81ok
Security news57ok
RansomLook54ok
infosec.exchange38ok
ransomware.live37ok
atlas18ok
AlienVault OTX10ok
RSS9ok
signal:ioc-family8ok
signal:kev1ok
CISA KEV1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

El anuncio se cargó. Ese fue todo el ataque

Setenta y siete elementos en un sitio de filtraciones en una hora no son una ola de delincuencia, son una tarea programada

Siete organizaciones publicadas en unos cuatro minutos, todas etiquetadas como Salesforce

Unos 700 supermercados franceses, controladores de refrigeración sin parchear y nadie lo ha reivindicado

La brecha de la Legal Aid Agency no se ha hecho mayor. Se ha hecho más antigua

Los agentes realizaron buena parte de un ataque, y los escáneres ahora buscan sus claves de modelos

Un dominio con aspecto de cortafuegos que aloja decenas de rutas C2 de Vidar, y asistentes de Arch envenenados

El sitio de filtraciones que no supo identificar a su propia víctima

Los dos rastreadores de ransomware son un solo testigo

La hora de las 22:00 hizo el trabajo pesado

N0n publica anuncios anonimizados con sabor a cadena de suministro

La etiqueta de PAN-OS no concuerda consigo misma

Los metadatos de los rastreadores son generados, no observados

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

Buscando sus claves de IA

El visitante más decidido

Probando CVE-2017-9841 con nosotros

Mismo ADN, distintas direcciones

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana