Apertura · Vulnerabilidades

El MFA no falló en PAN-OS. Nunca se llegó a pedir

Palo Alto afirma que actores de ransomware siguen explotando CVE-2026-0257, una elusión de autenticación corregida en mayo, para levantar conexiones VPN no autorizadas y sortear la autenticación multifactor; se nombra a Qilin e INC.

confianza 0.85

La autenticación multifactor no es un muro. Es una pregunta, formulada con cortesía en una puerta, y CVE-2026-0257 es el truco de entrar por una parte del edificio donde nadie hace preguntas. Palo Alto Networks ha revelado que sigue observando la explotación del fallo —CVSS 7.8, una elusión de autenticación en PAN-OS y Prisma Access— por parte de actores de ransomware que establecen conexiones VPN no autorizadas. La difusión del informe en Mastodon lo resume sin rodeos: Qilin e INC, eludiendo el MFA, contra un error corregido en mayo. Cinco meses no son un periodo de gracia. Son una ventana con una cortina delante.

En esa misma ventana, Qilin tuvo la jornada más ruidosa de todos los actores en los feeds: una ráfaga de diecinueve elementos el 19 de octubre frente a una mediana de uno en los demás días, con reivindicaciones contra Belcorp, CREDIN, Salauno, Grupo Cronica, Dental Team FL, Johnson & Pace, SkyWorld Air Cargo, WalkingTree Technologies, GardaWorld y Toyota Canarias, y réplicas en espejos del sitio de filtraciones a continuación. INC reivindicó Seetelhotels.de y centralrogers.com en esos mismos días. Nadie ha demostrado que esas víctimas fueran alcanzadas a través del fallo de Palo Alto, y no vamos a fingir lo contrario; pero el fabricante dice que el vector sigue activo, y los actores nombrados en el aviso son los que llenan los sitios de filtraciones.

Así que la tarea de hoy es árida y concreta: confirme, por cadena de versión y no de memoria, que su parque de PAN-OS y Prisma Access instaló realmente la corrección de mayo, y después revise los registros de autenticación de la VPN en busca de sesiones que llegaron sin que nadie fuera consultado. La segunda mitad es la que la gente se salta, porque la primera es la que produce una marca verde. Un equipo parcheado habla del futuro. Los registros hablan de los cinco meses que ya han pasado.

Por qué importaSi este es su perímetro, el control compensatorio que ha venido citando ante el consejo —MFA en la VPN— es exactamente lo que el exploit elimina.

Fuentes

Today’s revelation

Una raíz de confianza no es un hecho matemático. Es una declaración sobre la peor mañana que alguien vivió durante una ceremonia de claves, conservada en su almacén de confianza durante una década.

— Sturgeon's Revelations · Probably Fine Daily No. 24

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

Ocho claves de AC eran lo bastante débiles como para recuperarlas, y cuatro programas raíz dejaron de confiar en ellas discretamente

La autoridad de certificación eMudhra revocó ocho certificados intermedios comprometidos después de que unos investigadores descubrieran que sus claves privadas eran tan débiles que cualquiera podía recuperarlas casi al instante y falsificar certificados de confianza para sitios legítimos. Go publicó el 20 de octubre las versiones 1.27.3 y 1.26.10, que hacen que su verificador rechace cualquier cadena que pase por esas ocho claves intermedias, y Mozilla, el Chrome Root Program de Google y Apple siguieron el mismo camino. Cómo llegaron las claves a ser tan débiles no queda establecido en ninguna de las informaciones de hoy. Un mensaje sobre el asunto dice, íntegramente, que las autoridades de certificación han demostrado una vez más que no se puede confiar en que hagan nada, y nadie en las respuestas lo discutió.

Por qué importaTodo lo que fije, verifique o compile con Go necesita la nueva cadena de herramientas; todo lo demás hereda la corrección de un proveedor y no le avisará de que ha ocurrido.

confianza 0.85

Fuentes

Vulnerabilidades

CISA añadió seis entradas al KEV, y cuatro de ellas son su servidor multimedia

El 20 de octubre CISA añadió CVE-2026-96652, 96654, 96655 y 96656 de Plex Media Server —dos SSRF, un fallo de esquema de URI codificado y una escritura arbitraria de archivos, descritos expresamente como encadenables—, además de CVE-2026-110936 en Siemens Software Center y CVE-2026-106931, una inyección de comandos del sistema operativo en EG Secure Solutions SiteGuard Server Edition que ejecuta comandos como root o SYSTEM. La explotación de la cadena de Plex comenzó un día después de que se hiciera público un código de prueba de concepto el 16 de octubre, y desplegaba un minero XMRig y una puerta trasera de proxy inverso para Linux, pese a que la corrección se publicó en la versión 1.43.3.10861 el 3 de agosto. Hay una discrepancia de descripción que conviene señalar: el KEV plantea que partes de la cadena requieren un administrador o un usuario autenticado, mientras que el análisis público que circula en Mastodon califica el resultado final de RCE sin autenticación. El fallo de Siemens se está utilizando en señuelos ClickFix, que combinan una copia legítima y firmada de Software Center con DLL maliciosas.

Por qué importaDos meses y medio entre el parche y el KEV significa que la población expuesta son equipos domésticos y de pequeñas empresas para los que nadie tiene un inventario de activos.

confianza 0.90

Fuentes

Malware e IOC

Siete canales de actualización de confianza en una semana, que no es tanto una coincidencia como un modelo de negocio

Una credencial de API de Microsoft 365 perteneciente a ConnectWise Cloud Backup, antes SkyKick, fue comprometida y utilizada para autenticarse en inquilinos M365 de clientes; ConnectWise suspendió el servicio, restableció cuentas y sustituyó las credenciales de aplicación, y afirma que el impacto en los clientes aún no está confirmado. Esos mismos días, un atacante utilizó la cuenta de GitHub secuestrada de un colaborador para sustituir los archivos de descarga de cinco versiones existentes de la CLI de OVHcloud por una compilación que roba secretos; las descargas de Rank Math PRO entre las 20:02 UTC del 15 de octubre y las 07:12 UTC del 16 de octubre incluían una puerta trasera que se restauraba a sí misma; claves de conexión robadas de UpdraftCentral se usaron para colocar puertas traseras en sitios WordPress; la infraestructura de actualización de AOMEI sirvió un descargador ShinyRoad a los usuarios de un software que, según el fabricante, tiene más de 100 millones de usuarios; y Zeabur cierra tras el uso por parte de un intruso de credenciales internas en texto plano para llevarse 3,2 millones de registros de variables de entorno y datos de 321.810 cuentas. OpenCode lo completa: un intruso accedió a un sistema heredado la noche del 16 de octubre y pudo haber expuesto las claves de API de OpenAI, Anthropic y Google guardadas por los usuarios.

Por qué importaSu lista de permitidos es una lista de personas cuyas credenciales forman ahora parte de su superficie de ataque; inventaríe qué proveedores tienen tokens en su inquilino y rote los que los tengan.

confianza 0.90

Fuentes

Ransomware

226 reivindicaciones en siete días, y el grupo de más rápido crecimiento publica diagramas de red en lugar de notas de rescate

El recuento de ritmo de la semana arroja 226 reivindicaciones en sitios de filtraciones de 38 de los 130 grupos monitorizados, con N0n disparado a 51 reivindicaciones frente a las 20,74 esperadas según su propio ritmo previo, iah6477 con 8 frente a 1,0 y Helix con 7 frente a 0,81. Los listados de N0n no se parecen a los de una banda de cifrado habitual: archivos de configuración de red y dispositivos de un centro de emisión audiovisual, secretos de acceso a infraestructura de pagos y topología en la nube, credenciales de administrador de alojamiento ERP y de acceso remoto, y una serie de marcadores anonimizados —Company #92 a #98— que abarcan Corea del Sur, Suiza, Trinidad y Tobago, Túnez y Etiopía. Por otra parte, Booba Project publicó siete víctimas en un día, entre ellas 295 GB atribuidos a la Research Foundation of The City University of New York; Redact listó a Baker Donelson con 355 GB en 102.390 archivos; y el FBI, junto con agencias del Reino Unido y Alemania, calificó a SafePay como uno de los grupos más activos, con más de 600 víctimas desde 2024, que accede adivinando contraseñas, explotando vulnerabilidades y mediante phishing.

Por qué importaUn grupo que empieza por credenciales y topología en lugar de por el cifrado está vendiendo acceso y capacidad de presión, lo que significa que su ventana de detección es antes de que algo se rompa, no después.

confianza 0.80

Fuentes

1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…

IA y seguridad

Una plataforma de pruebas de intrusión con IA se apuntó contra 1.200 sitios web y se puso a trabajar sin más

Al menos tres actores de amenazas han abusado de la plataforma de IA Cairn para obtener acceso persistente y robar dinero, y uno de ellos, un operador de habla china, dirigió agentes autónomos contra más de 1.200 sitios web de empresas y alcanzó a más de 100 organizaciones, entre ellas John Deere, SharkNinja y Cummins; un investigador pudo observarlo porque los operadores dejaron sus paneles de control expuestos en internet. Esos mismos dos días, NIST, CISA y la NSA publicaron diez prácticas voluntarias para prepararse, detectar, responder e informar sobre incidentes de agentes de IA descontrolados, y Microsoft dijo que las empresas deben tratar a los agentes como personal interno, concediendo acceso por tarea y restringiéndolo a medida que aumenta la puntuación de riesgo del agente. MITRE ATT&CK v20 llegó también en la ventana, catalogando el abuso de IA, la elusión del MFA y los ataques a empresas de agua con 15 nuevas estrategias de detección y 38 analíticas.

Por qué importaEl agente del atacante ya está en producción; el suyo está en un piloto con un comité de seguimiento.

confianza 0.80

Fuentes

Vulnerabilidades

PHP publica hoy parches de emergencia porque los detalles se filtraron antes

El equipo de seguridad de PHP advirtió a los administradores el 20 de octubre de que se prepararan para actualizaciones de emergencia al día siguiente —es decir, hoy— por dos vulnerabilidades críticas, después de que, según se informa, la información sobre los fallos se filtrara antes de la divulgación prevista; una publicación que circula desde anoche las identifica como CVE-2026-109618 y CVE-2026-109619. Además, hay un exploit público de prueba de concepto para CVE-2026-106173, un path traversal crítico en Fortinet FortiSIEM con CVSS 9.4 que permite la ejecución remota de código sin autenticación; Drupal ha advertido de riesgo de explotación rápida en una RCE crítica del núcleo; F5 publicó parches fuera de ciclo para tres fallos críticos de NGINX; y se informa de que una elusión de autenticación crítica en BeyondTrust Remote Support, CVE-2026-102764, está siendo explotada activamente.

Por qué importaEl momento de la divulgación es ya un dato de planificación para el atacante; si los detalles se filtran antes de la corrección, usted está en una carrera de explotación en la que no se inscribió.

confianza 0.85

Fuentes

Actores de amenazas

Las personas a las que usted llama durante una extorsión podrían haber tuteado a los extorsionadores

KrebsOnSecurity informa de que los investigadores federales estadounidenses que persiguen a ShinyHunters, el grupo que robó recientemente datos muy sensibles del FBI, han identificado a directivos de dos empresas distintas de negociación de ransomware que mantenían una relación inusualmente estrecha con el grupo extorsionador, y uno de ellos es sospechoso de dirigir un sitio de extorsión. De momento se trata de una historia de una sola fuente y las empresas no se nombran en la pieza. Llega en una semana en la que Ahold Delhaize confirmó que acciones maliciosas obligaron a dejar sin conexión los sistemas de la mayoría de sus marcas en Estados Unidos y Europa, sin que ningún grupo lo haya reivindicado.

Por qué importaLa diligencia debida sobre su panel de respuesta a incidentes es ya un control, no una formalidad de compras: pregunte quién es el dueño del negociador y con quién ha trabajado.

confianza 0.50

Fuentes

Rarezas

Las páginas de ayuda de WhatsApp ordenaban a su propio chatbot no mencionar al regulador

Las páginas de ayuda de WhatsApp contenían instrucciones ocultas para su chatbot de soporte que le indicaban no recomendar una autoridad de protección de datos o un regulador a los usuarios que ya no podían eliminar sus cuentas, una postura que contradice su propia política de privacidad europea, ya que esta dice a los usuarios que pueden presentar una queja. En el archivador semanal de lo improbable: un antiguo trabajador de OpenAI acusado de colocar una grabadora secreta en una sala de conferencias planeaba, según los fiscales, volar a Arabia Saudí, y su familia abandonó el país el día después de su detención. Y en los datos de filtraciones, el listado de Global Secret Group para Seminole Schools empareja un dominio de Florida con el sitio web de un distrito escolar de Oklahoma, lo que da una idea aproximada del cuidado con que se elaboran los registros de víctimas que todos citamos.

Por qué importaEl texto de un prompt en una página de ayuda es ya política, y nadie en gobernanza lo revisa.

confianza 0.75

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo los feeds: una observación de origen disfrazada de seis maneras, y una divulgación de un programa raíz que se adelantó a las noticias.

Exception 01
Go bloqueó las claves horas antes de que se nombrara a eMudhra
El cambio de lista de bloqueo de Go llegó el 20 de octubre entre tres y cinco horas antes de que los medios atribuyeran las ocho claves a eMudhra, con el flujo de noticias de ciberseguridad adelantándose 7,6 horas al RSS en esa entidad, y Mozilla, Google y Apple le siguieron. Esa secuencia parece una divulgación discreta y coordinada entre los operadores de programas raíz más que un descubrimiento independiente. La causa raíz de las claves débiles sigue siendo desconocida.
confianza 0.70
Wrong if
Pruebas de que la versión de Go no guardaba relación con eMudhra, o de que las claves no eran débiles.
Watch
Informes posteriores al incidente de eMudhra, el rastreador de errores de Mozilla y cualquier prueba real de emisión indebida.
Fuentes
Exception 02
Los recuentos entre fuentes de actores de ransomware son sobre todo una sola fuente, repetida
Ransomware.live precede a ransomlook en casi todas las entidades compartidas, entre 1 y 23,2 horas, y Atlas emitió un bloque de noticias de «thegentlemen» con una única marca de las 17:18 del 19 de octubre que signal:atlas repitió 29,7 horas después. La amplitud entre fuentes es, por tanto, un mal indicador de corroboración en este caso, y el aparente peso de seis fuentes detrás de Qilin debe descontarse en consecuencia.
confianza 0.70
Wrong if
Confirmaciones independientes de víctimas que lleguen a ransomlook antes que a ransomware.live.
Watch
Si el próximo recálculo de Atlas vuelve a agruparse en torno a las 17:xx.
Fuentes
1. 1ransomware.liveqilin claimed Belcorp (Retail & E-Commerce · PE) —…
Exception 03
N0n parece automatizado y solo de datos
N0n suma 34 elementos en tres fuentes, publicando al menos once víctimas en unas 24 horas y filtrando después los marcadores numerados Company #95 a #98 a la vez, con listados que destacan configuraciones de red, topología y secretos de acceso en lugar de cifrado. Ese patrón encaja con una automatización por lotes y un modelo de corredor de accesos o de extorsión de datos más que con una operación convencional de ransomware. Parte del volumen aparente se solapa con un clúster agregador de 38 elementos en la hora de las 17:00 UTC del 19 de octubre.
confianza 0.50Speculative
Wrong if
Víctimas que confirmen cifrado o interrupción operativa, o entradas numeradas que se resuelvan en víctimas con nombre a un ritmo ordinario.
Watch
Si los marcadores se desanonimizan y si la producción se mantiene por encima del ritmo semanal esperado de 20,74.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…
Exception 04
El clúster de la cadena de suministro comparte una forma, todavía no una campaña
ConnectWise, OVHcloud, Rank Math PRO, UpdraftCentral, AOMEI y Zeabur fueron todos golpeados en los mismos pocos días, y el patrón compartido es el robo de credenciales, claves y secretos de herramientas de desarrollo y administración más que cualquier exploit concreto. Que se trate de una sola campaña no está demostrado; ConnectWise apareció en OTX 3,3 horas antes de la cobertura informativa, lo que encaja con una divulgación que empieza por los indicadores.
confianza 0.50Speculative
Wrong if
Causas raíz distintas y no relacionadas, sin infraestructura ni herramientas compartidas en los indicadores de los incidentes.
Watch
Confirmación por parte de ConnectWise del impacto en clientes, y cualquier IOC coincidente entre los incidentes de OVHcloud, Rank Math y Updraft.
Fuentes

Nothing to seeLos picos de indicadores de Mozi y Mirai a las 04:06 son un feed exhalando, sin ningún significado de actor asociado. Las noticias de «crisis compuesta» de Atlas sobre Taiwán, Rusia, Colombia y Vanuatu no tienen elementos de respaldo en ningún lugar de la ventana. Los informes de Swallowtail y APT28 son casi con seguridad dos proveedores que nombran la misma actividad de espionaje rusa, no una segunda campaña. La reivindicación de 250 GB de AfD en Mastodon no está verificada y queda fuera hasta que alguien muestre su trabajo. Y los silencios posteriores a las 05:48 del 20 de octubre en atlas, KEV y Qilin son cadencia de rastreo, no calma.

Deep read: 391 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueFri 23 Oct72h
PHP publica correcciones para los dos fallos críticos señalados el 20 de octubre (comunicados como CVE-2026-109618 y CVE-2026-109619) antes de que acabe el 23 de octubre.
Wrong ifNinguna versión de PHP que aborde esos fallos a las 23:59 UTC del 23 de octubre.
Fuentes
f-2026-10-21-1
Confidence0.85
DueWed 28 Oct7d
N0n publica al menos diez víctimas más en sitios de filtraciones, según ransomware.live o ransomlook, antes del 28 de octubre, incluyendo al menos un marcador numerado previamente que se resuelva en una organización con nombre.
Wrong ifMenos de diez nuevos listados de N0n, o ningún marcador numerado desanonimizado, antes del 28 de octubre.
Fuentes
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…
f-2026-10-21-2
Confidence0.60
DueWed 4 Nov14d
CISA añade al catálogo KEV el path traversal de FortiSIEM CVE-2026-106173 antes del 4 de noviembre, tras la prueba de concepto pública.
Wrong ifCVE-2026-106173 ausente del KEV el 4 de noviembre.
Fuentes
1. 1Security newsCritical FortiSIEM Flaw Gets Public Exploit PoC for…
2. 2CISA KEVCVE-2026-96656 Plex Media Server: Plex Media Server…
f-2026-10-21-3
Confidence0.40

Scorecard

1 right · 4 open

open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
No T-Mobile item in today's feed either way; absence alone doesn't settle it.
open
CVE-2026-102255 (SonicWall SMA1000) is added to the CISA KEV catalogue.
Called Sun 11 Oct · due Wed 21 Oct
Today's KEV additions (SiteGuard, Plex x4, Siemens) don't include CVE-2026-102255, but the due date is today and the feed isn't complete.
Fuentes
1. 1CISA KEVCVE-2026-106931 EG Secure Solutions SiteGuard Serve…
open
No confirmation of a breach at KFC, MoneyGram or Confluent appears in these feeds, leaving The Gentlemen's big-brand listings unverified.
Called Sun 11 Oct · due Wed 21 Oct
No KFC, MoneyGram or Confluent confirmation appears in today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
No confirmation by any of the five appears in today's items, but absence doesn't settle a negative call.
right
CISA will add at least one of the Plex2Shell CVEs (CVE-2026-96652, -96654, -96655 or -96656) to the KEV catalogue by 3 November 2026.
Called Tue 20 Oct · due Tue 3 Nov
CISA KEV added all four Plex2Shell CVEs (96652, 96654, 96655, 96656) on 20 Oct, well before 3 Nov.
Fuentes

Glosario de términos ante los que se espera que asientas

AC intermedia (n.): Una autoridad de certificación que no es la raíz, por lo que acaba siendo una nota al pie en su almacén de confianza, una línea en las notas de una versión de emergencia de otro y algo de lo que no sabía que dependía hasta el día en que le dijeron que dejara de hacerlo.

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestro propio perímetro, entretanto, continuó con su imitación de un pueblecito costero muy aburrido. En las últimas 24 horas el sensor Adversary DNA perfiló 13 orígenes hostiles —8 escáneres, 4 rastreadores automáticos y 1 fuerza bruta— que enviaron entre todos 1.834 peticiones; dos pasaron del reconocimiento a intentos de explotación, y una huella de comportamiento (DNA dfef4501b216) cubrió dos direcciones distintas, 178.211.139.240 y 20.207.202.183, lo que equivale a una herramienta o un operador cambiándose de abrigo. La de mayor puntuación, 20.194.17.163 con 6,1 sobre 10, lanzó 50 peticiones a 26 por minuto solicitando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php —obsérvese la i mayúscula donde debería ir la l— y /bdroot.php. Otra, 94.26.106.162, pidió /.env, /.env.local, /.env.staging y /.env.development 82 veces en unos 1,7 segundos, lo que es un problema de ajuste o un entusiasmo genuino. Y dos direcciones enviaron peticiones con la forma de CVE-2015-2051 a /hnap1, porque en algún sitio sigue a la escucha un router D-Link y la esperanza es lo último que se pierde. De 6.862 direcciones vistas en nuestro perímetro en 89 países, 3.024 eran nuevas hoy. Los registros en bruto nunca salieron del equipo.

13orígenes hostiles perfilados

1.834peticiones de esos orígenes

2llegaron a la explotación

1clústeres de ADN compartido

6,7/10hostilidad máxima

6.862direcciones en nuestro perímetro

3.024vistas por primera vez hoy

89países

La lista WTF

WTF #1
El visitante más decidido
20.194.17.163, un escáner (hostilidad 6,1/10), envió 50 peticiones a 26 por minuto a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Por qué es llamativoLa mayor hostilidad del tablero; su cadena de ataque llegó hasta la fase de armamentización.
attribution: desconocidoWed 21 Oct, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA bccc30d19899
```
WTF #2
Mismo ADN, distintas direcciones
20.207.202.183, un escáner (hostilidad 6,7/10), envió 16 peticiones a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /403.php, /aaa.php.
Por qué es llamativo2 IP comparten una misma huella de comportamiento (DNA dfef4501b216): una herramienta o un operador que rota direcciones: 178.211.139.240, 20.207.202.183.
attribution: desconocidoWed 21 Oct, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA dfef4501b216
```
WTF #3
Probando CVE-2015-2051 con nosotros
2 direcciones enviaron 2 peticiones con la forma de una explotación de CVE-2015-2051 (/hnap1), entre ellas 103.213.112.213, 223.123.43.62.
Por qué es llamativoUn exploit conocido y con nombre sigue rociándose por internet; nuestro perímetro lo vio hoy, diga lo que diga la nota del parche sobre el año.
attribution: desconocido
Detail
```
familia de sondeo: dlink-hnap
```
WTF #4
La lista de la compra más extraña
74.225.146.100, un escáner (hostilidad 5,9/10), envió 50 peticiones a uno de nuestros sitios, buscando /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /wp-content/plugins/hellopress/wp_filemanager.php, /this_is_a_new_hello_world.php, /wp-Iogin.php, /bdroot.php, /c.php.
attribution: desconocidoWed 21 Oct, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA c67915f564de
```
WTF #5
Con prisa
94.26.106.162, un escáner (hostilidad 4,9/10), envió 82 peticiones a uno de nuestros sitios, buscando /.env.development, /.env, /.env.staging, /.env.local.
Por qué es llamativoLanzó 82 peticiones en unos 1,7 segundos.
attribution: desconocidoWed 21 Oct, 01:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

226claims, 7 days

38of 130 groups active

N0n51 this week · surging

thegentlemen37 this week · surging

qilin29 this week

SurgingN0n — 51 claims in 7 days against 20.7 expected from its own prior rate (p < 0.001)
Surgingiah6477 — 8 claims in 7 days against 1.0 expected from its own prior rate (p < 0.001)
SurgingHelix — 7 claims in 7 days against 0.8 expected from its own prior rate (p < 0.001)
SurgingRedact — 3 claims in 7 days against 0.3 expected from its own prior rate (p = 0.004)
Surgingthegentlemen — 37 claims in 7 days against 25.3 expected from its own prior rate (p = 0.017)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.022)

Gone quiet: xpl0itrs (62 days), CRPxO (80 days), cmdorganization (82 days), ExfilSquad (87 days).

Sector pressure, 30 days

UpTransportation — 2.3× its own prior share (72 claims, 31 expected)
UpEducation — 1.9× its own prior share (47 claims, 25 expected)
UpHealthcare — 1.5× its own prior share (115 claims, 76 expected)
DownRetail & E-Commerce — 0.7× its own prior share (44 claims, 60 expected)

22% of claims carry no sector label.

Brand churn

Of the 79 leak-site brands first seen since 2026-06-01, 79% were still claiming 30 days after their first post and 79% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 53 old enough to judge posted on one day and never again; 40% made at least half their claims in their first week. New brands this month: 10 — newest: Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims), 0x00 (2026-10-15, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 24 fue elaborada por una máquina y verificada por código. Se leyó íntegramente cada elemento publicado por 12 feeds públicos de amenazas en las 24 horas previas a las 05:05 (hora del Reino Unido) (391 elementos): estadísticas calculadas por código, cada porción leída por Claude Sonnet, la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada noticia cita los elementos en los que se apoya; las noticias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Las previsiones se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en directo de nuestros propios servidores. Costee de esta edición: 0,72 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o bien el objetivo o bien el problema.

391items read

24hour window

$0.72cost of this edition

04:05 UTCgenerated

Fuentes de esta mañana

Security news82ok
infosec.exchange72ok
RansomLook56ok
ransomware.live55ok
Signal Atlas39ok
atlas33ok
RSS22ok
AlienVault OTX13ok
signal:kev6ok
CISA KEV6ok
signal:ioc-family6ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Ocho claves de AC eran lo bastante débiles como para recuperarlas, y cuatro programas raíz dejaron de confiar en ellas discretamente

CISA añadió seis entradas al KEV, y cuatro de ellas son su servidor multimedia

Siete canales de actualización de confianza en una semana, que no es tanto una coincidencia como un modelo de negocio

226 reivindicaciones en siete días, y el grupo de más rápido crecimiento publica diagramas de red en lugar de notas de rescate

Una plataforma de pruebas de intrusión con IA se apuntó contra 1.200 sitios web y se puso a trabajar sin más

PHP publica hoy parches de emergencia porque los detalles se filtraron antes

Las personas a las que usted llama durante una extorsión podrían haber tuteado a los extorsionadores

Las páginas de ayuda de WhatsApp ordenaban a su propio chatbot no mencionar al regulador

Go bloqueó las claves horas antes de que se nombrara a eMudhra

Los recuentos entre fuentes de actores de ransomware son sobre todo una sola fuente, repetida

N0n parece automatizado y solo de datos

El clúster de la cadena de suministro comparte una forma, todavía no una campaña

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

El visitante más decidido

Mismo ADN, distintas direcciones

Probando CVE-2015-2051 con nosotros

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana