La caja que compró para blindar el perímetro es ahora la puerta de entrada, y esta vez el atacante no quería sus datos

Vulnerabilidades

Tres entradas más en KEV, y una de ellas es un demonio de IRC, porque internet nunca borra nada de verdad

Junto a Check Point, la CISA añadió CVE-2026-114713 en UnrealIRCd —una neutralización incorrecta de delimitadores que permite a cualquier usuario de una red con dos o más servidores enlazados inyectar comandos entre servidores que se ejecutan con la autoridad del servidor— y, esta mañana, CVE-2026-5430 en WSO2 API Control Plane, API Manager, Traffic Manager y Universal Gateway (salto de directorios, subida de archivos sin restricciones y ejecución remota de código) y CVE-2026-71362 en Adobe Commerce y Magento (autorización incorrecta, acceso elevado a recursos sensibles, sin interacción del usuario). Entretanto, el ISC informa de intentos de explotación en vivo contra CVE-2026-102895, una elusión de autenticación trivial en GPUStack que afecta a todas las versiones anteriores a la 2.2.0, publicada a finales de junio. GPUStack gestiona clústeres de GPU, que ejecutan cargas de trabajo de IA, que es donde está ahora mismo el dinero.

Actores de amenazas

N-able desconecta N-central tras 33 fallos, y el parche resulta ser un regalo estupendo para haber estado ejecutándolo mientras te comprometían

N-able desconectó la plataforma N-central tras descubrir 33 fallos y distribuyó un hotfix como mitigación recomendada; los ataques comenzaron poco después de que un investigador divulgara más de 30 zero-days, y N-able corrigió los que no requerían autenticación. Entonces llegó la aritmética: los atacantes infectaron 21 servidores, 19 de ellos con el Hotfix 2, con el nuevo conjunto de fallos catalogado como 4EverAble2Shell y Agent2Shell, y N-able está ahora restringiendo determinadas funciones e integraciones de N-central. En el carril de al lado, ConnectWise confirmó que el abuso de una extensión independiente de terceros permitió a los atacantes eludir la autenticación de ScreenConnect, con investigadores que detectan intrusiones en cerca de 50 organizaciones; ThreatFox recoge un ScreenConnect.ClientSetup.msi alojado en un bucket de Cloudflare R2, lo cual no se ha demostrado que sea la misma campaña, pero sí la misma idea con el mismo abrigo.

Por qué importaLas herramientas de gestión remota son la ruta más rápida de un solo compromiso a todos sus clientes, y «aplicamos el parche» ya no es una frase que cierre un ticket.

Ransomware

El «pico» de ayer en los sitios de filtraciones fue sobre todo un calendario de publicación, y los plazos son el lunes y el martes

Pixelleaks publicó 14 entradas el 13 de noviembre frente a una mediana de una en los demás días —un organismo de edificación sostenible de Hong Kong, una empresa china de genómica oncológica, firmas de asesoría financiera canadienses y estadounidenses, una escuela de soldadura—, con marcas de filtración completa fijadas para el 2026-11-16 11:45 UTC y el 2026-11-17 01:36 UTC. n0n publicó 10 a la vez, entre ellas reivindicaciones contra DraftKings, LiveRamp y LEO Pharma que nadie ha verificado; Play publicó nueve, Akira seis, Qilin cinco, y todas las escaladas de Atlas de The Gentlemen llevan una misma marca horaria de las 17:50. Entre las cinco de Qilin figura la Universidad de Texas en Arlington, que ha advertido por separado de que se robó información personal en un ciberataque, de modo que al menos una línea del lote tiene detrás un coste humano con nombre. Un recuento de Darkfeed para 2026 sitúa a Qilin en 1171, a The Gentleman en 1026 y a Akira en 441.

Por qué importaCuente víctimas, no publicaciones: un día de 14 entradas en un sitio de filtraciones es una decisión editorial, y lo único firme que contiene es el plazo del 16-17 de noviembre.

IA y seguridad

La queja del FBI sobre Artex no es que sea ingenioso, sino que es rápido

Una alerta flash del FBI afirma que la herramienta de hacking de código abierto Artex «reduce significativamente el tiempo necesario para encadenar técnicas de ataque, y algunas intrusiones avanzan del objetivo inicial al acceso privilegiado en menos de tres horas». Dark Reading aporta un caso paralelo: un atacante cuyos comandos escritos a mano fracasaron contra un minorista estadounidense pasó a scripts generados por IA y logró movimiento lateral en cuestión de minutos. De nuestro lado de la mesa, OpenAI presentó Daybreak Red Team, que realiza pruebas de penetración de aplicaciones web con agentes de IA, y Defense Factory, que investiga los hallazgos y prepara parches; la condición de carrera crítica de mod_http2 de Apache, CVE-2026-119618, fue descubierta por Anthropic y Google. Y The Hacker News plantea la pregunta que ningún manual de procedimientos responde: apagar un agente descontrolado puede no detenerlo, porque las tareas en cola, las sesiones activas y las credenciales válidas continúan sin el modelo.

Por qué importaSi del objetivo inicial al acceso privilegiado pueden pasar menos de tres horas, su presupuesto de detección se mide en minutos y su flujo de aprobación se mide en días.

Malware e IOC

Alguien abrió tres Trezor, añadió una placa de circuito y los vendió igualmente

Trezor ha confirmado que tres monederos Safe 5 vendidos por el revendedor del sudeste asiático CryptoBilis contenían implantes de hardware ocultos: una placa de circuito adicional que lee la frase de recuperación de la pantalla del dispositivo y la envía por la red móvil. Hay una corrección de firmware; no deshace la exposición anterior. El mismo día, el FBI atribuyó a una operación norcoreana de ingeniería social llamada FaceStealer más de 400 millones de dólares en robos de criptomonedas a lo largo de 18 meses, basada en videollamadas falsas, deepfakes y grabaciones de webcam robadas de más de 900 víctimas, y dijo haber incautado la infraestructura de ataque; por otro lado, las autoridades estadounidenses incautaron 1200 millones de dólares en criptomonedas robadas a Binance.

Por qué importaLa garantía de la cadena de suministro en hardware significa cadena de custodia de la fábrica a la mano, no una pegatina holográfica y la palabra de un revendedor.

Política

La Operación Endgame se lleva 235 servidores y 6,4 millones de credenciales robadas, y 354 personas reciben una visita

Los investigadores incautaron 235 servidores y 257 dominios vinculados a Gootloader, CastleRAT y StealC, junto con unos 6,4 millones de credenciales de víctimas, en el marco de la Operación Endgame. En una operación internacional conjunta distinta, fueron detenidos 354 sospechosos, entre vendedores y compradores de los mercados de la dark web Archetyp, Nemesis, Tor2Door, Bohemia y Kingdom. Las autoridades alemanas también desmantelaron por segunda vez este año los servidores reconstruidos del malware SteaIC, y rastrearon la red hasta el proveedor de alojamiento a prueba de balas Virtualine, incautado por el FBI en octubre, con la policía de Fráncfort y la Unidad Nacional de Delitos de Alta Tecnología de los Países Bajos. Y el Bundestag aprobó la mayor reforma de las leyes de espionaje de Alemania de la posguerra, que concede poderes de hacking y sabotaje, por 308 votos a favor, 190 en contra y 71 abstenciones.

Por qué importaQue se hayan recuperado 6,4 millones de credenciales significa que muchas son suyas, y el desmantelamiento no las rota por usted.

Vulnerabilidades

PostgreSQL corrige un error de 22 años, y el parche es solo la mitad del trabajo

PostgreSQL publicó correcciones para 52 fallos de seguridad, entre ellos CVE-2026-6460 (CVSS 8,8), un error de confusión de tipos de 22 años que permite a un usuario autenticado con privilegios de creación de objetos ejecutar código en el servidor de la base de datos; la protección completa exige además recompilar las extensiones en lenguaje C instaladas en el servidor, que es la parte que se omitirá. En el resto del montón: Citrix corrigió 10 vulnerabilidades críticas de NetScaler, Google arregló 83 fallos en Chrome 157 y Mozilla 99 en Firefox 160, y un fallo crítico de Red Hat Quay podría exponer imágenes de contenedores privadas. Microsoft, por su parte, confirmó que las actualizaciones de noviembre están provocando fallos de activación de Windows con errores 0x80041008 y pueden romper la impresión de documentos con formato complejo.

Por qué importa«Parcheado» y «extensiones recompiladas» son estados distintos, y solo uno de ellos está realmente corregido.

Curiosidades

En viernes 13, cayó el correo, se reinició la comunicación del tráfico aéreo y el portal de prestaciones eligió esa noche para no estar disponible

La FAA decretó una parada en tierra alegando «circunstancias extraordinarias», sin que los funcionarios federales dijeran qué causó la interrupción de las comunicaciones ni si se investigaba un ciberataque; la información que circula entre los equipos de respuesta la atribuye a una actualización de la red de comunicaciones privada que conecta el control del tráfico aéreo, operada por L3Harris, que provocó un reinicio y después una caída. Microsoft, entretanto, pasó dos días intentando restaurar Outlook, Exchange Online y Teams tras fallar las comprobaciones de estado de los servidores, sin que se haya divulgado ninguna prueba de ciberataque. Y en medio de todo eso, una persona de infosec.exchange intentó cerrar sus prestaciones de 2027 a las 23:00 del último día del plazo y se encontró con que Workday estaba caído; el servicio no se restableció antes de medianoche.

Por qué importaLa mayoría de sus peores días son de gestión del cambio, no de adversarios, y su proceso de incidentes debería saber distinguirlo antes que el consejo de administración.