Para: quienes administran servidores, dispositivos VPN, datos de miembros o servicios externos, y quienes quieren saber si un servicio que usan sufrió una filtración. Este artículo resume lo que este sitio publicó en octubre y la información pública de CISA. No trata de procedimientos de ataque.
Octubre en cifras
El 115 es un recuento de artículos de este sitio
Cuenta solo los artículos de primer aviso que este sitio publicó en octubre (no se incluyen los publicados el 1 de noviembre): 65 incidentes en Japón, 28 incidentes en el extranjero, 4 incidentes globales y 18 vulnerabilidades. No incluye los incidentes que no cubrimos y no es una estadística elaborada por ningún gobierno u organismo. No puede usarse para afirmar que los incidentes aumentaron respecto al mes anterior.
Vulnerabilidades explotadas: qué había en las 36
KEV es la lista de CISA de las vulnerabilidades que considera explotadas. Del 1 al 31 de octubre hubo 36 incorporaciones, con lo que el catálogo llegó a 1.766 entradas. Por tipo de producto:
Productos perimetrales y de acceso remoto: 11
Plex, PHP, Ahsay, Zammad: 10
Otros (Windows, kernel de Linux, GitLab y más): 10
Fallos antiguos publicados entre 2015 y 2023: 5
Los elementos con artículo en este sitio llevan enlace. Los que no lo tienen se indican tal como los registra KEV.
| Grupo | Producto y CVE | Añadido | Artículo de este sitio |
|---|---|---|---|
| Dispositivo perimetral | Ivanti Connect Secure CVE-2026-104935 | 13 oct | Resumen de dispositivos perimetrales |
| Dispositivo perimetral | Ivanti Connect Secure CVE-2026-111357, CVE-2026-118527 | 30 oct | Ivanti Connect Secure: seguimiento |
| Dispositivo perimetral | Palo Alto Networks PAN-OS CVE-2026-0322 | 14 oct | Resumen de dispositivos perimetrales |
| Dispositivo perimetral | Fortinet CVE-2025-61624 (FortiOS y otros) | 16 oct | Resumen de dispositivos perimetrales |
| Dispositivo perimetral | Fortinet FortiMail CVE-2026-104286 | 1 oct | Ninguno |
| Dispositivo perimetral | Cisco Secure Email Gateway CVE-2026-76519 | 14 oct | Resumen de dispositivos perimetrales |
| Dispositivo perimetral | Cisco Secure Firewall ASA CVE-2026-76418 | 29 oct | VPN de Cisco ASA y FTD |
| Dispositivo perimetral | Citrix NetScaler CVE-2026-88779 | 4 oct | CVE-2026-88779 |
| Dispositivo perimetral | Arista VeloCloud Orchestrator CVE-2026-114625 | 23 oct | VeloCloud Orchestrator |
| Dispositivo perimetral | BeyondTrust Remote Support CVE-2026-102764 | 16 oct | Ninguno |
| Fallos antiguos | ISC BIND CVE-2015-5477, ProFTPD CVE-2015-3306, Apache Struts CVE-2016-3081, ONLYOFFICE Docs CVE-2021-3199, Strapi CVE-2023-22894 | 8 oct (los cinco) | Ninguno |
| Grupo del mismo producto | Plex Media Server CVE-2026-96652, 96654, 96655, 96656 | 20 oct | Plex Media Server |
| Grupo del mismo producto | PHP CVE-2026-109618, CVE-2026-109619 | 26 oct | Versión de seguridad crítica de PHP |
| Grupo del mismo producto | Zammad CVE-2026-102489, CVE-2026-102490 | 2 oct | Intrusión de DIVD y Zammad |
| Grupo del mismo producto | Ahsay AhsayCBS CVE-2026-105133, CVE-2026-105134 | 14 oct | Ninguno |
| Otros | SiteGuard Server Edition (de origen japonés) CVE-2026-106931 | 20 oct | SiteGuard Server Edition |
| Otros | Kernel de Linux CVE-2026-46300 | 28 oct | Kernel de Linux CVE-2026-46300 |
| Otros | VMware ESX CVE-2026-41709 | 28 oct | Fallo de registro de VMware ESX |
| Otros | GitLab CVE-2026-97229 | 29 oct | Parche crítico de GitLab |
| Otros | Adobe Commerce CVE-2026-48356 | 27 oct | Adobe Commerce |
| Otros | Google Brotli CVE-2026-111497 | 27 oct | Brotli |
| Otros | Collabora Online CVE-2026-110447 | 23 oct | Collabora CODE |
| Otros | Microsoft Windows CVE-2026-96951, Atlassian CVE-2026-21589, Siemens Software Center CVE-2026-110936 | 13, 15, 20 oct | Solo Atlassian: resumen de dispositivos perimetrales |
Los grupos «Dispositivo perimetral», «Grupo del mismo producto» y «Otros» son propios de este sitio, no de KEV.
Nuestra lectura: lo que destaca en el KEV de octubre no es un tipo nuevo de debilidad, sino los dispositivos perimetrales y los productos antiguos que suelen dejar de recibir actualizaciones. Los cinco añadidos el 8 de octubre se publicaron hace entre 3 y 11 años. Aunque no use esos productos, es una señal para comprobar si queda algún entorno antiguo en funcionamiento. Para saber cómo ordenar las correcciones, consulte Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV).
Las mayores filtraciones en Japón
La tabla recoge las cifras oficiales tal como figuran en los artículos de este sitio. Un registro es una entrada; personas significa un recuento aproximado sin duplicados. «Posible» significa que el anuncio no decía que la filtración estuviera confirmada. Como las unidades y la certeza difieren, no es una clasificación. Las fechas son las de los anuncios. Algunos casos anunciados en octubre (Club Tourism, Tin Pan Alley, Northflank, Chainalysis, Linux CVE-2026-98432) se publicaron en este sitio el 1 de noviembre.
| Organización y servicio | Anunciado | Cifra (unidad usada) | Certeza (según el anuncio) | Artículo de este sitio |
|---|---|---|---|---|
| E-Store (ShopServe) | 16 oct (informe final) | Unos 23,356 millones de personas | Filtrado (compradores, operadores de tiendas y afiliados combinados, sin duplicados, aproximado) | ShopServe |
| Ryohin Keikaku (app de MUJI) | 30 oct | Hasta unos 27,26 millones de registros | Posiblemente filtrado (incluye a quienes se dieron de baja) | App de MUJI |
| Club Tourism | 31 oct (primer aviso) | Unos 4,32 millones de registros | Posiblemente filtrado | Club Tourism |
| Hana Cupid | 28 oct | Hasta 4.238.242 registros | Filtrado (la cifra corresponde a «clientes que podrían verse afectados») | Hana Cupid |
| Matsuya Foods Holdings (app de Matsuya) | 30 oct | 2.377.127 registros o más (miembros de la app: 2.000, posiblemente hasta 3.000) | Filtrado | Matsuya |
| Sony Network Communications (So-net) | 27 oct | 2.141.986 registros de miembros de So-net; 443.495 registros de miembros de plala (curso S) | Filtración confirmada | So-net |
| H2O Retailing (H2O ID) | 19 oct | Unos 1,26 millones de registros | Filtrado (parte de los datos de casi todos los miembros de H2O ID) | H2O ID |
| World (filial Tin Pan Alley) | 30 oct | Unos 1,2 millones de registros en total | Posiblemente filtrado | Tin Pan Alley |
Los datos filtrados varían según el caso. Por ejemplo, el anuncio de la app de MUJI enumera dirección de correo, fecha de nacimiento y sexo, y dice que no incluye nombres ni direcciones postales. Hana Cupid enumera el ID de usuario, la contraseña cifrada y la dirección de correo. Compruebe sus propios datos en cada artículo.
Un número de registros no es un número de personas, y figurar en el recuento no es lo mismo que verse afectado
Un registro no es una persona, y varios casos incluyen a personas que ya se habían dado de baja del servicio. Si le afecta se confirma mediante los avisos individuales que las empresas dicen que enviarán y mediante el aviso del sitio oficial.
Cinco temas de octubre
(a) Filtraciones a través de proveedores de servicios y SaaS
Aunque su propia empresa no haya hecho nada mal, una lista que confió a un proveedor puede filtrarse. En octubre hubo incidentes en un servicio de envío de correo, un servicio de correos de alerta por desastres, un contratista de reservas de aerolíneas y una plataforma de gestión de TI.
- Blastmail: filtración confirmada de nombres de empresa y de contacto de todos los contratos, y de listas de destinatarios de 345 contratos
- SpeeCAN RAIDEN: servicio usado para correos municipales de desastres; podrían haberse filtrado hasta unos 3,136 millones de direcciones de correo (estimación)
- Contratista de reservas de JAL y ANA: según los anuncios, se accedió a datos de reserva de unas 92.000 personas (JAL y JTA) y de unas 37.800 personas (ANA) a través de un contratista
- ConnectWise Cloud Backup: el acceso no autorizado a las credenciales de la aplicación provocó la detención del servicio; un proveedor de nube informó de intentos de inicio de sesión contra más de 2.250 tenants
(b) Bases de datos de miembros y de aplicaciones
Las filtraciones de bases de datos de miembros y de sistemas de gestión de aplicaciones de marcas de comercio minorista, restauración y telecomunicaciones continuaron durante la segunda mitad de octubre. Además de la tabla anterior, este sitio cubrió varios casos más durante el mes.
- App de MUJI (hasta unos 27,26 millones de registros, posible)
- Sistema de gestión de la app de Matsuya (2.377.127 registros o más)
- Hana Cupid (hasta 4.238.242 registros)
- H2O ID (unos 1,26 millones de registros)
(c) Robos de criptomonedas
Desde finales de septiembre hasta finales de octubre hubo incidentes simultáneos en casas de cambio y servicios relacionados. Las cifras son las anunciadas por las empresas, y la mayoría de las causas seguían bajo investigación.
- Binance: el 29 de octubre estimó el impacto de las retiradas no autorizadas en unos US$6.300 millones y dijo que cubrirá la pérdida
- Bitget: dijo que se sustrajeron unos 387,5 millones de dólares tras explotarse un zero-day en un producto de seguridad de terceros (el incidente fue a finales de septiembre; el artículo de este sitio se publicó en octubre)
- Bithumb: según se informa, el acceso no autorizado a un groupware móvil interno expuso datos personales de 844 clientes
- Polymarket: dijo que un proveedor externo fue comprometido (según se informa, mediante un script), suspendió las operaciones y afirmó que compensará a los usuarios afectados
(d) Plataformas para desarrolladores de IA y ataques asistidos por IA
Hubo incidentes en plataformas que guardan claves de API de IA, herramientas para desarrolladores de IA e IA alojada. También continuaron los informes de ataques que usan capacidades de IA.
- Northflank: indicó a los clientes que traten todas las variables de entorno almacenadas como descifradas; se informó de uso indebido de claves de API de IA
- OpenCode: se vieron afectadas las claves de API de proveedores de IA vinculadas de algunos usuarios
- Zeabur: dijo que se leyeron 3.218.965 variables de entorno e información de 321.810 cuentas
- Una extensión de Cursor: una extensión «Claude Code» manipulada se distribuyó en el marketplace durante unas 11 horas
- Chainalysis: dijo haber sufrido un acceso no autorizado mediante lo que llama «técnicas agénticas ofensivas»
- Cloudflare Workers AI: dijo que datos de solicitudes de otros clientes se mezclaron en las respuestas en 155 casos
Por separado, según se informa, el equipo de investigación de una empresa de IA demostró en laboratorio la ejecución remota de código con Linux kernel CVE-2026-98432. Esto se basa en el informe de esa propia empresa, que la prensa no ha verificado. Hasta donde pudimos confirmar, no se ha visto ningún ataque real y no figura en KEV. El panorama general está en Ataques asistidos por IA y el orden de la defensa.
(e) Dispositivos perimetrales
Además de los 11 en KEV, Ivanti Connect Secure se añadió dos veces, el 13 y el 30 de octubre, por fallos distintos. Aplicar el parche no elimina las huellas de una intrusión anterior a la actualización.
- Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Ivanti Connect Secure CVE-2026-111357 y CVE-2026-118527
- VeloCloud Orchestrator CVE-2026-114625
- Cómo defender los dispositivos VPN y el acceso remoto
Qué hacer en noviembre
Actualice primero los dispositivos perimetrales que están en KEV
Haga una lista del producto y la versión de cada dispositivo VPN, cortafuegos y pasarela de correo, y pase a una versión corregida, en cuestión de días, todo lo que esté en KEV. Guarde los registros antes de actualizar y limite a su red de gestión los orígenes que pueden llegar a la interfaz de administración.
Inventaríe los servicios externos que guardan sus listas de clientes
Haga una lista de los servicios que guardan correos y nombres de clientes: envío de correo, reservas, gestión de miembros, copias de seguridad. Compruebe también si quedan datos después de terminar un contrato.
Rote las claves almacenadas cuando una plataforma tenga un incidente
Cuando una plataforma de nube o de desarrolladores de IA informe de un incidente, rote las variables de entorno, claves de API y tokens guardados allí, y revise los registros de uso por si hay algo que no reconozca.
Prepárese para el correo que se hace pasar por una empresa afectada
Tras anunciarse una filtración, suelen aumentar los correos en nombre de esa empresa. No inicie sesión ni introduzca nada mediante sus enlaces; compare con el aviso del sitio oficial. Si podría estar afectado, cambie primero las contraseñas de cualquier servicio en el que haya reutilizado la misma.
Para saber cómo reconocer esos correos, consulte ¿Qué es el phishing?.
Fuentes
- CISA, «Known Exploited Vulnerabilities Catalog» (feed JSON; este sitio contó las incorporaciones del 1 al 31 de octubre de 2026) — cisa.gov
- Artículos de este sitio: resumen de dispositivos perimetrales, ShopServe, app de MUJI, Club Tourism, Hana Cupid, Matsuya, So-net, H2O ID, Tin Pan Alley (cada uno cita los anuncios oficiales)
- El recuento de primeros avisos es el recuento de este sitio de los artículos de última hora en japonés que publicó en octubre de 2026
Leer a continuación
- Lista de todo el año: Cronología de filtraciones de datos y ciberataques de 2026
- Defensa de dispositivos expuestos: Cómo defender los dispositivos VPN y el acceso remoto
- Priorización de correcciones: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Ataques asistidos por IA: Ataques asistidos por IA y el orden de la defensa
- Comprobar si hubo compromiso: Cómo comprobar si su servidor fue comprometido