seguridad del correo
3 artículos con esta etiqueta
CVE-2026-116606 y CVE-2026-111560 — elusión de autenticación e inyección de comandos del sistema operativo en Barracuda Email Security Gateway: explicación y solución (en KEV, plazo: 13 de noviembre, comprobación de compromiso necesaria)
El 2 de noviembre de 2026 Barracuda divulgó una elusión de autenticación en Email Security Gateway (ESG) (CVE-2026-116606, CVSS 9.3) y una inyección de comandos del sistema operativo que afecta a ESG, ADC, BMA, WCC, WAF y WSG (CVE-2026-111560, CVSS 8.6). Ambas necesitan acceso a la interfaz de administración y, combinadas, pueden llevar a root. El aviso dice que la explotación ha afectado a un pequeño número de organizaciones (añadido el 9 de noviembre). CISA añadió ambas a KEV el 10 de noviembre con plazo el 13 de noviembre, solo tres días después, y exige una comprobación forense. La visión de este sitio: no se quede en parchear. Restrinja la interfaz de administración, conserve las pruebas antes de actualizar y compruebe si hay señales de compromiso.
Incidente de DreamHost (octubre de 2026): credenciales FTP y SFTP expuestas a través de File Manager, también se obtuvieron credenciales de webmail, y qué deben hacer los titulares de cuenta
El 29 de octubre de 2026, DreamHost dijo que el 23 de octubre detectó un acceso no autorizado al servidor que ejecuta su File Manager web (files.dreamhost.com). El atacante explotó una vulnerabilidad en un software de terceros que usa File Manager y obtuvo los nombres de usuario y contraseñas FTP/SFTP de los usuarios que iniciaron sesión en File Manager desde aproximadamente agosto hasta el 23 de octubre. El atacante también llegó a ciertos sistemas de webmail y obtuvo las credenciales de acceso de un número limitado de usuarios de webmail; en un pequeño número de casos, el contenido de los buzones puede haberse visto, y DreamHost contacta a esos clientes de forma individual. DreamHost dice que no encontró pruebas de que se accediera a los accesos del panel de control ni a los datos de facturación, y que no almacena números de tarjeta completos. Sitúa el impacto muy por debajo de aproximadamente el 10 % de las cuentas de correo y FTP/SFTP y no ha dado una cifra. Presentó una notificación ante el fiscal general de California (informada el 2 de noviembre), y la carta de muestra ofrece un año de protección contra el robo de identidad. Desde el 23 de octubre restableció algunas contraseñas como precaución, y esos usuarios de correo, FTP y SFTP siguen bloqueados hasta que el titular de la cuenta configure contraseñas nuevas en el panel. La opinión de este sitio: si usó File Manager desde agosto, cambie sus contraseñas FTP/SFTP aunque no haya recibido un aviso de restablecimiento, actualice las contraseñas guardadas en las herramientas, y revise los reenvíos y filtros de correo y los archivos de su sitio por si hay cambios que usted no hizo.
¿Qué es el phishing? Los tipos de ataque y defensas más fiables que saber detectarlo
El phishing suplanta a una parte de confianza para llevarte a una página de inicio de sesión falsa y robar credenciales o datos (o ejecutar malware). Apunta al juicio humano en lugar de a un fallo de software, y es la vía de entrada número uno del ransomware y las brechas. El phishing moderno con atacante en el medio (AiTM) retransmite incluso códigos de un solo uso al sitio real en tiempo real, así que el MFA por SMS/aplicación puede ser derrotado. La defensa fiable no es 'detectarlo' sino mecanismos: MFA resistente al phishing ligado al dominio (passkeys/llaves de seguridad), ir al sitio oficial directamente en lugar de hacer clic en enlaces, y autenticación de correo (SPF/DKIM/DMARC).