patch management
12 artículos con esta etiqueta
SAP Security Patch Day de noviembre de 2026: cuatro fallos con CVSS 10.0. Parchee primero Web Dispatcher e ICM expuestos a internet; cómo comprobar si le afecta y qué hacer hoy
El 10 de noviembre de 2026, el Security Patch Day de SAP publicó 35 notas de seguridad nuevas y 4 avisos de seguridad en GitHub, y actualizó 3 notas anteriores. La lista de SAP marca 9 filas como Critical. Cuatro tienen CVSS 10.0: corrupción de memoria en el Internet Communication Manager (ICM) de NetWeaver AS ABAP (CVE-2026-76964) y en SAP Web Dispatcher (CVE-2026-89126), control de acceso roto en SAP Gateway (CVE-2026-89103) y falta de autenticación en el proveedor de servicios SAML2 de AS ABAP (CVE-2026-120017). Los registros CVE describen los cuatro como sin autenticación, por la red y sin interacción del usuario (CVE-2026-120017 en ciertas configuraciones). Tres tienen CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) y exigen un inicio de sesión con pocos privilegios. La lista de SAP no menciona explotación, y ninguno de los CVE de la página está en el catálogo KEV de CISA (versión del 10 de noviembre, 19:00 UTC). De las valoraciones de CISA asociadas a los registros CVE, las cuatro que pudimos ver dicen exploitation: none. El texto de las SAP Notes exige iniciar sesión y este sitio no lo ha leído. Conclusión de este sitio: parchee primero Web Dispatcher e ICM expuestos a internet, confirme los niveles corregidos en las SAP Notes y planifique la actualización incluido el reinicio.
Corrección urgente de OpenSSH 10.6p2 (CVE-2026-123158): añadido al KEV de CISA; en sshd con musl sin PAM, como Alpine, se puede iniciar sesión sin la contraseña
El 5 de noviembre de 2026 OpenSSH publicó la versión 10.6p2 con una solución alternativa crítica para una elusión de la autenticación por contraseña en sshd en algunos sistemas Linux compilados y ejecutados sin PAM, en particular los que usan musl libc, como Alpine Linux. El CVE es CVE-2026-123158 (puntuación base CVSS 3.1 de 8,1, del registro CVE). El 9 de noviembre CISA lo añadió al catálogo de vulnerabilidades explotadas conocidas (KEV), con plazo del 12 de noviembre para las agencias federales de EE. UU. Una empresa privada de inteligencia de amenazas informa de que vio intentos de ataque menos de nueve horas después de la publicación y un éxito en un entorno señuelo; no se ha comunicado ningún daño en sistemas de producción y no se encontró verificación independiente. Alpine Linux publicó un aviso el 5 de noviembre con paquetes corregidos para todas las ramas. Según Alpine, un equipo está afectado cuando la autenticación por contraseña está activada, una cuenta tiene un asterisco en el campo de contraseña y otra cuenta tiene un hash normal. Las configuraciones con PAM activado, con PasswordAuthentication no, o los contenedores que no ejecutan sshd no están afectados. Conclusión de este sitio: si ejecuta sshd en Alpine u otros sistemas basados en musl, como OpenWrt o Linux integrado, actualice hoy al paquete corregido y reinicie sshd, desactive la autenticación por contraseña hasta entonces y revise los registros de autenticación.
Jenkins 2.588 y LTS 2.580.2 corrigen 15 fallos (CVE-2026-117612 a 117626): compruebe su versión y qué revisar tras actualizar
El 28 de octubre de 2026 el proyecto Jenkins publicó un aviso de seguridad que corrige 15 vulnerabilidades del núcleo de Jenkins (CVE-2026-117612 a CVE-2026-117626) en la versión semanal 2.588 y en LTS 2.580.2. Están afectadas la semanal 2.587 y anteriores y LTS 2.580.1 y anteriores. El aviso califica 13 como altas y 2 como medias. La mayoría exige algún permiso, como Overall/Read o Item/Configure (algunas configuraciones dan Overall/Read a usuarios anónimos). La excepción es CVE-2026-117618, una condición de carrera en el asistente de configuración que permite a un usuario no autenticado crear una cuenta de administrador durante la configuración inicial, lo que sube la prioridad de las instalaciones nuevas de Jenkins expuestas a internet. Las únicas mitigaciones que indica el aviso son ajustes para desactivar las nuevas comprobaciones si la actualización causa problemas y la aplicación obligatoria de la Política de Seguridad de Contenido, que limita el impacto conocido de tres fallos XSS; la solución es actualizar. Este sitio no encontró ningún informe creíble de explotación a fecha del 3 de noviembre, y ninguno de los 15 figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. La conclusión de este sitio: confirme su versión de Jenkins, actualice a la 2.588 (LTS 2.580.2), mantenga Jenkins fuera de internet y a los usuarios anónimos sin permisos, y revise usuarios, administradores y agentes tras actualizar.
Ataques de ransomware a Synology DSM: versiones desactualizadas atacadas mediante un fallo corregido en diciembre de 2024, qué actualizar y comprobar hoy (SA-24:20)
El 29 de octubre de 2026, Synology dijo que había identificado a actores de amenazas que explotan una vulnerabilidad corregida en diciembre de 2024 para atacar dispositivos con versiones desactualizadas de DSM, con el fin de cifrar datos y exigir un rescate. Insta encarecidamente a todos los que tengan versiones vulnerables a actualizar DSM de inmediato y recomienda activar las actualizaciones automáticas. Remite a Synology-SA-24:20, cuyas versiones corregidas son 7.2.2-72806-1 o superior para DSM 7.2.2, 7.2.1-69057-6 para 7.2.1, 7.2-64570-4 para 7.2, 7.1.1-42962-7 para 7.1 y 6.2.4-25556-8 para 6.2. El aviso enumera tres CVE y Synology no dice cuál de ellos se está explotando. No ha publicado el número de víctimas ni el nombre de ningún atacante. Conclusión de este sitio: compruebe hoy la versión de su DSM, actualice a la versión corregida o posterior y no exponga la interfaz de administración de DSM a internet. Mantenga una copia de seguridad separada del NAS y que este no pueda sobrescribir.
Fallo de WordPress 7.1.4 CVE-2026-119977: se corrige una condición de carrera en la actualización del núcleo que puede llevar a la ejecución remota de código; compruebe su versión y las actualizaciones automáticas
El 28 de octubre de 2026, el proyecto WordPress publicó la versión de seguridad 7.1.4, que corrige un fallo en el proceso de actualización del núcleo que puede llevar a la ejecución remota de código. Según el aviso de seguridad de WordPress en GitHub, durante una actualización del núcleo con un paquete completo, WordPress extraía los archivos nuevos en un directorio predecible dentro de la carpeta de actualización accesible desde la web, y un atacante sin autenticar que gane una carrera contra esa extracción podría lograr la ejecución remota de código (RCE). La corrección llega en 7.1.4 y se ha retroportado a todas las ramas hasta la 4.7 (7.0.8, 6.9.11, 6.8.12, etc.). Wordfence, como CNA, publicó CVE-2026-119977 el 31 de octubre, con una puntuación CVSS v3.1 de 8,1 (alta) y complejidad de ataque alta; el aviso de WordPress la califica como baja y no da puntuación. Según SecurityWeek, un proveedor de seguridad para WordPress vio la primera coincidencia de su nueva regla de firewall nueve minutos después de desplegarla y registró más de 18.500 peticiones dirigidas a ubicaciones temporales de actualización en las primeras 21 horas; el proveedor no ha informado de ningún compromiso exitoso. CISA añadió el CVE a su catálogo Known Exploited Vulnerabilities (KEV) el 3 de noviembre (la ficha de KEV da a las agencias federales de EE. UU. como fecha límite el 6 de noviembre, y CISA les exige, además de parchear, un triaje forense según BOD 26-04). Los sitios con actualizaciones automáticas en segundo plano deberían actualizarse solos; los que las tienen desactivadas deben actualizar manualmente desde la pantalla Actualizaciones. La conclusión de este sitio: trátelo como explotado, actualice hoy y, si su actualización fue tardía, compruebe si hay señales de compromiso (consejo de este sitio).
Ransomware de Capcom (2020) — por qué un viejo dispositivo VPN fue la vía de entrada, y la defensa ante la doble extorsión
La vía de entrada fue un viejo dispositivo VPN de respaldo que se había dejado en marcha en una filial norteamericana después de que unidades más nuevas lo reemplazaran. Desde ahí se vulneró la red, se robaron datos y luego el ransomware cifró los sistemas (doble extorsión). Los datos personales de hasta ~390.000 personas quedaron potencialmente expuestos (sin datos de tarjetas de pago). Capcom se negó a pagar, restauró desde copia de seguridad y lo divulgó con transparencia. Defiéndete retirando el equipo sin uso, parcheando los dispositivos de borde y cubriendo tanto el robo como el cifrado (segmentación, detección, copias de seguridad).
Seguridad de WordPress — una referencia de endurecimiento para producción
WordPress tiene la mayor cuota, así que es el mayor objetivo, pero las vías de entrada son predecibles (vulnerabilidades de complementos/temas, actualizaciones omitidas, administradores débiles, paneles de administración expuestos). Esta es una referencia de trabajo: (1) una lista de verificación de endurecimiento ordenada por prioridad (P0–P2), (2) guía por área — actualizaciones automáticas, minimizar complementos/temas, administrador fuerte + 2FA, reducir la exposición del panel (xmlrpc/enumeración REST/edición de archivos), wp-config y secretos, permisos de archivos, HTTPS/copias de seguridad, actualización de PHP/dependencias, y (3) una lista de autoverificación. Solo defensiva — sin pasos de ataque.
¿Qué es el malware? Tipos, vías de infección y las defensas básicas
El malware (software malicioso) es el término genérico para el software creado para dañar tus dispositivos o datos. Virus, gusanos, troyanos, ransomware, spyware y bots son tipos dentro de él. Por muy distintos que parezcan, la defensa es la misma en tres partes: prevenir la infección (actualizaciones, no abrir adjuntos/macros sospechosos, MFA), detectar (EDR, antivirus) y poder recuperarse (copias de seguridad). Aplicar bien estas defensas comunes importa mucho más que memorizar los nombres de los tipos.
¿Qué es el ransomware? Cómo funciona, cómo entra y cómo evitar pagar
El ransomware es malware que cifra tus archivos y exige un pago para devolvértelos. Los ataques modernos añaden la doble extorsión: roban datos primero y amenazan con filtrarlos, así que el descifrado por sí solo no detiene la brecha. Principales vías de entrada: phishing, VPN/RDP débil o sin MFA, y fallos expuestos a Internet sin parchear. La defensa más importante son las copias de seguridad sin conexión/inmutables más pruebas de restauración: poder recuperarse sin pagar. También evita la intrusión (MFA, parches) y limita el daño (privilegios mínimos, segmentación).
Filtración masiva de MOVEit (2023) — cómo un zero-day de inyección SQL alcanzó a más de 2.700 organizaciones, y cómo defenderse
La entrada fue un zero-day de inyección SQL (CVE-2023-34362) en MOVEit Transfer, expuesto a internet. Se plantó un web shell (LEMURLOOT) y se robaron datos en masa de la base de datos de respaldo, golpeando a más de 2.700 organizaciones y ~93,3M de personas. La mayoría de las víctimas fueron arrastradas indirectamente porque un proveedor usaba MOVEit. En tu entorno: parcheo rápido de KEV, minimizar la exposición, mínimo privilegio y segmentación web↔BD, inventario de proveedores y minimización de datos.
¿Sigues con Windows 10? Los riesgos de seguridad de usarlo tras el fin de soporte
El soporte ordinario de Windows 10 Home/Pro y variantes 22H2 terminó el 14 de octubre de 2025. La guía oficial revisada el 16 de octubre de 2026 indica ESU de consumo hasta el 12 de octubre de 2027, con continuación automática para quienes ya están inscritos. Comprueba la inscripción, las actualizaciones y las condiciones regionales, y prioriza migrar a un SO que reciba actualizaciones. LTSC/IoT y ESU empresarial son programas separados.
Filtración de Equifax (2017) — cómo un fallo de Apache Struts sin parchear expuso a 147M de personas
La causa fue un CVE conocido y ya parcheado (CVSS 10.0) dejado sin aplicar en un sistema público. Un certificado de monitorización caducado ocultó la exfiltración durante 76 días. En tu entorno: inventario de activos, un SLA de parcheo, monitorización automática y detección saludable.