Blog Tecnológico

Blog everyWAN

Tecnología, ciberseguridad y tendencias IT que importan

Análisis Profundo
Ciberseguridad
Tendencias IT
Filtrar por:
Tres interruptores de corriente en posición de apagado, cada uno bloqueado con un candado amarillo de consignación
13 min lectura

Apaga la consola que gestiona todos tus equipos, hasta nuevo aviso

El 9 de noviembre un fabricante recomendó a sus clientes apagar el servidor desde el que gestionan todos sus equipos y dejarlo apagado. Seis días antes les había dicho que lo actualizaran cuanto antes. Dentro: la cronología con las citas literales, por qué tu escáner solo ve la capa que tiene número, las cinco entradas que ese producto ya acumulaba en el catálogo de fallos explotados, y un runbook de 48 horas para operar sin plano de gestión.

Armario de comunicaciones de pared abierto, con un conmutador de 16 puertos y una maraña de cables dentro
9 min lectura

257 bytes abren la cuenta a la que le quitaste la contraseña

El 5 de noviembre de 2026 OpenSSH publicó la 10.6p2 para tapar un fallo que, según sus propios desarrolladores, no es suyo. El mantenedor de musl dice que tampoco es de musl. Los dos tienen razón, y entre las dos frases cabe una sesión como root. Dentro: cómo tres decisiones defensibles tomadas en 2012 y 2016 acaban comparando un asterisco con un asterisco; por qué las cuentas explotables son justo las que dejaste solo con clave pública; por qué OpenWrt aparece en todas las listas y casi nunca está afectado; y las cuatro comprobaciones concretas de esta semana.

Sala de máquinas pequeña: armarios con equipo encendido a la izquierda y, a la derecha, una mesa con un monitor apagado y un teclado
8 min lectura

El reinicio no recupera el aparato que guarda tus copias

El 2 de noviembre de 2026 Veeam publicó el kernel que arregla un fallo con 9,8 sobre 10 en sus aparatos de copias. Dos días después publicó un aviso sobre ese mismo aparato recomendando desactivar las actualizaciones automáticas, porque en ciertos procesadores AMD EPYC el arranque se para con un kernel panic. Dentro: lo que dice de verdad el «9» del mensaje de error leído en el código del kernel que arranca el aparato, la línea con un if que convierte ese fallo en una máquina parada, por qué los tres procesadores de la lista son en realidad una sola generación, por qué reiniciar el sistema operativo no recupera la máquina, y las cuatro cosas que miraríamos esta semana si tus copias viven en un aparato cerrado.

Interior de una librería de cintas: paredes de cartuchos de copia a ambos lados del pasillo
9 min lectura

Restaurar un volcado ajeno te puede crear una cuenta root

El 3 de noviembre de 2026 MongoDB publicó cuatro avisos de seguridad de golpe. Ninguno de los cuatro se parchea en el servidor: todos se cierran subiendo las Database Tools a 100.20.1, el paquete de binarios que vive en el portátil del técnico, en la imagen del contenedor que hace la copia de noche y en el jump host. Dentro: por qué excluir el espacio admin no te salva (lo dice el aviso), las cuatro CVE con sus dos puntuaciones contradictorias, lo que el changelog cuenta y los avisos no, por qué tu escáner no va a encontrar nada, por qué Ubuntu ya no trae el paquete, cuándo esto NO corre prisa y el censo de seis comprobaciones.

Dos teléfonos móviles con la pantalla apagada sobre una mesa de madera clara en una terraza
9 min lectura

Un día cero en diciembre, munición de serie en agosto

Durante una semana de agosto de 2026 bastaba con abrir desde el iPhone la web de una gasista ucraniana: el atacante había metido código en un servicio de analítica que cargan miles de páginas. Sekoia publicó el análisis el 4 de noviembre y ninguna de las tres cadenas usaba un día cero. Una de ellas es DarkSword, un kit de vigilancia comercial cuyo código llevaba cinco meses tirado en GitHub. Reconstruimos la campaña por la edad del parche de cada pieza y acabamos donde duele: la rama de iOS a la que apuntaba la cadena más vieja seguía recibiendo actualizaciones 108 días antes del ataque.

Armario mural de comunicaciones abierto con un switch de sobremesa y una maraña de cables de red sin ordenar
9 min lectura

Aplicaste el parche del switch y seguías expuesto 128 días

El 16 de junio Zyxel publicó diez firmwares corregidos para los switches GS1900. El 3 de noviembre publicó otro aviso: los diez llevaban dentro el mismo fallo. El diff de binarios de Binarly muestra por qué el parche de junio dejó el fallo dentro —comprobaba el contador de parámetros después de copiarlos— y deja una pregunta que no arregla ningún firmware: qué hacer cuando lo que se llevaron de 996 switches fueron las configuraciones y las credenciales de root. Incluye la corrección de algo que escribimos nosotros en septiembre.

Regletas de conexión de un repartidor de cableado con puentes de hilo azul y etiquetas de identificación
9 min lectura

Cuatro CVE en AuthPoint y ninguno toca el segundo factor

El 4 de noviembre WatchGuard publicó cuatro vulnerabilidades en AuthPoint Authentication Gateway, de 8,9 a 9,2 en CVSS v4, todas corregidas en la 7.6.0. Leídas una detrás de otra, ninguna de las cuatro habla del segundo factor: tres hablan del tramo de red entre el gateway y tus servidores de autenticación locales, y una de la máquina donde vive el gateway. Repasamos las cuatro fichas una a una, lo que dice el vector CVSS que no dice el titular, y por qué la pieza intermedia que instalaste una vez no está en tu inventario de parcheo.

Sala de servidores pequeña con racks abiertos, servidores en bandeja y cableado estructurado
9 min lectura

XSA-523 no tiene mitigación: tiene reinicio del host

El aviso de Xen del 3 de noviembre dice que un invitado malicioso puede leer y escribir memoria arbitraria de otros dominios, incluido Dom0, y en el apartado de mitigación pone cinco palabras: «There is no known mitigation». El parche pide reiniciar el host. Contamos los avisos de Xen año por año sobre el JSON oficial —47 publicados en 2026 frente a 10 en todo 2025— y repasamos por qué las grant tables son la zona caliente del año y qué se decide antes de que llegue el siguiente aviso, que ya tiene fecha: 10 de noviembre, 18:00 UTC.

Bandejas de discos con carros extraíbles en un armario de almacenamiento de centro de datos
9 min lectura

Synology: tres versiones del ataque y un parche que tu pantalla no enseña

En dos días salieron tres explicaciones incompatibles del mismo cifrado de NAS: Synology señala un fallo de 2024, el equipo antiransomware de 360 señala dos de septiembre de 2026, y un equipo de respuesta documenta una víctima que ya corría una compilación posterior. Las dos primeras caben a la vez y los números de compilación lo explican: entre 7.2.2-72806-1 y 7.2.2-72806-9 hay ocho builds al día de 2024 y expuestos a 2026. La tercera no necesita un día cero: el 22 de octubre Synology publicó dos vulnerabilidades de 9,8 que no viven en DSM, sino en los paquetes. En un NAS hay dos inventarios de parches y la pantalla de versión solo enseña uno.

Armario de comunicaciones con decenas de latiguillos de red azules y grises cruzados sobre los paneles de parcheo
8 min lectura

Siete versiones corregidas en el CVE y ninguna arranca tu Proxmox

CVE-2026-98432 es un 9,8 en el kernel Linux: uso después de liberar en el saludo TCP de IPv4, explotable sin credenciales ni interacción. El aviso lista siete versiones corregidas —5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10— y ninguna coincide con la rama que arranca un nodo Proxmox. Qué dispara el fallo según la justificación campo a campo del propio CVE, el reloj de Debian, Ubuntu, Red Hat y Proxmox a 31 de octubre, qué prueba el exploit ya publicado y qué no, y seis comprobaciones con comando.

Pasillo entre racks de una sala de servidores a oscuras, iluminado solo por los pilotos verdes y azules de los equipos
9 min lectura

ESXi: el 2,7 que dejamos de quinto era un día cero

El 30 de julio pusimos CVE-2026-41709 el último de una lista de cinco: 2,7 sobre 10, «registro insuficiente» en VMware ESX. Noventa días después CISA lo mete en el catálogo de explotadas porque un actor lo usaba como día cero. Volvemos sobre aquel post y corregimos dos cosas: la ventana dudosa no empieza en la fecha del aviso, y sacar los registros de la caja no arregla una no-escritura.

Imagen del post sobre la rotación de certificados de Windows Update en 2027
8 min lectura

Windows Update cambia de certificado en 2027 y la copia que restaures no lo trae

El aviso MC1491763, del 8 de octubre de 2026, fija dos fechas: el 17 de mayo y el 19 de junio de 2027 caducan los certificados con los que tus equipos confían en Windows Update, y el de repuesto viaja dentro de una actualización mensual. La tabla de las cinco familias con su actualización mínima, la asimetría que no cuadra a primera vista (la plataforma más nueva tiene el requisito más antiguo), por qué los equipos tras WSUS quedan fuera, y la consecuencia que no está en el aviso: una restauración devuelve la máquina con el nivel de actualización que tenía el día de la copia.

Sala de servidores con racks de bastidor abierto, suelo técnico perforado y cableado estructurado
9 min lectura

Hotpatch prometía cuatro reinicios al año y 2026 ha pedido ocho

Microsoft publicó ayer el aviso MC1527979: las actualizaciones de seguridad de noviembre y diciembre de 2026 exigen reinicio en los Windows Server 2022 con hotpatch. Con eso, el calendario oficial del año cierra en ocho meses con reinicio y cuatro sin, justo al revés de lo que vende la función. La cuenta mes a mes de la tabla de Microsoft, la cláusula de las baselines no planificadas que lleva años publicada, por qué Windows Server 2025 sí conserva noviembre y diciembre, las tres cosas que hotpatch nunca cubrió, y la pregunta que de verdad importa: cuánto cuesta un reinicio en tu infraestructura.

Filas de discos duros de 3,5 pulgadas montados en un chasis de almacenamiento abierto
8 min lectura

El salto a Ceph Tentacle en Proxmox te cobra lo que montaste en 2020

El 31 de octubre la rama Squid de Ceph deja de recibir backports y mucho clúster hiperconvergido de Proxmox tiene el salto a Tentacle en la agenda de esta semana. El procedimiento funciona. Lo que nadie apunta en la ventana de mantenimiento es la factura del día después: los OSD creados en Octopus o antes pueden hinchar su META hasta que el panel de Proxmox muestre menos espacio del que tenías, dos módulos del manager que llevaban desde 2020 funcionando desaparecen, el paso del MDS te pide quedarte sin standby, y la combinación concreta de versiones entre origen y destino puede no haberse probado nunca. Medición propia de los repositorios de Proxmox, las cuatro situaciones posibles, cuándo NO saltar esta semana y las seis comprobaciones antes de tocar el repositorio.

Pasillo de un archivo con estanterías llenas de cajas y archivadores etiquetados
9 min lectura

Tu inventario no tiene una línea para Brotli

CVE-2026-111497 es una escritura fuera de límites en el decodificador Brotli de Google: ocho bytes de búfer interno de los que cuelgan Node.js, Bun, Python, Envoy, Istio, .NET, FFmpeg, ClickHouse y Apache Arrow. En cuatro días tuvo cinco nombres —Node2Shell, Python2Shell, HTTP2Shell, Brotli2Shell y Broccoli2Shell— y cada uno fue alguien descubriendo que el radio era mayor de lo que creía. La corrección llevaba publicada río arriba desde el 27 de febrero. La palabra que se repite en todos los avisos es «empaquetado»: Arrow lleva dentro Brotli 1.0.9, .NET lleva su propia copia y ClickHouse mantiene un fork. Por qué «¿está parcheado?» no tiene una respuesta sino ocho relojes distintos, por qué la petición la haces tú y no tu perímetro, y el censo de cinco preguntas con las órdenes exactas.

Armario de comunicaciones mural de una oficina, con un conmutador de red, un router y un módem conectados con cables de cobre
10 min lectura

Dos horas de una web PHP a los hashes del dominio

El 21 de octubre de 2026 CISA pidió algo que no se escribe a la ligera: quien no pueda parchear PHP de inmediato, o siga en 8.1 o anterior, que retire de la red sus sistemas basados en PHP. Son CVE-2026-109618 y CVE-2026-109619, ambas con 9,2 de CVSS v4.0, y los detalles se filtraron antes de que existiera el parche. Pero lo que nos interesa no es la puerta: en el caso que documenta Unit 42 contra una entidad gubernamental europea pasaron dos horas entre la entrada y los hashes de contraseñas, los secretos de MFA y un túnel NTLM hacia el Active Directory. Ese camino no lo abrió PHP. Con la tabla de ramas, las mitigaciones que no mitigan y la comprobación de veinte minutos.

Pasillo de un centro de datos con filas de armarios de servidores y bandeja de cableado en el techo
10 min lectura

Tu escáner dice cero críticas y el exploit da root

El 21 de octubre de 2026 la Zero Day Initiative mandó cinco informes de fallos del kernel de Linux al equipo de seguridad y, por error, a las listas públicas de desarrollo. Tres llevaban código de prueba completo. Ninguno tiene CVE, porque el kernel sólo asigna número cuando el arreglo ya está en una rama estable. Y uno de ellos ya ha dado root en AlmaLinux 8, 9 y 10, Debian 12 y 13 y Ubuntu 24.04 y 26.04, esquivando el arreglo de Dirty Frag. Explicamos por qué el de 9,0 probablemente no te toca y el de 7,8 sí, qué comprobar en cada máquina y las trampas que tiene comprobarlo, y por qué el número que acabará apareciendo en tu escáner no es un aviso sino un recibo.

Puesto de trabajo de oficina con un portátil, dos monitores, teclado y una libreta sobre una mesa de madera clara
9 min lectura

La firma era buena; el DLL de al lado, no

El 19 de octubre de 2026 Siemens confirmó explotación real de CVE-2026-110936 en su Software Center. Lo que se ejecutó en las máquinas de las víctimas era una copia auténtica y correctamente firmada del programa: el atacante sólo tuvo que dejar un archive.dll en la misma carpeta. Si tu control de aplicaciones autoriza «lo firmado por un editor conocido», esta campaña pasa el filtro por diseño, no por fallo. Explicamos qué responde una firma digital y qué no, por qué el vector CVSS dice «local» y tu cola de parches lo lee como «no corre prisa», las tres señales de comportamiento que sí dejan rastro, y las tres preguntas que puedes contestar esta tarde.

Pasillo entre armarios de servidores encendidos en una sala técnica real, con un taburete de madera olvidado en el pasillo
10 min lectura

Las cinco puertas de SafePay: ninguna es de 2026

El aviso conjunto del 20 de octubre de 2026 sobre SafePay —FBI, CISA, Servicio Secreto y tres cuerpos policiales europeos, al menos 600 víctimas desde agosto de 2024— cita cinco vulnerabilidades explotadas. Ninguna es de 2026 ni de 2025: tres están en el cortafuegos que te deja entrar y dos en el servidor de copias que tenía que salvarte. El detalle que casi nadie ha contado es que a los NAS no les borran los ficheros: los devuelven a valores de fábrica. Repasamos las cinco puertas con sus versiones corregidas, por qué parchear no cierra la sesión que ya se llevaron, cuándo NO conviene parchear mañana a primera hora y las ocho comprobaciones que hacemos nosotros.

Armario de comunicaciones abierto con un panel de parcheo y decenas de latiguillos azules sin ordenar
9 min lectura

Redis: el parche llevaba 164 días publicado

El 16 y 17 de octubre de 2026 unos señuelos registraron los primeros intentos de explotación de CVE-2026-25243, el fallo del comando RESTORE de Redis. El parche se publicó el 5 de mayo: 164 días antes. Durante esos 164 días el fallo llevaba dos notas, 7,7 de quien lo publicó y 8,8 del NVD, que no se pueden comparar porque salen de dos versiones distintas de CVSS; y una ficha de CISA fechada el 6 de mayo que todavía hoy dice «sin explotación conocida». Repasamos por qué esas dos notas no se pueden restar, por qué «requiere autenticación» hace menos trabajo del que crees, las seis ramas parcheadas que el propio registro del CVE no menciona y las cinco comprobaciones que dejan el asunto cerrado.

Suscríbete a nuestra newsletter

Para recibir historias del mundo IT, novedades de everyWAN y ofertas exclusivas para suscriptores, date de alta a nuestra lista de correo

everyWAN
everyWAN