Blog Tecnológico

Blog everyWAN

Tecnología, ciberseguridad y tendencias IT que importan

Análisis Profundo

Ciberseguridad

Tendencias IT

Filtrar por:

Interior de un portátil abierto: placa base, módulo de memoria, ventilador y disipador

6 Oct 2026 7 min lectura

La lista de drivers bloqueados de Windows son 1.702 hashes

Nos descargamos la lista oficial de controladores vulnerables de Microsoft el 6 de octubre de 2026 y contamos las reglas: 1.713 bloqueos, de los cuales 1.702 identifican el fichero por hash y 11 por nombre. Dentro: qué admite la propia documentación de Microsoft sobre lo que su lista no cubre, por qué de los 218 bloqueos por certificado solo 50 queman un publicador entero, cuántas muestras del catálogo público de controladores abusables cargan igual con memory integrity activada, y las dos lecturas posibles del contraste entre el 45% y el 18%.

Windows EDR/MDR Ciberseguridad

Armario rack de pared con un switch de 16 puertos y cables de red

5 Oct 2026 8 min lectura

Tu unattend.xml lleva la contraseña del dominio en claro

El fichero con el que instalas máquinas por red contiene la cuenta que las une al dominio, escrita tal cual. No es un descuido: es el ejemplo de la documentación de Microsoft. Dentro: por qué PlainText false no significa cifrado, qué dice CVE-2026-0386 sobre el canal por el que viajaba ese fichero, por qué el parche de enero de 2026 no mitigaba nada hasta que alguien tocaba el registro, y por qué apagar la función no rota la credencial que ya se repartió.

Windows Mantenimiento Ciberseguridad

Disco duro externo conectado a un portátil sobre una mesa de despacho

5 Oct 2026 7 min lectura

El clone no trae el .git/config. El ZIP sí

Cuatro CVE publicados en agosto y septiembre de 2026 describen la misma secuencia: abres una carpeta con un agente de IA, el agente llama a git para enterarse de dónde está, y la configuración local de esa carpeta ejecuta un programa con tus credenciales antes de que nadie te pregunte si confías en ella. Dentro: qué dice la documentación de git sobre core.fsmonitor, por qué un clone normal no sirve como vía de entrega, por qué la comprobación de propiedad que git sí tiene queda desarmada por el gesto más normal del mundo, y el truco que esconde la clave de tu propio grep.

IA Ciberseguridad DevOps

Multifunción de oficina junto a una mesa con bandejas de correo entrante y formularios de fax

4 Oct 2026 7 min lectura

Tu SPF pasa, tu DKIM pasa, y DMARC falla igual

La cabecera dice spf=pass y dkim=pass, y dos líneas más abajo dice dmarc=fail. No es un error: es alineación, y es lo que rompe el correo de tus aplicaciones. Dentro: qué compara DMARC exactamente, la fila de la tabla de Microsoft en la que onmicrosoft.com falla incluso en modo relajado, por qué tus informes agregados no llegan si tienes una pasarela delante del tenant, y el inventario de remitentes que hay que escribir antes de tocar el DNS.

Microsoft 365 DNS Ciberseguridad

Parte trasera de un rack con servidores de 1U, sus puertos de consola a la vista y los mazos de cables recogidos

4 Oct 2026 10 min lectura

Migrar a Proxmox: los permisos no viajan, y el rol que suena a «usuario» abre la consola

La migración trae los discos, la configuración y las redes. No trae ni una línea de la tabla de permisos, y como las dos tablas se parecen en la forma, casi nadie la reconstruye: la copia de memoria, por el nombre de los roles. Dentro: la equivalencia entre el permiso de vCenter y la ACL de Proxmox, con sus tres huecos; la definición literal del rol PVEVMUser —«view, backup, configure CD-ROM, VM console, VM power management»— y por qué consola, CD-ROM y encendido juntos no describen a un lector; la pregunta que solo responde tu instalación; la regla de herencia que resta en lugar de sumar y que muerde a todo el que viene de Active Directory; la familia de privilegios que lee y escribe ficheros dentro del invitado, que no tiene equivalente mental en vCenter y que es una virtud del modelo que nadie usa; root@pam, la cuenta sin límites que no se puede borrar; y los cuatro comandos que te dicen, el lunes siguiente, quién puede hacer qué en tu clúster.

Proxmox Migración Virtualización

Archivo compacto de oficina con los paneles cerrados y las manivelas de apertura alineadas

3 Oct 2026 9 min lectura

Las alertas de DLP salen de la cola el 12 de octubre: la tabla donde quedan puede estar vacía

El 12 de octubre se enciende sola una regla integrada que convierte las alertas de DLP de Purview en «comportamientos»: dejan de generar alertas y de entrar en la cola de incidentes de Defender XDR. Dentro: la cita literal del recuadro de Microsoft Learn, que dice «early October 2026» y no da el día —el día sale del aviso MC1465771, publicado el 1 de septiembre—; qué significa exactamente «Set as behavior» y por qué las tres palabras que importan son «or trigger incidents»; el hallazgo que nos hizo escribir el post: la página de referencia de la tabla BehaviorInfo dice que la pueblan Defender for Cloud Apps y UEBA y que sin esos servicios las consultas no devuelven nada, y la segunda puerta, CloudAppEvents, cierra con la misma llave; la salida que sí es segura y que casi nadie cuenta; por qué no te decimos que desactives la regla; la línea que deja abierta una tercera vía —las reglas integradas no se aplican a las detecciones personalizadas— con su precio entero; y cuatro comprobaciones, dos de ellas consultas que puedes pegar hoy.

Microsoft 365 Datos Cumplimiento

Hilera de barreras de acceso con lectores de tarjeta en el vestíbulo de una estación, vacía

3 Oct 2026 9 min lectura

El recambio de la política de riesgo no cubre invitados (y la anterior tampoco)

El 1 de octubre venció el plazo de las políticas de riesgo heredadas de Entra ID Protection. No hubo caída ni aviso, como tampoco lo hubo el 31 de julio de 2025, cuando esas pantallas pasaron a solo lectura. Dentro: la fecha con las dos redacciones distintas que usa Microsoft; por qué casi toda la cobertura dice que las políticas «dejan de aplicarse» cuando el anuncio original hablaba de retirar la interfaz, y por qué no vamos a escribir una frase que Microsoft no ha escrito; por qué «migrar» describe mal un trabajo de reconstrucción, y el orden de los dos pasos obligatorios; los dos ajustes que el control recomendado aplica solo —fuerza de autenticación y reautenticación «cada vez», este último obligatorio—; la línea que no encontramos en ninguna guía: «Require risk remediation» no está soportado para externos e invitados, y lo que casi nadie cuenta: con la política anterior, al invitado en riesgo lo bloqueabas sin poder desbloquearlo y sin verlo en ningún informe; lo que Microsoft recomienda de verdad para invitados —excluirlos del MFA basado en riesgo y exigirles MFA siempre— con sus dos trampas; cómo se prueba que está migrado leyendo el registro, con la trampa del campo que se llama «aplicadas» y lista también las que no; y la excepción que Microsoft documenta con su AppId.

Identidad Microsoft 365 Zero Trust

Escritorio doméstico de noche con un monitor, un teclado retroiluminado y un micrófono, iluminado solo por una lámpara

3 Oct 2026 10 min lectura

250 dólares de entrada, un millón de euros de daño

El 30 de septiembre, en la Operación KillSwitch, las autoridades apagaron KillSec: tres detenciones, ocho registros, cinco servidores y al menos 110 TB de datos robados puestos a salvo. La cifra que no fue titular en ninguna parte es la tarifa: entrar en ese negocio como afiliado costaba 250 dólares y la casa se quedaba el 12 % de cada rescate. Dentro: la Operación ROTOMA de la Guardia Civil y los Mossos, los dos registros de Alicante y el ciberataque a una entidad catalana de principios de 2025 con un daño estimado de cerca de un millón de euros; el cambio de tarifa de enero de 2025 y el cifrador para ESXi que borraba instantáneas; por qué la edad del sospechoso mide la barrera de entrada y no la sofisticación; las cuatro puertas por las que entraban, una de ellas sin tocar siquiera tu red; nuestras dos medias de los 110 TB con los supuestos declarados; lo que una incautación no borra; y el inventario de comprobaciones hechas desde fuera que puedes cerrar esta semana.

Ransomware Ciberseguridad Cloud

Sala de reuniones vacía con dos pizarras blancas y sillas alrededor de una mesa larga

2 Oct 2026 9 min lectura

Tu política de parcheo no contempla que no haya parche

El 21 de septiembre entraron en el Dutch Institute for Vulnerability Disclosure, la gente que se dedica a avisar a los demás de que parcheen. Once días después, el segundo de los dos fallos encadenados sigue sin corrección publicada. Dentro: la cronología que el propio afectado publicó con su nombre; por qué el titular —«lo hizo un agente de IA»— no es lo que decide el resultado, y qué dicen de verdad los registros («loud and very messy»); el campo del aviso que dice «Patch status: Available» dos secciones antes del párrafo que dice que el fabricante «está trabajando en una corrección», y por qué tu proceso de vulnerabilidades lee el campo y no el párrafo; los dos documentos públicos que no coinciden y que los dos son verdad; qué te queda cuando el parche no existe —romper la cadena por el otro eslabón, quitar exposición, reducir el radio de daño, subir la vigilancia—; y el párrafo que le falta a tu política de seguridad, redactado entero para que lo copies, con las dos cláusulas que lo hacen funcionar: que caduca sola y que lleva un nombre y un cargo.

Parcheo Ciberseguridad Continuidad

Aula de informática con filas de equipos de sobremesa idénticos y pantallas apagadas

2 Oct 2026 8 min lectura

Memory integrity se activa sola en octubre, y solo donde nadie decidió nada

Microsoft anunció el 1 de septiembre que las actualizaciones de calidad de octubre de 2026 empezarán a activar memory integrity en más equipos Windows elegibles. La prensa leyó como tranquilizadora la frase «las decisiones y políticas existentes de administrador y usuario seguirán vigentes». Léela como un censo: si la decisión existente se respeta, el cambio cae exactamente donde no hay ninguna decisión escrita, y ahí el administrador pasa a ser Windows Update. Dentro: qué se enciende de verdad (HVCI sobre VBS) y por qué «elegible» no es una lista que puedas consultar; los tres campos de Win32_DeviceGuard que contestan dónde estás hoy y por qué «configurada» no es lo mismo que «en marcha» —el manual documenta un caso en que divergen—; por qué el síntoma no llegará como «fallo de seguridad» sino como «el escáner de contabilidad ha dejado de aparecer», de uno en uno durante un periodo que Microsoft no concreta; la trampa del bloqueo UEFI, que convierte deshacer la política en un viaje físico al equipo; el detalle contraintuitivo de que el valor más estricto de RequirePlatformSecurityFeatures protege a MENOS máquinas; el plan de siete días con censo fechado, anillo piloto y vuelta atrás preparada antes; y los otros dos relojes que vencen el mismo 13 de octubre, con naturalezas distintas y sin plan de vuelta atrás común.

Windows Puesto de trabajo Ciberseguridad

Pasillo entre racks de equipos de red en una sala técnica

1 Oct 2026 9 min lectura

CVE-2026-76504: la regla comparaba texto, no recursos

Cisco publicó ayer el aviso del Catalyst SD-WAN Manager: CVSS 9,8, explotado antes de que se publicara el aviso, y CISA dando tres días para arreglarlo. La autenticación no falló. Falló la lista que decide qué peticiones tienen que pasar por ella: la lista decía /j_security_check y la petición decía /%6a_security_check, que es la misma ruta con la jota escrita en hexadecimal. Dos cadenas distintas para la lista, el mismo recurso para el servidor de detrás, y en ese hueco de un carácter cabe un administrador. Lo que decide cómo se lee todo lo demás es por qué esa ruta TENÍA que estar exenta de la comprobación de sesión: es donde se consigue la sesión, y si la protegieras nadie podría iniciar sesión nunca. Así que el fallo no es tener la excepción, es cómo se comprueba si una petición cae dentro. Y eso no es de Cisco: pasa en cualquier sitio donde la capa que protege una ruta por su nombre no es la misma que la resuelve. Dentro: la tabla de ramas y primeras versiones corregidas, la prueba de treinta segundos para mirarlo en tu propio proxy, los dos grep que contestan si entraron antes del parche, y la pregunta incómoda de si esos registros salen del aparato.

SD-WAN Ciberseguridad Redes

Armario de comunicaciones con cortafuegos y panel de parcheo en una sala técnica

1 Oct 2026 10 min lectura

El certificado que ACME no renueva es el que te deja sin VPN

Haz la suma: 15 de marzo de 2026, el día en que entró en vigor el techo de 200 días para los certificados TLS públicos, más 200 días. Sale el 1 de octubre. Hoy. Los primeros certificados emitidos con la regla nueva empiezan a vencer esta semana, y esto deja de ser un asunto de 2029. El calendario del CA/Browser Forum (papeleta SC-081v3, 25 autoridades a favor y ninguna en contra) baja a 100 días el 15 de marzo de 2027 y a 47 en 2029, con la validación del dominio en 10 días: unas 37 validaciones al año por nombre. El 47 ni es arbitrario ni es redondo: es 31 + 15 + 1, calculado para que quepa una renovación mensual con margen para un reintento. Pero el servidor web se renueva solo desde hace años; el problema es el portal del cortafuegos, la pasarela de VPN y el RADIUS del EAP-TLS. Y aquí va la conclusión incómoda: ACME valida desde fuera, y esos equipos no están publicados en Internet precisamente porque segmentaste bien. Cuanto mejor está tu red, peor es tu situación. Qué camino queda, qué riesgo nuevo trae dar a un script permiso de escritura en tu DNS, por qué media lista no tendría que estar en la cadena pública, y las cuatro columnas que deciden solas qué hacer con cada línea.

TLS Redes Ciberseguridad

Seta de parada de emergencia sobre una pared, con el pulsador rojo sin accionar

30 Sep 2026 8 min lectura

El correo pedía seis horas; la nota de prensa, nueve: ¿quién firma un apagado así?

El 25 de septiembre Kiteworks pidió a sus clientes algo que casi ningún aviso pide: no que parchearan, sino que apagaran. Sin CVE, sin parche y sin indicadores de compromiso, por inteligencia creíble sobre un ataque «inminente» ese fin de semana. El correo que recibieron los clientes, que publicó primero Heise, decía seis horas; la nota de prensa pública de la compañía, nueve. Y el aviso pedía apagar incluso los sistemas que no dan a internet, con lo que no había forma de acotarlo por exposición. Dos días después se levantó la recomendación, y durante la ventana apareció un fallo crítico desconocido «confinado a una capacidad habilitada en menos del 1 % de la base de clientes». Reconstruimos el caso con las seis fuentes originales y vamos a lo que deja: quién firma en tu empresa una parada así y con qué evidencia (con la frase del CISO que sí la firmó), qué canal usan tus usuarios durante esas horas si tú no les das uno, y las tres cosas que muerden en una parada no ensayada —la HA que levanta lo que apagaste desde dentro del invitado, el fin de semana de copias que empuja fuera de retención los puntos buenos, y la monitorización sin mantenimiento declarado—.

Continuidad Disaster recovery Proveedores

Filas de puestos con ordenadores en una sala vacía; solo una pantalla encendida

29 Sep 2026 8 min lectura

Cuatro EDR y ninguna alerta: qué te queda entonces

El 6 de julio, dos investigadores de SensePost publicaron una técnica de inyección de código y la probaron contra cuatro EDR líderes del mercado configurados para detectar, bloquear y remediar: funcionó en los cuatro y no se creó ninguna alerta. El 22 de septiembre, Flashpoint la reprodujo. La técnica no escribe en la memoria de otro proceso —la ruta que todos los EDR vigilan desde hace una década—, sino que mete la carga en los parámetros con los que arranca un proceso nuevo. Leemos las dos publicaciones enteras, incluida la parte que los titulares se saltaron: en el laboratorio de Flashpoint el componente XDR SÍ bloqueó, y sólo dejó de hacerlo tras apilarle encima dos evasiones más; y los propios autores avisan de que la técnica «tiene múltiples oportunidades de detección». Además: por qué esto es post-explotación y no una vía de entrada, por qué la misma primitiva ya se había descrito en público antes (sin fecha conocida), las cuatro comprobaciones que puedes pedirle a tu consola esta semana —y la trampa de que ninguna es un botón, sino una consulta sobre telemetría que hay que haber guardado y que alguien tiene que escribir—.

Ciberseguridad EDR/MDR Monitorización

Interior de una librería de cintas con los cartuchos alineados en sus ranuras

29 Sep 2026 9 min lectura

Tu backup inmutable tiene un permiso que lo borra

«Nuestras copias son inmutables» es una frase incompleta, y la documentación de Amazon lo demuestra. Object Lock tiene dos modos: en compliance no puede borrar nadie, ni la cuenta raíz, y la única salida documentada es cerrar la cuenta de AWS; en governance borra cualquiera que tenga el permiso s3:BypassGovernanceRetention. Los dos se llaman inmutabilidad. Y AWS añade una nota que casi nadie ha leído: la consola web incluye por defecto la cabecera que hace falta para saltarse el bloqueo, así que la fricción existe en la API y desaparece en la interfaz. Además: por qué la prueba intuitiva (intentar borrar un objeto) devuelve 200 OK y te engaña en las dos direcciones, por qué Veeam suma 30 días a la inmutabilidad que configuraste en S3, y qué dice de verdad ese estudio del 93 % / 16 % que ha circulado en septiembre —incluida la muestra, que no se parece a tu empresa—. Al final, una frase con cuatro huecos que quien lleva tus copias tiene que poder terminar.

Backup Ransomware Ciberseguridad

Sala con filas de puestos de trabajo y ordenadores bajo luz fluorescente

28 Sep 2026 8 min lectura

CVE-2026-32996: el agente de copias dejaba el ticket de administrador escrito en un log

El exploit no desborda una pila ni corrompe memoria: abre un fichero de texto que puede leer cualquier usuario del equipo, busca dentro un identificador de sesión, lo presenta por una tubería con nombre y ejecuta lo que quieras como SYSTEM. Con el aviso del fabricante delante, tres cosas que se están contando mal sobre CVE-2026-32996 en Veeam Agent para Windows: la versión que citan los titulares (13.0.1.2067) es la del servidor, no la del agente —el número que hay que mirar es 13.0.3.1220—; el parche de doscientos portátiles cuelga de la ventana de cambio del servidor de copias, que es la máquina que menos ganas tiene nadie de tocar; y la frase «explotación activa» sólo estaba en el titular de un boletín cuyo cuerpo decía otra cosa, y que además acabó retirado. Por qué AT:P en el vector cambia a qué equipos miras primero, y las cuatro cosas que haríamos esta semana.

Backup Vulnerabilidades Parcheo

Vestíbulo de oficina con una fila de tornos de acceso de cristal alineados y vacíos

28 Sep 2026 8 min lectura

Las políticas de acceso condicional que no escribiste ya están en tu tenant

Abre la lista de políticas de acceso condicional de tu tenant y mira la columna «Creada por». Si alguna fila dice Microsoft, esa política no la escribió nadie de tu empresa: la crea Microsoft en modo «solo informe» y la enciende él «no menos de 30 días» después, con aviso dos semanas antes y la nota de que puede ser antes. No se pueden renombrar ni borrar; lo único que puedes tocar es a quién excluyes —empezando por tu cuenta de emergencia—. Cuáles son las diez que hay hoy, las tres que rompen cosas de verdad (el flujo de código de dispositivo y las salas de Teams, la autenticación heredada y el multifunción que escanea a correo, el MFA para todos y las cuentas de servicio con licencia), el detalle que casi nadie cita —tu recuento de licencias P2 y el registro de MFA dibujan a quién protege la política de riesgo— y la consulta de auditoría que te dice qué te ha cambiado Microsoft y cuándo.

Microsoft 365 Identidad Ciberseguridad

Armario de comunicaciones de pared en una sede pequeña, con router, módem y switch conectados con cables de red

27 Sep 2026 9 min lectura

Tu túnel entre sedes no pide MFA porque no hay nadie a quien pedírselo

CVE-2026-85102 entró en el catálogo de CISA el 22 de septiembre con tres días de plazo, y casi todas las lecturas se quedaron en «parchea la VPN de acceso remoto». La descripción oficial dice «Site to Site VPN or Remote Access VPN»: también el túnel entre tus sedes, donde no hay usuario al que pedirle un segundo factor, la confianza se configuró una vez y no caduca, y el fallo ocurre durante la negociación del certificado, antes de que tu MFA y tu acceso condicional lleguen a ejecutarse. Con el matiz que casi nadie cuenta (ese camino solo aplica si el túnel autentica por certificado, no con clave precompartida), la lectura cruzada de los dos avisos —la rama que te salva de uno es la que aparece en el alcance del otro— y las cuatro cosas que miraríamos esta semana.

Zero Trust VPN Redes

Pasillo de un archivo con estanterías compactas llenas de cajas de archivo numeradas

26 Sep 2026 9 min lectura

La primera brecha con agente de IA ya está notificada. Lo difícil fue poder contarla

El 14 de septiembre la AEPD publicó que ha recibido la primera notificación de una brecha de datos personales que «habría sido ejecutada mediante un agente de inteligencia artificial». El ataque entero ocupa una frase, y la Agencia avisa de que la información viene de la propia organización afectada y está pendiente de análisis. Leemos esas cuatro fases como lo que acabarán siendo para alguien más: un formulario de la Sede Electrónica con 72 horas de reloj. Qué registro hace falta para poder escribir cada frase, por qué «de forma autónoma» se infiere y no se registra, qué te pide ahora la AEPD por escrito en el análisis de riesgos, y por qué tres de las cuatro fases se paran con cosas aburridas que no llevan IA.

IA Cumplimiento Ciberseguridad

Armario de comunicaciones montado en la pared de una pequeña empresa, con un router, un módem y un switch, y los cables recogidos sin orden dentro

26 Sep 2026 8 min lectura

El fallo es de WordPress; la exposición la decide tu php.ini

CVE-2026-87902 entró el 25 de septiembre en el catálogo de vulnerabilidades explotadas de CISA, tres días después de que el aviso y la prueba de concepto fueran públicos. Es un 9.2 y es el núcleo de WordPress, parcheado en 25 ramas hasta la 4.7.37 (diciembre de 2016). Pero el 9.2 mide el daño, no tu exposición: el propio vector CVSS 4.0 lleva AT:P, «hacen falta condiciones», y ninguna de las que deciden es de WordPress. Una directiva de PHP, un fichero de PEAR y un directorio del tema activo. Qué comprueba cada una, por qué el comando obvio para mirarlo desde la shell devuelve una respuesta falsa —lo medimos en una máquina con PHP 8.3.6— y qué NO hacer si sospechas que ya ha pasado.

Ciberseguridad WordPress PHP

1
2
3
4
5
6
7

Suscríbete a nuestra newsletter

Para recibir historias del mundo IT, novedades de everyWAN y ofertas exclusivas para suscriptores, date de alta a nuestra lista de correo

Acepto recibir comunicaciones comerciales de MINORISA DE SISTEMAS INFORMÁTICOS Y DE GESTIÓN, S.L., según la política de privacidad, que he leído y acepto sin reservas, donde consta información adicional sobre su tratamiento y sobre el ejercicio de mis derechos de acceso, rectificación, limitación, supresión, oposición o portabilidad de mis datos.

Minorisa de Sistemas Informaticos y Gestión S.L. © 2026

Aviso Legal - Política de privacidad de datos - Política de cookies - Configurar cookies - Condiciones de uso - Canal del Informante

ACCEDER REGISTRARSE

Idioma
- ES
- CAT
- EN