10 Nov 2026 13 min lectura Apaga la consola que gestiona todos tus equipos, hasta nuevo aviso El 9 de noviembre un fabricante recomendó a sus clientes apagar el servidor desde el que gestionan todos sus equipos y dejarlo apagado. Seis días antes les había dicho que lo actualizaran cuanto antes. Dentro: la cronología con las citas literales, por qué tu escáner solo ve la capa que tiene número, las cinco entradas que ese producto ya acumulaba en el catálogo de fallos explotados, y un runbook de 48 horas para operar sin plano de gestión.
9 Nov 2026 9 min lectura 257 bytes abren la cuenta a la que le quitaste la contraseña El 5 de noviembre de 2026 OpenSSH publicó la 10.6p2 para tapar un fallo que, según sus propios desarrolladores, no es suyo. El mantenedor de musl dice que tampoco es de musl. Los dos tienen razón, y entre las dos frases cabe una sesión como root. Dentro: cómo tres decisiones defensibles tomadas en 2012 y 2016 acaban comparando un asterisco con un asterisco; por qué las cuentas explotables son justo las que dejaste solo con clave pública; por qué OpenWrt aparece en todas las listas y casi nunca está afectado; y las cuatro comprobaciones concretas de esta semana.
9 Nov 2026 8 min lectura El reinicio no recupera el aparato que guarda tus copias El 2 de noviembre de 2026 Veeam publicó el kernel que arregla un fallo con 9,8 sobre 10 en sus aparatos de copias. Dos días después publicó un aviso sobre ese mismo aparato recomendando desactivar las actualizaciones automáticas, porque en ciertos procesadores AMD EPYC el arranque se para con un kernel panic. Dentro: lo que dice de verdad el «9» del mensaje de error leído en el código del kernel que arranca el aparato, la línea con un if que convierte ese fallo en una máquina parada, por qué los tres procesadores de la lista son en realidad una sola generación, por qué reiniciar el sistema operativo no recupera la máquina, y las cuatro cosas que miraríamos esta semana si tus copias viven en un aparato cerrado.
7 Nov 2026 9 min lectura Restaurar un volcado ajeno te puede crear una cuenta root El 3 de noviembre de 2026 MongoDB publicó cuatro avisos de seguridad de golpe. Ninguno de los cuatro se parchea en el servidor: todos se cierran subiendo las Database Tools a 100.20.1, el paquete de binarios que vive en el portátil del técnico, en la imagen del contenedor que hace la copia de noche y en el jump host. Dentro: por qué excluir el espacio admin no te salva (lo dice el aviso), las cuatro CVE con sus dos puntuaciones contradictorias, lo que el changelog cuenta y los avisos no, por qué tu escáner no va a encontrar nada, por qué Ubuntu ya no trae el paquete, cuándo esto NO corre prisa y el censo de seis comprobaciones.
5 Nov 2026 9 min lectura Un día cero en diciembre, munición de serie en agosto Durante una semana de agosto de 2026 bastaba con abrir desde el iPhone la web de una gasista ucraniana: el atacante había metido código en un servicio de analítica que cargan miles de páginas. Sekoia publicó el análisis el 4 de noviembre y ninguna de las tres cadenas usaba un día cero. Una de ellas es DarkSword, un kit de vigilancia comercial cuyo código llevaba cinco meses tirado en GitHub. Reconstruimos la campaña por la edad del parche de cada pieza y acabamos donde duele: la rama de iOS a la que apuntaba la cadena más vieja seguía recibiendo actualizaciones 108 días antes del ataque.
5 Nov 2026 9 min lectura Aplicaste el parche del switch y seguías expuesto 128 días El 16 de junio Zyxel publicó diez firmwares corregidos para los switches GS1900. El 3 de noviembre publicó otro aviso: los diez llevaban dentro el mismo fallo. El diff de binarios de Binarly muestra por qué el parche de junio dejó el fallo dentro —comprobaba el contador de parámetros después de copiarlos— y deja una pregunta que no arregla ningún firmware: qué hacer cuando lo que se llevaron de 996 switches fueron las configuraciones y las credenciales de root. Incluye la corrección de algo que escribimos nosotros en septiembre.
5 Nov 2026 9 min lectura Cuatro CVE en AuthPoint y ninguno toca el segundo factor El 4 de noviembre WatchGuard publicó cuatro vulnerabilidades en AuthPoint Authentication Gateway, de 8,9 a 9,2 en CVSS v4, todas corregidas en la 7.6.0. Leídas una detrás de otra, ninguna de las cuatro habla del segundo factor: tres hablan del tramo de red entre el gateway y tus servidores de autenticación locales, y una de la máquina donde vive el gateway. Repasamos las cuatro fichas una a una, lo que dice el vector CVSS que no dice el titular, y por qué la pieza intermedia que instalaste una vez no está en tu inventario de parcheo.
4 Nov 2026 9 min lectura XSA-523 no tiene mitigación: tiene reinicio del host El aviso de Xen del 3 de noviembre dice que un invitado malicioso puede leer y escribir memoria arbitraria de otros dominios, incluido Dom0, y en el apartado de mitigación pone cinco palabras: «There is no known mitigation». El parche pide reiniciar el host. Contamos los avisos de Xen año por año sobre el JSON oficial —47 publicados en 2026 frente a 10 en todo 2025— y repasamos por qué las grant tables son la zona caliente del año y qué se decide antes de que llegue el siguiente aviso, que ya tiene fecha: 10 de noviembre, 18:00 UTC.
1 Nov 2026 9 min lectura Synology: tres versiones del ataque y un parche que tu pantalla no enseña En dos días salieron tres explicaciones incompatibles del mismo cifrado de NAS: Synology señala un fallo de 2024, el equipo antiransomware de 360 señala dos de septiembre de 2026, y un equipo de respuesta documenta una víctima que ya corría una compilación posterior. Las dos primeras caben a la vez y los números de compilación lo explican: entre 7.2.2-72806-1 y 7.2.2-72806-9 hay ocho builds al día de 2024 y expuestos a 2026. La tercera no necesita un día cero: el 22 de octubre Synology publicó dos vulnerabilidades de 9,8 que no viven en DSM, sino en los paquetes. En un NAS hay dos inventarios de parches y la pantalla de versión solo enseña uno.
31 Oct 2026 8 min lectura Siete versiones corregidas en el CVE y ninguna arranca tu Proxmox CVE-2026-98432 es un 9,8 en el kernel Linux: uso después de liberar en el saludo TCP de IPv4, explotable sin credenciales ni interacción. El aviso lista siete versiones corregidas —5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 y 7.2.10— y ninguna coincide con la rama que arranca un nodo Proxmox. Qué dispara el fallo según la justificación campo a campo del propio CVE, el reloj de Debian, Ubuntu, Red Hat y Proxmox a 31 de octubre, qué prueba el exploit ya publicado y qué no, y seis comprobaciones con comando.
30 Oct 2026 9 min lectura ESXi: el 2,7 que dejamos de quinto era un día cero El 30 de julio pusimos CVE-2026-41709 el último de una lista de cinco: 2,7 sobre 10, «registro insuficiente» en VMware ESX. Noventa días después CISA lo mete en el catálogo de explotadas porque un actor lo usaba como día cero. Volvemos sobre aquel post y corregimos dos cosas: la ventana dudosa no empieza en la fecha del aviso, y sacar los registros de la caja no arregla una no-escritura.
28 Oct 2026 8 min lectura Windows Update cambia de certificado en 2027 y la copia que restaures no lo trae El aviso MC1491763, del 8 de octubre de 2026, fija dos fechas: el 17 de mayo y el 19 de junio de 2027 caducan los certificados con los que tus equipos confían en Windows Update, y el de repuesto viaja dentro de una actualización mensual. La tabla de las cinco familias con su actualización mínima, la asimetría que no cuadra a primera vista (la plataforma más nueva tiene el requisito más antiguo), por qué los equipos tras WSUS quedan fuera, y la consecuencia que no está en el aviso: una restauración devuelve la máquina con el nivel de actualización que tenía el día de la copia.
28 Oct 2026 9 min lectura Hotpatch prometía cuatro reinicios al año y 2026 ha pedido ocho Microsoft publicó ayer el aviso MC1527979: las actualizaciones de seguridad de noviembre y diciembre de 2026 exigen reinicio en los Windows Server 2022 con hotpatch. Con eso, el calendario oficial del año cierra en ocho meses con reinicio y cuatro sin, justo al revés de lo que vende la función. La cuenta mes a mes de la tabla de Microsoft, la cláusula de las baselines no planificadas que lleva años publicada, por qué Windows Server 2025 sí conserva noviembre y diciembre, las tres cosas que hotpatch nunca cubrió, y la pregunta que de verdad importa: cuánto cuesta un reinicio en tu infraestructura.
27 Oct 2026 8 min lectura El salto a Ceph Tentacle en Proxmox te cobra lo que montaste en 2020 El 31 de octubre la rama Squid de Ceph deja de recibir backports y mucho clúster hiperconvergido de Proxmox tiene el salto a Tentacle en la agenda de esta semana. El procedimiento funciona. Lo que nadie apunta en la ventana de mantenimiento es la factura del día después: los OSD creados en Octopus o antes pueden hinchar su META hasta que el panel de Proxmox muestre menos espacio del que tenías, dos módulos del manager que llevaban desde 2020 funcionando desaparecen, el paso del MDS te pide quedarte sin standby, y la combinación concreta de versiones entre origen y destino puede no haberse probado nunca. Medición propia de los repositorios de Proxmox, las cuatro situaciones posibles, cuándo NO saltar esta semana y las seis comprobaciones antes de tocar el repositorio.
26 Oct 2026 9 min lectura Tu inventario no tiene una línea para Brotli CVE-2026-111497 es una escritura fuera de límites en el decodificador Brotli de Google: ocho bytes de búfer interno de los que cuelgan Node.js, Bun, Python, Envoy, Istio, .NET, FFmpeg, ClickHouse y Apache Arrow. En cuatro días tuvo cinco nombres —Node2Shell, Python2Shell, HTTP2Shell, Brotli2Shell y Broccoli2Shell— y cada uno fue alguien descubriendo que el radio era mayor de lo que creía. La corrección llevaba publicada río arriba desde el 27 de febrero. La palabra que se repite en todos los avisos es «empaquetado»: Arrow lleva dentro Brotli 1.0.9, .NET lleva su propia copia y ClickHouse mantiene un fork. Por qué «¿está parcheado?» no tiene una respuesta sino ocho relojes distintos, por qué la petición la haces tú y no tu perímetro, y el censo de cinco preguntas con las órdenes exactas.
24 Oct 2026 10 min lectura Dos horas de una web PHP a los hashes del dominio El 21 de octubre de 2026 CISA pidió algo que no se escribe a la ligera: quien no pueda parchear PHP de inmediato, o siga en 8.1 o anterior, que retire de la red sus sistemas basados en PHP. Son CVE-2026-109618 y CVE-2026-109619, ambas con 9,2 de CVSS v4.0, y los detalles se filtraron antes de que existiera el parche. Pero lo que nos interesa no es la puerta: en el caso que documenta Unit 42 contra una entidad gubernamental europea pasaron dos horas entre la entrada y los hashes de contraseñas, los secretos de MFA y un túnel NTLM hacia el Active Directory. Ese camino no lo abrió PHP. Con la tabla de ramas, las mitigaciones que no mitigan y la comprobación de veinte minutos.
23 Oct 2026 10 min lectura Tu escáner dice cero críticas y el exploit da root El 21 de octubre de 2026 la Zero Day Initiative mandó cinco informes de fallos del kernel de Linux al equipo de seguridad y, por error, a las listas públicas de desarrollo. Tres llevaban código de prueba completo. Ninguno tiene CVE, porque el kernel sólo asigna número cuando el arreglo ya está en una rama estable. Y uno de ellos ya ha dado root en AlmaLinux 8, 9 y 10, Debian 12 y 13 y Ubuntu 24.04 y 26.04, esquivando el arreglo de Dirty Frag. Explicamos por qué el de 9,0 probablemente no te toca y el de 7,8 sí, qué comprobar en cada máquina y las trampas que tiene comprobarlo, y por qué el número que acabará apareciendo en tu escáner no es un aviso sino un recibo.
22 Oct 2026 9 min lectura La firma era buena; el DLL de al lado, no El 19 de octubre de 2026 Siemens confirmó explotación real de CVE-2026-110936 en su Software Center. Lo que se ejecutó en las máquinas de las víctimas era una copia auténtica y correctamente firmada del programa: el atacante sólo tuvo que dejar un archive.dll en la misma carpeta. Si tu control de aplicaciones autoriza «lo firmado por un editor conocido», esta campaña pasa el filtro por diseño, no por fallo. Explicamos qué responde una firma digital y qué no, por qué el vector CVSS dice «local» y tu cola de parches lo lee como «no corre prisa», las tres señales de comportamiento que sí dejan rastro, y las tres preguntas que puedes contestar esta tarde.
21 Oct 2026 10 min lectura Las cinco puertas de SafePay: ninguna es de 2026 El aviso conjunto del 20 de octubre de 2026 sobre SafePay —FBI, CISA, Servicio Secreto y tres cuerpos policiales europeos, al menos 600 víctimas desde agosto de 2024— cita cinco vulnerabilidades explotadas. Ninguna es de 2026 ni de 2025: tres están en el cortafuegos que te deja entrar y dos en el servidor de copias que tenía que salvarte. El detalle que casi nadie ha contado es que a los NAS no les borran los ficheros: los devuelven a valores de fábrica. Repasamos las cinco puertas con sus versiones corregidas, por qué parchear no cierra la sesión que ya se llevaron, cuándo NO conviene parchear mañana a primera hora y las ocho comprobaciones que hacemos nosotros.
20 Oct 2026 9 min lectura Redis: el parche llevaba 164 días publicado El 16 y 17 de octubre de 2026 unos señuelos registraron los primeros intentos de explotación de CVE-2026-25243, el fallo del comando RESTORE de Redis. El parche se publicó el 5 de mayo: 164 días antes. Durante esos 164 días el fallo llevaba dos notas, 7,7 de quien lo publicó y 8,8 del NVD, que no se pueden comparar porque salen de dos versiones distintas de CVSS; y una ficha de CISA fechada el 6 de mayo que todavía hoy dice «sin explotación conocida». Repasamos por qué esas dos notas no se pueden restar, por qué «requiere autenticación» hace menos trabajo del que crees, las seis ramas parcheadas que el propio registro del CVE no menciona y las cinco comprobaciones que dejan el asunto cerrado.