Blog Tecnológico

Blog everyWAN

Tecnología, ciberseguridad y tendencias IT que importan

Análisis Profundo
Ciberseguridad
Tendencias IT
Filtrar por:
Antenas de telefonía móvil instaladas sobre la azotea de un edificio de ladrillo, con los mástiles y el cableado a la vista
9 min lectura

Dos operadores en la factura, un solo núcleo en la red

El 21 de octubre de 2026 Orange estuvo casi diez horas sin servicio móvil en toda Francia por un fallo en el núcleo de su red; la fibra, en cambio, aguantó. Si el plan B de tus ocho sedes es una SIM, ese día no tenías ocho respaldos: tenías uno. Explicamos por qué la diversidad de ruta física no cubre este fallo, cómo leer en diez minutos el código PLMN de cada router para saber sobre qué red está registrado de verdad —y qué NO contesta ese código—, por qué en España quedan menos núcleos independientes de los que sugiere la factura (Orange y Yoigo son el mismo grupo con núcleo único de Ericsson; Digi tiene núcleo propio pero comparte radio con Movistar), y por qué una conmutación que mira si el enlace está «up» no se entera de un fallo de núcleo.

Armario de red de pared con equipamiento y cableado a la vista
6 min lectura

PAN-OS CVE-2026-0322: no hay un parche, hay veinte

Palo Alto publicó el aviso el 14 de octubre de 2026 con explotación ya observada, y CISA lo metió en el KEV el mismo día con plazo federal del 17 y la casilla de triaje forense marcada. Cuando abres el aviso buscando el parche, no encuentras uno: encuentras veinte versiones corregidas repartidas en cinco ramas, seis solo en la 11.1, porque el fabricante corrige en el tren de mantenimiento donde ya estás. Qué dice exactamente el aviso, qué empuja el 8,6 arriba y abajo a la vez, por qué Panorama es la pieza que más duele, y las cinco cosas que haríamos esta semana.

Armario de distribución de fibra abierto, con bandejas, latiguillos y módulos a la vista
9 min lectura

Dos 10.0 en Arista EOS y ningún hotfix: lo decide tu configuración, no tu versión

Dos fallos de 10.0 sobre 10 en switches de centro de datos, ambos sin hotfix, publicados en septiembre y con muy poco ruido alrededor. El motivo de ese silencio es también la parte interesante: no se sabe a cuántos afectan, porque la exposición no la decide la versión instalada sino dos líneas de configuración que casi nadie inventaría. Qué dicen exactamente los avisos de Arista, por qué son 10.0 y no 9,8, cuál es la comprobación de veinte segundos por equipo y los tres campos que faltan en el inventario de cualquier red.

Mesas de una oficina vacía con una silla, archivadores y un monitor apagado
8 min lectura

El apaño era apagar Global Secure Access: el consejo que tu propia política bloquea

El 13 de octubre, tras casi once horas de degradación, el apaño que se ofreció fue apagar Global Secure Access. Llegó once minutos antes de que la incidencia se diera por cerrada, y en los tenants configurados como recomienda la propia documentación ese paso no funciona: apagar el cliente y quedarte fuera es, literalmente, la prueba de que la comprobación de red conforme está bien puesta. El procedimiento correcto existe y lo publicó Microsoft en marzo, con dos scripts; lo que ninguno de los dos te dice es cuánto tarda cada paso en notarse.

Parte trasera de un armario de servidores con los latiguillos de red saliendo de cada nodo hacia los de al lado
10 min lectura

La malla de Ceph sin switch tiene cuatro variantes. Dos se rompen con un cable

Tres nodos conectados entre sí a 25 GbE sin comprar un switch es de las mejores decisiones que se pueden tomar con poco dinero. Proxmox documenta cuatro formas de cablearlo y solo dos sobreviven a que se caiga un enlace: en las otras dos, dice su propia wiki, «los nodos tienen visiones distintas» y Ceph marca como caídos servicios que están perfectamente vivos. Desde Proxmox VE 9 esa malla se configura desde la interfaz, con cuatro protocolos de fabric. Y la documentación oficial sigue etiquetando esa capa como tech preview.

Repartidor de fibra óptica con conectores verdes y latiguillos amarillos, y la mano de un técnico alcanzando un puerto
9 min lectura

El circuito estaba bien y la videollamada se cayó igual

Tu operador cierra la incidencia como «dentro de los parámetros contratados» y tu SD-WAN tiene la gráfica del corte. Las dos cifras son correctas: lo que cambia es el punto de medida, la ventana y la clase de tráfico, y las tres cosas están en las normas que hay debajo del contrato. La recomendación ITU-T Y.1541 pide que cualquier minuto observado cumpla; un contrato de disponibilidad promedia el mes entero, y dentro de un 99,9% mensual caben 129 cortes de veinte segundos sin incumplirlo. Las siete líneas de anexo que hay que escribir antes de firmar.

Armario de comunicaciones real con switch, regletas de conexión y latiguillos de fibra sobre pared de contrachapado
8 min lectura

Trece de los veintiocho fallos de ClearPass están en el agente, no en el servidor

HPE publicó el 6 de octubre de 2026 el aviso HPESBNW05158 con 28 vulnerabilidades de ClearPass Policy Manager: 10 críticas, 11 altas y 7 medias. La mitigación provisional que recomienda el propio aviso nombra la CLI y la interfaz web de gestión, las dos del servidor. Hemos clasificado los 28 por el componente que HPE nombra en cada título: trece están en el agente OnGuard o en el software cliente, es decir, en los portátiles. Dos de esos trece son críticas de 9,8 sin autenticación previa. Dentro: la tabla de los trece, la nota de fin de mantenimiento que decide si lo tuyo es un parche o un salto de rama, y la pregunta que conviene responder antes de la ventana de cambio.

Armario de cableado de red con latiguillos de pares trenzados y paneles de parcheo
8 min lectura

Caída de Azure: cuatro puertas y el sitio donde guardabas el plan B

El 30 de septiembre de 2026, cinco horas y cuarenta y cinco minutos de incidente en Azure. De los cinco servicios que Microsoft lista como afectados, cuatro son el camino hasta tu infraestructura y el quinto es Azure VMware Solution. Dentro: qué dice y qué no dice el parte oficial 7Q30-010, el reloj real de la detección, por qué la cifra de regiones que circula no está en la fuente, y qué pasa con tu procedimiento de contingencia cuando lo que falla es la consola.

Pasillo entre racks de equipos de red en una sala técnica
9 min lectura

CVE-2026-76504: la regla comparaba texto, no recursos

Cisco publicó ayer el aviso del Catalyst SD-WAN Manager: CVSS 9,8, explotado antes de que se publicara el aviso, y CISA dando tres días para arreglarlo. La autenticación no falló. Falló la lista que decide qué peticiones tienen que pasar por ella: la lista decía /j_security_check y la petición decía /%6a_security_check, que es la misma ruta con la jota escrita en hexadecimal. Dos cadenas distintas para la lista, el mismo recurso para el servidor de detrás, y en ese hueco de un carácter cabe un administrador. Lo que decide cómo se lee todo lo demás es por qué esa ruta TENÍA que estar exenta de la comprobación de sesión: es donde se consigue la sesión, y si la protegieras nadie podría iniciar sesión nunca. Así que el fallo no es tener la excepción, es cómo se comprueba si una petición cae dentro. Y eso no es de Cisco: pasa en cualquier sitio donde la capa que protege una ruta por su nombre no es la misma que la resuelve. Dentro: la tabla de ramas y primeras versiones corregidas, la prueba de treinta segundos para mirarlo en tu propio proxy, los dos grep que contestan si entraron antes del parche, y la pregunta incómoda de si esos registros salen del aparato.

Armario de comunicaciones con cortafuegos y panel de parcheo en una sala técnica
10 min lectura

El certificado que ACME no renueva es el que te deja sin VPN

Haz la suma: 15 de marzo de 2026, el día en que entró en vigor el techo de 200 días para los certificados TLS públicos, más 200 días. Sale el 1 de octubre. Hoy. Los primeros certificados emitidos con la regla nueva empiezan a vencer esta semana, y esto deja de ser un asunto de 2029. El calendario del CA/Browser Forum (papeleta SC-081v3, 25 autoridades a favor y ninguna en contra) baja a 100 días el 15 de marzo de 2027 y a 47 en 2029, con la validación del dominio en 10 días: unas 37 validaciones al año por nombre. El 47 ni es arbitrario ni es redondo: es 31 + 15 + 1, calculado para que quepa una renovación mensual con margen para un reintento. Pero el servidor web se renueva solo desde hace años; el problema es el portal del cortafuegos, la pasarela de VPN y el RADIUS del EAP-TLS. Y aquí va la conclusión incómoda: ACME valida desde fuera, y esos equipos no están publicados en Internet precisamente porque segmentaste bien. Cuanto mejor está tu red, peor es tu situación. Qué camino queda, qué riesgo nuevo trae dar a un script permiso de escritura en tu DNS, por qué media lista no tendría que estar en la cadena pública, y las cuatro columnas que deciden solas qué hacer con cada línea.

Armario de comunicaciones de pared en una sede pequeña, con router, módem y switch conectados con cables de red
9 min lectura

Tu túnel entre sedes no pide MFA porque no hay nadie a quien pedírselo

CVE-2026-85102 entró en el catálogo de CISA el 22 de septiembre con tres días de plazo, y casi todas las lecturas se quedaron en «parchea la VPN de acceso remoto». La descripción oficial dice «Site to Site VPN or Remote Access VPN»: también el túnel entre tus sedes, donde no hay usuario al que pedirle un segundo factor, la confianza se configuró una vez y no caduca, y el fallo ocurre durante la negociación del certificado, antes de que tu MFA y tu acceso condicional lleguen a ejecutarse. Con el matiz que casi nadie cuenta (ese camino solo aplica si el túnel autentica por certificado, no con clave precompartida), la lectura cruzada de los dos avisos —la rama que te salva de uno es la que aparece en el alcance del otro— y las cuatro cosas que miraríamos esta semana.

Vista aérea de un enlace de autopista en trébol, con varias rutas posibles entre los mismos dos puntos
8 min lectura

El orquestador de tu SD-WAN es la llave de todas tus sedes

El 22 de septiembre CISA añadió al catálogo de vulnerabilidades explotadas la CVE-2026-93952: un 10,0 sobre 10 en VeloCloud Orchestrator, el sistema que configura todas las sedes de una red SD-WAN. El segundo 10,0 explotado en ese mismo orquestador en ocho semanas. Y la condición de explotación que publica el propio fabricante es un renglón incómodo: hace falta acceso a la parte PÚBLICA del certificado con el que el equipo de la sede se autentica. Por qué eso apunta al modelo de confianza y no solo a un fallo de validación, qué hacer si tu rama de versión todavía no tiene parche, los tres rastros que buscar hoy en el sistema de ficheros, y la pregunta que hacemos antes de centralizar un plano de control.

Rack de comunicaciones con paneles de parcheo, latiguillos de red y una bandeja de fibra en la parte baja
5 min lectura

El DDoS que te tumba no sale en los titulares

El 96,62 % de los ataques de capa de red que mitigó Cloudflare en el primer semestre de 2026 se quedó por debajo de 500 Mbps y el 90,60 % terminó en menos de diez minutos. El ataque que sale en la prensa mide decenas de terabits; el que va a dejar sin servicio a una empresa mediana cabe en un enlace de fibra corriente y se acaba antes de que nadie coja el teléfono. Por qué la métrica que importa es el tiempo de activación y no los terabits de capacidad, qué cambia que las inundaciones de DNS hayan pasado del 25,7 % al 40 % en un trimestre, y las cinco preguntas que hacemos antes de contratar cualquier mitigación.

Armario de comunicaciones con paneles de parcheo y una maraña de cables de red azules
5 min lectura

El parche de tu switch llevaba 97 días publicado

CISA añadió el 21 de septiembre un solo CVE a su catálogo de vulnerabilidades explotadas: un desbordamiento de pila en el CGI del firmware de los switches Zyxel GS1900, sin autenticación y con ejecución de órdenes. Zyxel publicó el aviso y los diez firmwares corregidos el 16 de junio: 97 días antes. Hemos contado las 30 entradas que ha recibido el catálogo en lo que va de mes y la mediana es de 5 días, así que la lista mezcla dos poblaciones distintas. Por qué «LAN-based» no es una atenuante sino el requisito del ataque, qué no dice la letra pequeña sobre los modelos fuera de soporte, y por qué la entrada pide triaje forense antes de reflashear.

Cerro con torres de comunicaciones, antenas parabólicas y radioenlaces contra el cielo
9 min lectura

MikroTik cerraba ese puerto de fábrica: la vulnerabilidad es suya, la excepción es tuya

CERT Polska publicó el 5 de septiembre seis vulnerabilidades en RouterOS; dos encadenadas dan control total de un MikroTik sin autenticarse, y Shadowserver contó 122.500 equipos con SSH accesible desde internet. El aviso del propio fabricante dice que su configuración de fábrica bloquea ese puerto. Lo que hay que mirar, entonces, no es el CVE: es quién abrió la excepción, cuándo, y por qué nadie le puso fecha de caducidad.

Armario de red de pared en una sede pequeña: switch de 16 puertos, router, ONT y cableado desordenado
5 min lectura

En la sucursal no compraste un cortafuegos: compraste una casilla del SD-WAN

Arista retira las Security VNF de VeloCloud: el cortafuegos de Fortinet, Palo Alto o Check Point que corría dentro del Edge deja de tener soporte el 28 de febrero de 2027, y la 5.2.x es la última versión que lo aguanta. Lo que caduca no es una licencia, es la idea de que el cortafuegos de la sucursal era tuyo: el día que la seguridad se convirtió en una casilla del producto de transporte, su calendario dejó de depender de ti.

Interior de un armario de comunicaciones de planta con switch, panel de conexiones y cableado de cobre y fibra
12 min lectura

Cisco ISE, un 10 sin mitigación: tu red ya decidió qué hace sin él

Cisco publicó el 16 de septiembre un CVSS 10.0 en Identity Services Engine: salto de autenticación en una API, sin mitigación posible, explotación activa y ejecución de comandos como root. Antes de discutir la ventana de mantenimiento hay dos cosas que mirar: el access.log del propio ISE, porque el aviso trae indicadores y la recomendación de reinstalar el nodo si aparece algo, y el show run de un switch de planta, porque ahí está escrito lo que hará tu red cuando el motor de políticas no conteste. El valor por defecto de radius-server deadtime es 0.

Panel de parcheo a oscuras con cuatro conectores RJ45 desconectados
10 min lectura

Cisco FMC: parchear cierra la puerta, pero nadie te devuelve el plano de tu red

El 9 de septiembre Cisco Talos confirmó explotación activa de dos fallos del Secure Firewall Management Center, y contó tres grupos de atacantes distintos dentro de la misma caja. Uno de ellos desplegó dos scripts para recolectar las configuraciones de los cortafuegos gestionados. Ahí está lo que casi nadie comenta: las credenciales se rotan, el dominio se restaura, y la configuración de tu perímetro no se rota. Es una descripción de tu red, y sigue siendo válida después del parche.

Armario de comunicaciones de pared con switch y cables de red
10 min lectura

Windows DNS, un 9,8 sin autenticar: lo que convierte un fallo en gusano no es el fallo, es tu red

Microsoft publicó el 8 de septiembre la mayor tanda de parches de su historia. Dustin Childs, de la Zero Day Initiative, cuenta veinte que podrían clasificarse como gusanables, repartidos en trece componentes. Esos trece no son una lista: son dos. Siete de esos CVE están en servicios que tu dominio obliga a alcanzar —DNS, Netlogon, Active Directory, DHCP— y once están en roles que Windows no instala solo. La primera mitad se gestiona con orden de parcheo; la segunda, desinstalando. Y casi nadie sabe cuál de las dos tiene encendida.

Armario de red mural abierto en el pasillo de una oficina, con anillas pasahilos y cables recogidos, y un extintor apoyado en la pared al fondo
7 min lectura

El parche de julio es la versión vulnerable de septiembre

SonicWall cerró el par de zero-days del SMA 1000 en la build 12.4.3-03453 el 14 de julio. El aviso del 1 de septiembre declara afectada la 12.4.3-03453 y anteriores: quien cumplió el plazo de tres días del KEV aterrizó justo en la versión que 49 días después vuelve al catálogo, con la misma forma de fallo. Cuando un aparato repite la forma del fallo, la pregunta deja de ser si está parcheado y pasa a ser hasta dónde llega esa caja.

Suscríbete a nuestra newsletter

Para recibir historias del mundo IT, novedades de everyWAN y ofertas exclusivas para suscriptores, date de alta a nuestra lista de correo

everyWAN
everyWAN