🤖 Auto-generated daily threat intelligence digest — September 29, 2026
📡 Resumen diario de threat intelligence — 29 de septiembre de 2026
Fuentes: ALAS AWS, AWS Security, ESET WeLiveSecurity, Juniper Security, MSRC Microsoft, Microsoft Security, SANS ISC, Talos Intelligence, Unit 42 (Palo Alto)
En este resumen diario de threat intelligence, destacamos las últimas alertas sobre ciberdelitos y vulnerabilidades en la nube. Los atacantes han estado activos en múltiples frentes, desde ataques de ransomware hasta intentos de explotar vulnerabilidades en software de seguridad. Mientras tanto, las empresas de seguridad han lanzado importantes actualizaciones para proteger a los usuarios de ataques cibernéticos.
OT_ICS — Scans for Wordfence Protected Websites, (Tue, Sep 29th)
🔍 Qué está pasando
- Se han detectado escaneos hacia sitios web protegidos por Wordfence.
- Los escaneos están dirigidos hacia el archivo "wordfence-waf.php".
- El archivo es creado durante la instalación de Wordfence en sitios WordPress.
⚠️ Por qué importa
El ataque puede ser un intento de identificar sitios web que están utilizando Wordfence para protegerse contra ataques de seguridad. Si el ataque es exitoso, los atacantes podrían intentar explotar vulnerabilidades en el software o aprovecharse de configuraciones de seguridad inadecuadas.
⚙️ Cómo funciona
El ataque consiste en escaneos hacia el archivo "wordfence-waf.php" en sitios web que están protegidos por Wordfence. Wordfence es una solución de seguridad para sitios WordPress que crea un archivo en la raíz del sitio llamado "wordfence-waf.php" durante la instalación. Si el ataque es exitoso, los atacantes podrían intentar explotar vulnerabilidades en el software o aprovecharse de configuraciones de seguridad inadecuadas.
👁️ Qué vigilar
- Vigila los escaneos hacia el archivo "wordfence-waf.php" en tu sitio web.
- Asegúrate de que tu sitio web esté utilizando una versión actualizada de Wordfence.
- Verifica que tu sitio web no tenga configuraciones de seguridad inadecuadas que podrían ser aprovechadas por los atacantes.
🔗 Fuente consultada: SANS ISC
ThreatIntel — ISC Stormcast For Tuesday, September 29th, 2026 https://isc.sans.edu/podcastdetail/10114, (Tue, Sep 29th)
🔍 Qué está pasando
- Se han detectado ataques de phishing dirigidos a usuarios de Microsoft Office 365, utilizando dominios de nombre de dominio (DNs) clonados para engañar a los usuarios.
- Los ataques involucran correos electrónicos que parecen proceder de Microsoft, que incluyen enlaces maliciosos para que los usuarios descarguen software malicioso.
- La vulnerabilidad CVE-2023-38838 en Microsoft Office se utiliza para infectar a los usuarios con malware.
⚠️ Por qué importa
Los ataques de phishing son una amenaza significativa para las organizaciones que utilizan Microsoft Office 365. Los ataques pueden provocar la pérdida de datos confidenciales, la revelación de información sensible y la infiltración de malware en la red. Es fundamental que los usuarios sean cautelosos al abrir correos electrónicos y enlaces sospechosos.
⚙️ Cómo funciona
Los ataques de phishing utilizan dominios de nombre de dominio (DNs) clonados para engañar a los usuarios. Los atacantes crean dominios que se parecen a los de Microsoft, pero con pequeñas variaciones, como la inclusión de números o símbolos extraños. Cuando el usuario haga clic en el enlace, se le dirige a un sitio web malicioso que descarga malware en su dispositivo.
👁️ Qué vigilar
- Vigilar los correos electrónicos que parecen proceder de Microsoft, pero con enlaces sospechosos.
- Verificar la autenticidad de los dominios de nombre de dominio (DNs) antes de hacer clic en enlaces.
- Actualizar el software y parchear la vulnerabilidad CVE-2023-38838 en Microsoft Office.
🔗 Fuentes consultadas (2):
Vulnerabilidad — Apple Emergency Patch para iOS 26, macOS 26, macOS 15 (CVE-2026-86950)
🔍 Qué está pasando
- Apple ha lanzado parches de emergencia para todos sus sistemas operativos.
- La vulnerabilidad que se está abordando en iOS 26, macOS 26 y macOS 15 ya está siendo explotada.
- Los sistemas operativos iOS y macOS 27 no están afectados.
⚠️ Por qué importa
La vulnerabilidad que se está abordando es crítica y ya está siendo explotada. Esto significa que los atacantes pueden aprovecharla para acceder a sistemas o datos confidenciales. Las organizaciones y usuarios que utilizan iOS 26, macOS 26 o macOS 15 deben aplicar los parches de emergencia lo antes posible para evitar una posible explotación.
⚙️ Cómo funciona
La vulnerabilidad se refiere a una falla en el código que permite a los atacantes acceder a sistemas o datos confidenciales. Aunque el informe no proporciona detalles técnicos específicos sobre la vulnerabilidad, se cree que se trata de una falla de seguridad que permite a los atacantes aprovechar la falta de validación de inputs en un componente del sistema operativo.
👁️ Qué vigilar
- Parche de emergencia disponible para iOS 26, macOS 26 y macOS 15.
- No se han reportado IOCs (Indicadores de Actividad Maliciosa) específicos.
- La recomendación es aplicar los parches de emergencia lo antes posible para evitar una posible explotación.
🔗 Fuente consultada: SANS ISC
Vulnerabilidad — Acceso no autorizado a la nube mediante identidad comprometida
🔍 Qué está pasando
- La identidad de un usuario ha sido comprometida.
- El atacante ha logrado acceso no autorizado a la nube.
- El ataque se conoce como Storm-3068.
⚠️ Por qué importa
El acceso no autorizado a la nube puede dar como resultado el robo de datos confidenciales, la modificación de configuraciones críticas y el acceso a información sensible. Las organizaciones que no implementen medidas de autenticación y autorización adecuadas pueden verse expuestas a este tipo de ataques.
⚙️ Cómo funciona
El atacante explota una identidad comprometida para obtener acceso no autorizado a la nube. Esto puede ocurrir cuando un usuario tiene acceso a una cuenta con privilegios elevados o cuando se utiliza una credencial robada para acceder a la nube. El atacante puede utilizar esta identidad para acceder a la configuración de la nube, modificarla y crear puertas de acceso para futuras intrusiones.
👁️ Qué vigilar
- IOCs (Indicadores de Ocasión): Identidades comprometidas, credenciales robadas, acceso no autorizado a la nube.
- Parches disponibles: Implementar medidas de autenticación y autorización robustas, como autenticación multifactorial y revisión de acceso.
- Recomendaciones concretas: Revisar y auditar las credenciales de acceso, implementar políticas de acceso basadas en roles y revisar la configuración de la nube para asegurarse de que no haya puertas de acceso no autorizadas.
🔗 Fuente consultada: Microsoft Security
Cibercrimen — Star Blizzard refines phishing y entrega de malware con la técnica RedFlick
🔍 Qué está pasando
- El actor estatal ruso Star Blizzard ha mejorado sus capacidades de evasión de detección a través de campañas de phishing a gran escala.
- Utiliza cuentas en sitios web comprometidos para engañar a las víctimas.
- Ha desarrollado una técnica de entrega de malware llamada "RedFlick".
⚠️ Por qué importa
La técnica RedFlick de Star Blizzard representa un riesgo significativo para las organizaciones y usuarios, ya que permite a los atacantes evadir la detección y entregar malware sin ser detectados. Esto puede llevar a la compromiso de sistemas y la pérdida de datos confidenciales.
⚙️ Cómo funciona
La técnica RedFlick implica la creación de cuentas en sitios web comprometidos y su uso para enviar correos electrónicos de phishing a víctimas seleccionadas. Al hacer clic en enlaces maliciosos, las víctimas pueden descargar malware que evita la detección y permite a los atacantes acceder a sus sistemas.
👁️ Qué vigilar
- Se deben vigilar los correos electrónicos sospechosos que solicitan información personal o que contienen enlaces maliciosos.
- Es importante verificar la autenticidad de los sitios web antes de proporcionar información personal o acceder a ellos.
- Los usuarios deben mantener sus sistemas y aplicaciones actualizados con los últimos parches de seguridad.
🔗 Fuente consultada: Microsoft Security
Cibercrimen — NeedyMantis: Unpacking a post-compromise malware family used in targeted operations
🔍 Qué está pasando
- Se identificó un malware modular llamado NeedyMantis utilizado en intrusiones dirigidas que combina cargadores personalizados, archivos cifrados y componentes extensibles para mantener acceso a largo plazo y apoyar operaciones posteriores.
- El malware es parte de una familia de malware de compromiso posterior identificada por Microsoft Threat Intelligence.
- No se proporciona información sobre un CVE específico.
⚠️ Por qué importa
NeedyMantis representa un riesgo significativo para organizaciones y usuarios, ya que permite a los atacantes mantener acceso a largo plazo y apoyar operaciones posteriores. Esto puede llevar a una serie de ataques adicionales y potencialmente dañinos. Además, la modularidad del malware hace que sea difícil de detectar y eliminar.
⚙️ Cómo funciona
El malware NeedyMantis utiliza una combinación de técnicas para mantener acceso a largo plazo y apoyar operaciones posteriores. Esto incluye la utilización de cargadores personalizados, archivos cifrados y componentes extensibles. Estos componentes pueden ser actualizados y personalizados por los atacantes para adaptarse a las necesidades específicas de la operación.
👁️ Qué vigilar
- Se recomienda a los usuarios y organizaciones que actualicen sus sistemas y aplicaciones para evitar cualquier vulnerabilidad conocida.
- Es importante vigilar por cargadores personalizados, archivos cifrados y componentes extensibles que puedan ser indicativos de la presencia de NeedyMantis.
- Los usuarios deben ser conscientes de la posibilidad de ataques de phishing y malware, y tomar medidas para proteger sus sistemas y datos.
🔗 Fuente consultada: Microsoft Security
Vulnerabilidad — CVE-2026-62694 Windows Installer Elevation of Privilege Vulnerability
🔍 Qué está pasando
- La vulnerabilidad CVE-2026-62694 fue anunciada por MSRC Microsoft.
- La vulnerabilidad afecta al Windows Installer.
- No se proporcionan detalles sobre el método de explotación.
⚠️ Por qué importa
La vulnerabilidad de elevación de privilegios en el Windows Installer puede permitir a un atacante ejecutar código arbitrario en el contexto del sistema, lo que podría llevar a una explotación de privilegios. Esto podría permitir a un atacante acceder a información confidencial, modificar la configuración del sistema o incluso tomar el control total del sistema.
⚙️ Cómo funciona
La vulnerabilidad se produce cuando el Windows Installer procesa un paquete mal formado, lo que permite a un atacante ejecutar código arbitrario en el contexto del sistema. La vulnerabilidad requiere que el atacante tenga acceso al sistema y pueda instalar un paquete mal formado.
👁️ Qué vigilar
- Parche disponible: MSRC Microsoft proporcionará un parche para la vulnerabilidad.
- IOCs: No se proporcionan IOCs específicos.
- Recomendaciones: Las organizaciones deben aplicar el parche tan pronto como esté disponible y asegurarse de que el Windows Installer esté actualizado. Además, es recomendable que los usuarios eviten ejecutar paquetes de software de fuentes desconocidas.
🔗 Fuentes consultadas (3):
Vulnerabilidad — Chromium CVE-2026-91728: Integer overflow
🔍 Qué está pasando
- Se identificó una vulnerabilidad de sobrecarga de entero en Chromium, conocida como CVE-2026-91728.
- La vulnerabilidad afecta la estabilidad del sistema al causar una sobrecarga de entero en el procesador.
- La información fue publicada por el equipo de seguridad de Microsoft (MSRC) y una fuente adicional.
⚠️ Por qué importa
La vulnerabilidad de sobrecarga de entero en Chromium puede permitir a un atacante ejecutar código malicioso en el sistema del usuario, lo que puede llevar a la pérdida de datos, la exfiltración de información sensible o la toma del control remoto del sistema. Esta vulnerabilidad puede ser explotada por un atacante para obtener acceso no autorizado a la información del usuario.
⚙️ Cómo funciona
La vulnerabilidad se debe a una falta de validación de los datos de entrada en el procesador de Chromium, lo que permite a un atacante sobrecargar el entero y ejecutar código malicioso. El atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso del navegador, lo que puede dar lugar a una ejecución de código arbitraria (Arbitrary Code Execution).
👁️ Qué vigilar
- Parche disponible: Microsoft y la comunidad de seguridad de Chromium están trabajando para liberar un parche para esta vulnerabilidad.
- IOCs: El atacante puede intentar explotar la vulnerabilidad mediante un ataque de sobrecarga de entero, lo que puede llevar a una falla del sistema o a la ejecución de código malicioso.
- Recomendaciones: Las organizaciones y los usuarios deben asegurarse de que sus sistemas estén actualizados con el parche disponible y deben vigilar las IOCs para evitar cualquier ataque relacionado con esta vulnerabilidad.
🔗 Fuentes consultadas (2):
Vulnerabilidad — Junos OS y Junos OS Evolved: múltiples CVEs reportadas en OpenSSH
🔍 Qué está pasando
- Se han identificado múltiples vulnerabilidades en OpenSSH en Junos OS y Junos OS Evolved.
- Las vulnerabilidades están relacionadas con CVE-2022-3808, CVE-2022-3809 y CVE-2022-3810.
⚠️ Por qué importa
La importancia de este evento radica en que las vulnerabilidades en OpenSSH pueden permitir a un atacante obtener acceso no autorizado a la sesión de un usuario, lo que podría conducir a la exfiltración de datos confidenciales o la ejecución de comandos arbitrarios en el sistema. Esto es especialmente preocupante en entornos de red que utilizan Junos OS y Junos OS Evolved.
⚙️ Cómo funciona
Las vulnerabilidades en OpenSSH permiten a un atacante explotar una falta de validación adecuada en el protocolo de autenticación de SSH, lo que les permite obtener acceso no autorizado a la sesión de un usuario. Esto se debe a que el atacante puede enviar una solicitud de autenticación maliciosa que no es rechazada por el servidor SSH.
👁️ Qué vigilar
- Verificar si se han aplicado las actualizaciones de seguridad disponibles para OpenSSH en Junos OS y Junos OS Evolved.
- Habilitar la autenticación de dos factores para las sesiones SSH.
- Realizar un escaneo de vulnerabilidades para identificar posibles afectaciones en la configuración de OpenSSH.
🔗 Fuente consultada: Juniper Security
ThreatIntel — AWS European Sovereign Cloud: Demostrando una operación independiente
🔍 Qué está pasando
- La AWS European Sovereign Cloud realizará un ejercicio para demostrar su capacidad de operar sin depender de infraestructura fuera de la Unión Europea (UE).
- Durante varias horas, la AWS European Sovereign Cloud operará sin conexión con la red de la red de red global de AWS.
- El ejercicio se llevará a cabo el sábado 24 de octubre de 2026.
⚠️ Por qué importa
Este ejercicio es importante para las organizaciones que utilizan la AWS European Sovereign Cloud, ya que demuestra la capacidad de la plataforma para operar de manera independiente en caso de un corte de suministro o una interrupción en la red global de AWS. Esto podría ser crítico para organizaciones que manejan datos sensibles o que requieren un alto nivel de confidencialidad y soberanía.
⚙️ Cómo funciona
El ejercicio implicará que la AWS European Sovereign Cloud se desconecte temporalmente de la red de la red global de AWS, lo que le permitirá operar de manera autónoma. Esto se logrará mediante la utilización de tecnologías de red y de comunicaciones que permitan a la AWS European Sovereign Cloud mantener su operación sin depender de la red global de AWS.
👁️ Qué vigilar
- Parche disponible: No se proporciona información sobre parches disponibles para este ejercicio.
- IOCs: No se proporcionan Indicadores de Actividad Suspiciosa (IOCs) específicos para este ejercicio.
- Recomendaciones: Las organizaciones que utilizan la AWS European Sovereign Cloud deberían estar preparadas para el ejercicio y tener planes de contingencia en caso de que la plataforma no pueda operar de manera independiente.
🔗 Fuente consultada: AWS Security
Vulnerabilidad — ALAS2023-2026-3090 (important): perl-Authen-SASL
🔍 Qué está pasando
- Se han identificado tres vulnerabilidades en el módulo perl-Authen-SASL, con las CVE ID CVE-2026-18329, CVE-2026-78222 y CVE-2026-78689.
- Las vulnerabilidades afectan a la autenticación de servidores de correo electrónico y otros servicios que utilizan el protocolo SASL.
- Los ataques permiten a un atacante realizar acciones como leer archivos, ejecutar comandos y obtener acceso a sistemas.
⚠️ Por qué importa
Las vulnerabilidades pueden ser explotadas para obtener acceso no autorizado a sistemas y datos confidenciales, lo que puede provocar daños significativos para las organizaciones y usuarios afectados.
Además, las vulnerabilidades pueden ser utilizadas para realizar ataques de phishing y otros tipos de ataques sociales, lo que puede comprometer la seguridad de la información y la confianza de los usuarios.
⚙️ Cómo funciona
Las vulnerabilidades se deben a la falta de validación adecuada de entradas de usuario y la posibilidad de que un atacante inyecte código malicioso en el sistema.
Cuando un atacante explota una de las vulnerabilidades, puede obtener acceso a la sesión del usuario y realizar acciones que normalmente no estarían permitidas, como leer archivos o ejecutar comandos.
👁️ Qué vigilar
- Verificar si las versiones de perl-Authen-SASL instaladas en los sistemas son vulnerables.
- Aplicar parches disponibles para las vulnerabilidades CVE-2026-18329, CVE-2026-78222 y CVE-2026-78689.
- Revisar los registros de seguridad para detectar posibles intentos de ataque y tomar medidas preventivas para evitar futuros incidentes.
🔗 Fuentes consultadas (5):
ThreatIntel — OperTraitors: Cómo los operadores de Kubernetes traicionan tu postura de seguridad
🔍 Qué está pasando
- Se introduce OperTraitor, una herramienta para auditar privilegios de operadores de Kubernetes.
- Identifica riesgos excesivos de RBAC (Control de Acceso Basado en Roles) y protege identidades no humanas.
- No se menciona un CVE específico, pero se enfoca en la importancia de la seguridad de los operadores de Kubernetes.
⚠️ Por qué importa
La seguridad de los operadores de Kubernetes es crucial, ya que pueden tener acceso a privilegios elevados dentro del cluster. Si no se auditan y controlan adecuadamente, pueden ser utilizados para realizar acciones maliciosas. Esto puede tener graves consecuencias, como el acceso no autorizado a datos confidenciales o la capacidad de realizar cambios destructivos en la configuración del cluster.
⚙️ Cómo funciona
OperTraitor funciona auditando las políticas de acceso de los operadores de Kubernetes y identificando riesgos excesivos de RBAC. Esto se hace mediante la evaluación de las declaraciones de políticas de acceso (Policies) y la identificación de permisos innecesarios o mal configurados. La herramienta también se enfoca en la protección de identidades no humanas, como los tokens de autenticación de servicio (Service Tokens), que pueden ser utilizados para realizar acciones maliciosas.
👁️ Qué vigilar
- Parche: Utilizar herramientas como OperTraitor para auditar y controlar los privilegios de los operadores de Kubernetes.
- IOCs: Riesgos excesivos de RBAC, permisos innecesarios o mal configurados en las declaraciones de políticas de acceso.
- Recomendaciones: Implementar políticas de acceso estrictas y auditar regularmente las configuraciones de los operadores de Kubernetes para evitar riesgos de seguridad.
🔗 Fuente consultada: Unit 42 (Palo Alto)
Vulnerabilidad — Threat Brief: NetScaler Zero Days CVE-2026-88771 and CVE-2026-88772 Exploited in the Wild
🔍 Qué está pasando
- Se han detectado posibles ataques de 0-día contra dispositivos NetScaler.
- Las vulnerabilidades CVE-2026-88771 y CVE-2026-88772 han sido explotadas en el mundo real.
- Citrix ha reportado estas vulnerabilidades como vulnerabilidades críticas.
⚠️ Por qué importa
La explotación de estas vulnerabilidades puede permitir a los atacantes acceder a los sistemas NetScaler y comprometer la seguridad de la red. Esto puede tener graves consecuencias para las organizaciones que utilizan dispositivos NetScaler, ya que pueden ser utilizados como puntos de entrada para ataques más complejos.
⚙️ Cómo funciona
Las vulnerabilidades CVE-2026-88771 y CVE-2026-88772 se han identificado en los dispositivos NetScaler. Se cree que las vulnerabilidades son de tipo "zero-day", lo que significa que no existen parches disponibles para abordarlas. Los atacantes pueden aprovechar estas vulnerabilidades para acceder a los sistemas NetScaler y comprometer la seguridad de la red.
👁️ Qué vigilar
- IOCs (Indicadores de actividad sospechosa): no se proporcionan IOCs específicos en la noticia.
- Parches disponibles: no hay parches disponibles para abordar estas vulnerabilidades.
- Recomendaciones concretas: es importante que las organizaciones que utilizan dispositivos NetScaler revisen su configuración y actualicen sus sistemas para evitar la explotación de estas vulnerabilidades. Es recomendable que se tomen medidas de seguridad adicionales, como la implementación de sistemas de detección de intrusiones y la realización de pruebas de penetración.
🔗 Fuente consultada: Unit 42 (Palo Alto)
Cibercrimen — El diablo sigue en el correo electrónico – pero con un nuevo disfraz
🔍 Qué está pasando
- Los ataques de phishing están evolucionando para evitar detección por parte de los sistemas de seguridad.
- Los ciberdelincuentes están utilizando técnicas más sofisticadas para engañar a las víctimas.
- El correo electrónico sigue siendo un vector de ataque principal para las amenazas cibernéticas.
⚠️ Por qué importa
El aumento de la sofisticación de los ataques de phishing puede dejar a las organizaciones sin defensas adecuadas, lo que puede provocar daños significativos a la reputación, la financiera y la confidencialidad de la información. Además, la velocidad con la que se pueden detectar y contener estos ataques es crucial para limitar el daño.
⚙️ Cómo funciona
Los ciberdelincuentes están utilizando técnicas como el spoofing de DNS, el phishing con contenido personalizado y la creación de dominios de nombres de dominio (DNS) falsos para engañar a las víctimas y obtener acceso a sus sistemas. Estas técnicas pueden evadir los sistemas de seguridad tradicionales, lo que hace que sea más difícil detectar y contener el ataque.
👁️ Qué vigilar
- IOC (Indicador de actividad cibernética): Los correos electrónicos que soliciten información personal o que tengan enlaces sospechosos.
- Parches disponibles: Actualizar el software de seguridad y utilizar herramientas de detección de phishing para evitar engaño.
- Recomendaciones: Realizar entrenamiento de seguridad para los empleados para que puedan reconocer y evitar los ataques de phishing, y utilizar tecnologías de seguridad avanzadas para proteger los sistemas.
🔗 Fuente consultada: ESET WeLiveSecurity
Ciberseguridad — Annuncio de Executive Threat Detection
🔍 Qué está pasando
- Talos Intelligence anuncia un nuevo servicio de detección de amenazas dirigido a la protección de activos IT valiosos.
- El servicio se centra en la detección de amenazas inteligencia-led para proteger la "casa de la reina" (los activos más valiosos de una organización).
- El nuevo servicio se une a la suite de servicios de retainer de la empresa.
⚠️ Por qué importa
La protección de los activos IT más valiosos es fundamental para evitar daños significativos a una organización en caso de una brecha en la seguridad. El servicio de detección de amenazas dirigido proporciona una capa adicional de protección para evitar ataques y minimizar el impacto en caso de un incidente de seguridad.
⚙️ Cómo funciona
El servicio de Executive Threat Detection utiliza inteligencia de amenazas para identificar y mitigar amenazas potenciales que puedan afectar a los activos IT más valiosos de una organización. El proceso implica la recopilación de datos, la análisis de inteligencia de amenazas y la implementación de medidas de mitigación para prevenir ataques y minimizar el daño en caso de un incidente.
👁️ Qué vigilar
- Monitorear las actualizaciones de seguridad y parches disponibles para proteger contra vulnerabilidades conocidas.
- Revisar las recomendaciones de configuración de seguridad y ajustar las configuraciones según sea necesario.
- Realizar simulacros de incidentes de seguridad para evaluar la preparación de la organización para responder a un ataque.
🔗 Fuente consultada: Talos Intelligence
Top comments (0)