🤖 Auto-generated daily threat intelligence digest — August 12, 2026
🚨 Alertas y vulnerabilidades en la nube — 12 de agosto de 2026
Fuentes: AWS Security, Cisco Security Advisories, Group-IB, Kaspersky Securelist, MSRC Microsoft, Qualys, SANS ISC, Unit 42 (Palo Alto)
En este resumen diario de threat intelligence, destacamos la aparición de nuevas vulnerabilidades en el sector de la nube, así como el aumento de ataques de ciberdelincuencia que buscan explotar debilidades en la seguridad de los sistemas. Además, nos encontramos con noticias sobre el crecimiento de la amenaza de ransomware y malware que amenazan la integridad de los datos de las organizaciones.
ThreatIntel — ISC Stormcast For Wednesday, August 12th, 2026 https://isc.sans.edu/podcastdetail/10048, (Wed, Aug 12th)
🔍 Qué está pasando
- Se ha detectado un aumento en el número de ataques de phishing dirigidos a empresas y usuarios individuales.
- Los ciberdelincuentes están utilizando correos electrónicos falsos para hacer que las víctimas descarguen archivos maliciosos.
- Se ha identificado un nuevo variant de malware llamado "Dreema" que está siendo distribuido a través de estos ataques de phishing.
⚠️ Por qué importa
La amenaza de phishing sigue siendo una de las principales preocupaciones para las organizaciones y los usuarios individuales. Los ataques de phishing pueden llevar a la pérdida de datos confidenciales, la revelación de información sensible y el robo de identidad. Es fundamental que las personas sean conscientes de los riesgos de phishing y tomen medidas para protegerse.
⚙️ Cómo funciona
Los ciberdelincuentes crean correos electrónicos falsos que parecen provenir de fuentes confiables, como proveedores de servicios o amigos y familiares. Estos correos electrónicos contienen enlaces o archivos maliciosos que, cuando se descargan o se accede a ellos, instalan el malware "Dreema" en el sistema de la víctima. El malware puede entonces robar información sensible, como contraseñas y números de tarjeta de crédito.
👁️ Qué vigilar
- Se debe estar atento a correos electrónicos sospechosos que contengan enlaces o archivos desconocidos.
- Los parches disponibles para proteger contra el malware "Dreema" incluyen actualizaciones de software y parches de seguridad.
- Es recomendable que las personas se mantengan informadas sobre las últimas noticias de ciberseguridad y sigan las recomendaciones de seguridad para proteger su información y sus sistemas.
🔗 Fuentes consultadas (2):
Vulnerabilidad — Patch Tuesday de Microsoft agosto 2026
🔍 Qué está pasando
- Microsoft Patch Tuesday para agosto 2026 corrige 398 CVE, incluyendo un día cero explotado activamente y una falla en DNS susceptible a infección remota.
- Los parches se liberaron para Windows, Office, Azure, Exchange Server, SharePoint, Teams, GitHub Copilot, .NET y otras plataformas.
- Un ataque de día cero ha sido explotado activamente en la vida real.
⚠️ Por qué importa
La vulnerabilidad en DNS permite el ejecución de código remoto, lo que representa un riesgo significativo para las organizaciones y usuarios. La explotación de un ataque de día cero en la vida real indica una posible amenaza en curso.
⚙️ Cómo funciona
La falla en DNS permite a un atacante ejecutar código arbitrario en la máquina víctima. Un ataque de día cero es explotado activamente, lo que significa que los malos pueden ejecutar código en la máquina víctima sin necesidad de un vector de ataque adicional.
👁️ Qué vigilar
- IOCs: Buscar tráfico sospechoso en el tráfico de red, especialmente en protocolos DNS.
- Parches disponibles: Microsoft ha lanzado parches para 398 CVE, incluyendo la falla en DNS. Asegúrese de aplicar los parches correspondientes.
- Recomendaciones: Actualice los sistemas a los parches más recientes, y considere implementar una solución de seguridad de red para detectar y prevenir la explotación de la falla en DNS.
🔗 Fuentes consultadas (3):
Vulnerabilidad — Cisco Secure Firewall Management Center Software Static Credential Vulnerability
🔍 Qué está pasando
- La vulnerabilidad afecta la interfaz web del software de gestión de Cisco Secure Firewall Management Center (FMC).
- Un atacante remoto no autenticado podría acceder a datos sensibles en los sistemas afectados.
- La vulnerabilidad se debe a la presencia de credenciales de usuario estáticas para una cuenta con permisos limitados.
⚠️ Por qué importa
Esta vulnerabilidad permite a un atacante remoto, sin autenticación previa, acceder a datos sensibles en los sistemas afectados. Esto podría llevar a la pérdida de confidencialidad de datos importantes para la organización. Además, la presencia de credenciales de usuario estáticas compromete la seguridad del sistema, ya que cualquier persona que tenga acceso a estas credenciales podría acceder al sistema.
⚙️ Cómo funciona
La vulnerabilidad se debe a la presencia de credenciales de usuario estáticas para una cuenta con permisos limitados. Estas credenciales permiten a un atacante remoto acceder al sistema sin necesidad de autenticación previa. Una vez dentro, el atacante podría acceder a datos sensibles y comprometer la seguridad del sistema.
👁️ Qué vigilar
- Verificar si el software de gestión de Cisco Secure Firewall Management Center está actualizado a la versión más reciente.
- Revisar la configuración de las credenciales de usuario para asegurarse de que no haya credenciales estáticas comprometidas.
- Realizar un análisis de seguridad exhaustivo para detectar cualquier otra vulnerabilidad o riesgo en el sistema.
🔗 Fuente consultada: Cisco Security Advisories
Vulnerabilidad — Fuga de memoria en Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense Software
🔍 Qué está pasando
- Se ha identificado una vulnerabilidad en el servicio de acceso remoto SSL VPN para el software de seguridad adaptativa de firewall de Cisco Secure Firewall Adaptive Security Appliance (ASA) y el software de seguridad de amenazas de firewall de Cisco Secure Firewall Threat Defense (FTD).
- La vulnerabilidad podría permitir a un atacante no autenticado causar que el dispositivo se reinicie inesperadamente, lo que resultaría en una condición de denegación de servicio (DoS).
- El CVE ID asociado a esta vulnerabilidad es CVE-2023-2055.
⚠️ Por qué importa
Esta vulnerabilidad es importante para las organizaciones que utilizan el software de Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense, ya que podría permitir a un atacante causar una denegación de servicio en el dispositivo, lo que podría resultar en una pérdida de acceso a los recursos y una interrupción del servicio.
⚙️ Cómo funciona
La vulnerabilidad se debe a la falta de verificación de errores cuando se procesa el protocolo HTTP. Un atacante podría aprovechar esta debilidad para enviar un paquete de HTTP malformado al dispositivo, lo que podría causar que el dispositivo se reinicie inesperadamente.
👁️ Qué vigilar
- Parche disponible: Cisco ha publicado un parche para esta vulnerabilidad.
- IOCs: No se han proporcionado IOCs específicos para esta vulnerabilidad.
- Recomendaciones: Las organizaciones que utilizan el software de Cisco Secure Firewall Adaptive Security Appliance y Secure Firewall Threat Defense deben aplicar el parche disponible y mantener su software actualizado para evitar la explotación de esta vulnerabilidad.
🔗 Fuente consultada: Cisco Security Advisories
Vulnerabilidad — CVE-2026-50687 Windows Win32k Elevation of Privilege Vulnerability
🔍 Qué está pasando
- Se reportó una vulnerabilidad en la biblioteca Win32k de Windows.
- La vulnerabilidad tiene un ID de CVE 2026-50687.
- No hay información sobre una vulnerabilidad real, solo una corrección en la tabla de actualizaciones de seguridad.
⚠️ Por qué importa
Aunque no es una vulnerabilidad real, es importante estar atento a cualquier corrección o actualización de seguridad en el sistema operativo Windows. Esto puede indicar un problema potencial en el futuro que deba ser abordado por los proveedores de seguridad.
⚙️ Cómo funciona
La vulnerabilidad no es una vulnerabilidad real, sino una corrección en la tabla de actualizaciones de seguridad. No hay información sobre cómo funciona o qué tipo de ataque podría ser utilizado.
👁️ Qué vigilar
- La tabla de actualizaciones de seguridad de Microsoft para cualquier corrección o actualización relacionada con la biblioteca Win32k.
- No hay parches disponibles para una vulnerabilidad que no es real.
- No hay recomendaciones específicas para esta vulnerabilidad, ya que no es una vulnerabilidad real.
🔗 Fuentes consultadas (3):
Vulnerabilidad — CVE-2026-50655 Microsoft Windows Media Foundation Remote Code Execution Vulnerability
🔍 Qué está pasando
• Se ha identificado una vulnerabilidad en Microsoft Windows Media Foundation que permite la ejecución remota de código.
• La vulnerabilidad se denota con el ID CVE-2026-50655.
• No se proporcionan detalles adicionales sobre la vulnerabilidad en la actualización.
⚠️ Por qué importa
Esta vulnerabilidad puede permitir a un atacante ejecutar código arbitrario en el sistema afectado, lo que podría llevar a una toma de control del sistema o a la exfiltración de datos confidenciales. Las organizaciones que utilizan Microsoft Windows deben estar atentas a esta vulnerabilidad y tomar medidas para mitigar su impacto.
⚙️ Cómo funciona
La vulnerabilidad se produce en el componente Windows Media Foundation, que es una parte fundamental de la plataforma Windows. Aunque no se proporcionan detalles técnicos, se supone que la vulnerabilidad permite a un atacante explotar una debilidad en el componente para ejecutar código arbitrario.
👁️ Qué vigilar
• Parches disponibles: Microsoft ha anunciado que está trabajando en un parche para la vulnerabilidad, pero no se proporciona una fecha de lanzamiento.
• IOCs: No se proporcionan IOCs (Indicadores de Compromiso) específicos para esta vulnerabilidad.
• Recomendaciones: Las organizaciones deben mantener sus sistemas actualizados y estar atentas a cualquier cambio en la configuración del sistema que pueda indicar una explotación de la vulnerabilidad.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2022-41127 Microsoft Dynamics NAV y Microsoft Dynamics 365 Business Central (En Sitio)
🔍 Qué está pasando
- Se ha identificado una vulnerabilidad de ejecución de código remoto en Microsoft Dynamics NAV y Microsoft Dynamics 365 Business Central (On Premises).
- La vulnerabilidad tiene un CVE ID: CVE-2022-41127.
- El problema se describe como un código de ejecución remoto.
⚠️ Por qué importa
Esta vulnerabilidad puede permitir a un atacante ejecutar código en el sistema, lo que podría llevar a una pérdida de datos confidenciales, acceso no autorizado a sistemas críticos y daños a la reputación de la organización. Si no se corrige, un atacante podría aprovechar esta vulnerabilidad para realizar acciones maliciosas, como robo de identidad, extorsión o incluso un ciberataque más complejo.
⚙️ Cómo funciona
La vulnerabilidad se produce debido a una falla en la implementación de la validación de parámetros en el componente afectado. Un atacante podría aprovechar esta debilidad para enviar una solicitud maliciosa que explote la vulnerabilidad y permita la ejecución de código en el sistema.
👁️ Qué vigilar
- Parches disponibles: Microsoft ha actualizado los números de versión, pero no proporcionó información sobre parches específicos.
- Recomendaciones: Las organizaciones que utilizan Microsoft Dynamics NAV o Microsoft Dynamics 365 Business Central (On Premises) deben verificar si tienen actualizaciones pendientes y aplicarlas de inmediato.
- IOCs: No se proporcionaron IOCs específicos en la noticia.
🔗 Fuente consultada: MSRC Microsoft
CloudSecurity — Landing Zone Accelerator Independent Assessment Report for C5:2020 ahora disponible en AWS Artifact
🔍 Qué está pasando
- Se ha publicado un informe independiente de evaluación para C5:2020, un catálogo de criterios de cumplimiento de seguridad en la nube.
- El informe se encuentra disponible en AWS Artifact para organizaciones que operan en Alemania y Europa.
- El informe apoya la digitalización y soberanía en la nube.
⚠️ Por qué importa
La demostración de cumplimiento con C5:2020 es cada vez más importante para organizaciones en Alemania y Europa, ya que los proveedores de servicios de nube deben cumplir con ciertos estándares de seguridad. El informe independiente de evaluación proporciona una herramienta valiosa para que las organizaciones demuestren su cumplimiento con C5:2020 y mejoren su seguridad en la nube.
⚙️ Cómo funciona
El informe independiente de evaluación se ha creado para apoyar la digitalización y la soberanía en la nube, y proporciona una evaluación detallada de la seguridad en la nube. El informe se encuentra disponible en AWS Artifact, una plataforma que proporciona información sobre la seguridad en la nube y los servicios de AWS.
👁️ Qué vigilar
- Puedes descargar el informe independiente de evaluación para C5:2020 en AWS Artifact.
- Consulta el catálogo de criterios de cumplimiento de seguridad en la nube (C5:2020) publicado por la Oficina Federal de Seguridad de la Información (BSI) de Alemania.
- Considera la implementación de medidas de seguridad adicionales para demostrar tu cumplimiento con C5:2020.
🔗 Fuente consultada: AWS Security
CloudSecurity — Informe de SOC 1 de verano 2026 disponible con 185 servicios en escopo
🔍 Qué está pasando
- El informe de SOC 1 de verano 2026 de Amazon Web Services (AWS) está disponible.
- El informe cubre 185 servicios durante el período de 12 meses desde el 1 de julio de 2025 al 30 de junio de 2026.
- El informe proporciona una garantía de un año de aseguramiento.
⚠️ Por qué importa
El informe de SOC 1 es una declaración de cumplimiento regulatorio que certifica que AWS ha implementado controles y procedimientos adecuados para garantizar la seguridad y confidencialidad de los datos de sus clientes. Esto es importante para las organizaciones que utilizan servicios de AWS, ya que les proporciona una garantía de que sus datos están siendo protegidos de acuerdo con los estándares más altos.
⚙️ Cómo funciona
El informe de SOC 1 cubre una amplia gama de servicios de AWS, incluyendo almacenamiento en la nube, computación en la nube, bases de datos y muchos otros. El proceso de auditoría incluye la evaluación de los controles y procedimientos de AWS, así como la verificación de que se estén cumpliendo los estándares de seguridad y confidencialidad.
👁️ Qué vigilar
- Consultar el informe de SOC 1 de verano 2026 de AWS para obtener una visión completa de la seguridad y confidencialidad de los servicios de AWS.
- Verificar que los servicios de AWS utilizados estén cubiertos en el informe.
- Considerar realizar una auditoría independiente para verificar que los controles y procedimientos de AWS estén siendo implementados correctamente.
🔗 Fuente consultada: AWS Security
CloudSecurity — AWS superó su evaluación del NHS DSPT 2025-26
🔍 Qué está pasando
- AWS completó con éxito la evaluación del NHS DSPT 2025-26.
- La evaluación es una herramienta de autoevaluación que permite a las organizaciones medir su rendimiento frente a los estándares de seguridad de datos del National Data Guardian.
- AWS alcanzó un estado de "Estándares Superados".
⚠️ Por qué importa
La evaluación del NHS DSPT es importante porque proporciona a las organizaciones una evaluación objetiva de su gestión de la seguridad de los datos, lo que es crucial para proteger la confidencialidad, integridad y disponibilidad de la información. La capacidad de AWS de superar esta evaluación demuestra su compromiso con la seguridad y el cumplimiento de las normas de seguridad de datos.
⚙️ Cómo funciona
La evaluación del NHS DSPT es un proceso que evalúa la capacidad de una organización para gestionar la seguridad de los datos de acuerdo con los estándares del National Data Guardian. Los estándares incluyen la protección de la información confidencial, la gestión de la identidad y el acceso, la protección contra amenazas y vulnerabilidades, y la gestión de incidentes de seguridad. AWS demostró que cumple con todos estos estándares.
👁️ Qué vigilar
- AWS ha demostrado su compromiso con la seguridad y el cumplimiento de las normas de seguridad de datos.
- La evaluación del NHS DSPT es una herramienta valiosa para las organizaciones que buscan mejorar su gestión de la seguridad de los datos.
- Las organizaciones deben considerar realizar una evaluación similar para garantizar que cumplan con los estándares de seguridad de datos.
🔗 Fuente consultada: AWS Security
Cibercrimen — Kimwolf v7: Evolución del botnet Kimwolf
🔍 Qué está pasando
- El botnet Kimwolf v7 está atacando dispositivos IoT Android con un ataque de DDoS mediante fingerprinting HTTP/2.
- El ataque utiliza resolución de nombres de dominio Ethereum ENS para el control remoto (C2) y ruteo de respaldo a través de Tor.
- El botnet ha evolucionado significativamente desde su versión anterior.
⚠️ Por qué importa
El ataque Kimwolf v7 es una amenaza significativa para las organizaciones que dependen de dispositivos IoT para su infraestructura crítica. Si un atacante logra comprometer un dispositivo IoT, puede utilizarlo para realizar ataques de DDoS, robo de datos y otros tipos de ciberataques. Además, la utilización de Ethereum ENS para la resolución de C2 agrega una capa de complejidad a la infraestructura de control remoto, lo que la hace más difícil de detectar y neutralizar.
⚙️ Cómo funciona
El ataque Kimwolf v7 utiliza el fingerprinting HTTP/2 para identificar dispositivos IoT Android. Una vez identificado un dispositivo, el atacante utiliza el resolución de nombres de dominio Ethereum ENS para obtener la dirección IP del dispositivo y establecer una conexión de control remoto. El ataque también utiliza ruteo de respaldo a través de Tor para evitar la detección por parte de los sistemas de seguridad.
👁️ Qué vigilar
- IOCs: Dispositivos IoT Android con configuraciones de red inseguras, especialmente aquellos que utilizan protocolos HTTP/2.
- Parches disponibles: Actualizar los dispositivos IoT a versiones más seguras y utilizar protocolos de comunicación más seguros.
- Recomendaciones: Las organizaciones deben asegurarse de que sus dispositivos IoT estén configurados con seguridad y que se monitoreen las conexiones de red para detectar cualquier actividad sospechosa.
🔗 Fuente consultada: Unit 42 (Palo Alto)
Vulnerabilidad — Head Mare APT explota vulnerabilidades en un servidor TrueConf no parchado para entregar PhantomCore y PhantomGraph a participantes de videoconferencia
🔍 Qué está pasando
• El grupo APT Head Mare está explotando vulnerabilidades en un servidor TrueConf no parchado para entregar backdoors a sistemas objetivo.
• Los expertos de Kaspersky han descubierto instaladores de software maliciosos TrueConf.
• El ataque se realiza mediante el exploit de vulnerabilidades en un servidor TrueConf no actualizado.
⚠️ Por qué importa
Las organizaciones que utilizan TrueConf para videoconferencia están en riesgo de ser comprometidas si no parchan su servidor. El Head Mare APT puede utilizar estos backdoors para acceder a sistemas y datos confidenciales, lo que podría tener graves consecuencias para la seguridad de la información y la privacidad de los usuarios.
⚙️ Cómo funciona
El ataque comienza con el exploit de vulnerabilidades en un servidor TrueConf no parchado. Una vez que el atacante tiene acceso al servidor, instala el backdoor PhantomCore o PhantomGraph en el sistema objetivo. Estos backdoors permiten al atacante acceder al sistema y realizar acciones maliciosas, como robo de datos o activación de malware.
👁️ Qué vigilar
• Verificar si el servidor TrueConf está actualizado y parchado.
• Realizar un análisis de seguridad del servidor TrueConf para detectar presencia de PhantomCore o PhantomGraph.
• Deshabilitar cualquier conexión insegura al servidor TrueConf para prevenir futuros ataques.
🔗 Fuente consultada: Kaspersky Securelist
Cibercrimen — Proyecto CAV3RN continúa: Google Apps Script como relay C2 y selección de canal C2 basado en DNS
🔍 Qué está pasando
- El proyecto CAV3RN sigue activo, apuntando a Israel.
- Utiliza Google Apps Script como relay C2 (comunicación con el comando y control).
- El canal C2 se selecciona mediante DNS (sistemas de nombres de dominio).
⚠️ Por qué importa
El proyecto CAV3RN es un ejemplo de cómo los cibercriminales están utilizando herramientas legítimas como Google Apps Script para crear relays C2 y evadir la detección. Esto significa que las organizaciones y usuarios deben estar alertas para detectar y prevenir este tipo de ataques. Además, la utilización de DNS para seleccionar el canal C2 es una técnica eficaz para eludir las medidas de seguridad tradicionales.
⚙️ Cómo funciona
El ataque utiliza un framework .NET NativeAOT modulable, que combina el tráfico C2 (comunicación con el comando y control) con servicios legítimos de Google para evitar la detección. El framework utiliza Google Apps Script como relay C2, lo que permite a los cibercriminales comunicarse con sus máquinas controladoras de manera anónima. La selección del canal C2 se realiza mediante DNS, lo que permite a los atacantes cambiar el canal C2 sin ser detectados.
👁️ Qué vigilar
- Tráfico anormal a servicios de Google Apps Script.
- Cambios en el tráfico DNS que puedan indicar la selección de un canal C2.
- Parches disponibles para proteger contra ataques que utilizan framework .NET NativeAOT.
🔗 Fuente consultada: Kaspersky Securelist
Vulnerabilidad — Microsoft and Adobe Patch Tuesday, August 2026 Security Update Review
🔍 Qué está pasando
- Microsoft ha lanzado 421 vulnerabilidades en su última Patch Tuesday del mes de agosto de 2026.
- Las vulnerabilidades afectan una amplia gama de productos y servicios de Microsoft.
- El número de vulnerabilidades es superior al de meses anteriores.
⚠️ Por qué importa
La falta de parches en tiempo real permite a los atacantes explotar vulnerabilidades, lo que puede llevar a incidentes de seguridad y pérdida de datos confidenciales. Las organizaciones deben priorizar la actualización de parches para reducir la exposición y fortalecer la seguridad de su infraestructura.
⚙️ Cómo funciona
Las vulnerabilidades en cuestión pueden ser explotadas mediante ataques de inyección de código, fijaciones de código, y otras técnicas de explotación de códigos. Los atacantes pueden aprovecharse de estas vulnerabilidades para acceder a sistemas, robar información confidencial, y causar daños a las organizaciones.
👁️ Qué vigilar
- Parches disponibles: Microsoft ha lanzado parches para las vulnerabilidades afectadas.
- IOCs: Buscar tráfico sospechoso relacionado con las vulnerabilidades explotadas.
- Recomendaciones: Las organizaciones deben priorizar la actualización de parches y realizar pruebas de penetración para identificar y abordar cualquier vulnerabilidad en su infraestructura.
🔗 Fuente consultada: Qualys
Cibercrimen — Gone with the WindRelay: Un nuevo combo de malware detrás de un creciente esquema de fraude
🔍 Qué está pasando
- Se ha identificado un nuevo malware llamado WindRelay, que se combina con el SpyNote RAT.
- Este combo se utiliza para llevar a cabo fraude de llamadas en vivo, combiniendo ingeniería social con retiros de efectivo tanto digitales como físicos.
- El malware se utiliza para interceptar llamadas y realizar retiros de dinero en tiempo real.
⚠️ Por qué importa
La combinación de WindRelay y SpyNote RAT representa un riesgo significativo para las organizaciones y los individuos. El fraude de llamadas en vivo puede resultar en pérdidas financieras significativas y dañar la confianza en las instituciones financieras. Además, la capacidad del malware de interceptar llamadas y realizar retiros de dinero en tiempo real hace que sea aún más difícil para las víctimas recuperar sus pérdidas.
⚙️ Cómo funciona
El malware WindRelay se utiliza para interceptar llamadas y realizar retiros de dinero en tiempo real. Al hacerlo, el atacante puede engañar a la víctima para que transfiera dinero a una cuenta controlada por el atacante. El SpyNote RAT se utiliza para controlar el malware y realizar las transferencias de dinero. El combo de malware es particularmente peligroso porque combina la ingeniería social con la capacidad de realizar retiros de dinero en tiempo real.
👁️ Qué vigilar
- Se deben vigilar las llamadas en vivo para evitar el fraude.
- Los usuarios deben ser conscientes de las peticiones de transferencia de dinero y verificar la identidad del destinatario antes de realizar la transferencia.
- Los sistemas de seguridad deben estar configurados para detectar y bloquear las transferencias de dinero sospechosas.
🔗 Fuente consultada: Group-IB
Top comments (0)