🤖 Auto-generated daily threat intelligence digest — June 26, 2026
🚨 Resumen diario de threat intelligence — 26 de junio de 2026
Fuentes: Cisco Security Advisories, ESET WeLiveSecurity, Group-IB, Kaspersky Securelist, MSRC Microsoft, Microsoft Security, SANS ISC, Talos Intelligence, Unit 42 (Palo Alto)
Hoy, un día de alerta en la ciberseguridad con amenazas de ransomware en aumento, vulnerabilidades críticas en el software y una creciente actividad de ciberdelincuentes que buscan explotar debilidades en la seguridad de las redes y sistemas operativos. Una vez más, la comunidad de ciberseguridad se reúne para compartir información y estrategias para proteger a los usuarios.
ThreatIntel — Automatización del Ciberdelito: Una Evaluación, (Wed, Jun 24th)
🔍 Qué está pasando
- Los ciberdelincuentes están utilizando herramientas automatizadas para llevar a cabo ataques de ciberseguridad.
- Estas herramientas permiten a los atacantes explorar múltiples puertos y servicios en busca de vulnerabilidades.
- No hay información disponible sobre el CVE ID específico relacionado con este ataque.
⚠️ Por qué importa
La automatización del ciberdelito hace que sea más fácil y rápido para los atacantes encontrar y explotar vulnerabilidades en sistemas y aplicaciones. Esto puede provocar pérdidas significativas para las organizaciones, incluyendo robo de datos confidenciales, parálisis de la infraestructura y daños a la reputación. Además, la automatización también hace que sea más difícil para los equipos de ciberseguridad detectar y responder a los ataques.
⚙️ Cómo funciona
Las herramientas automatizadas utilizadas por los ciberdelincuentes suelen ser scripts o programas que se ejecutan en la nube o en servidores infectados. Estos scripts exploran múltiples puertos y servicios en busca de vulnerabilidades conocidas o no conocidas. Una vez que se encuentra una vulnerabilidad, el script puede explotarla para obtener acceso no autorizado al sistema o aplicación. Las herramientas automatizadas también pueden ser utilizadas para distribuir malware, realizar ataques de denegación de servicio (DDoS) y otras formas de ciberdelincuencia.
👁️ Qué vigilar
- Vigilar el tráfico de red en busca de actividad sospechosa que pueda indicar la presencia de herramientas automatizadas.
- Aplicar parches y actualizaciones de seguridad en tiempo real para abordar vulnerabilidades conocidas.
- Implementar medidas de detección y respuesta avanzadas para identificar y contener ataques automatizados.
🔗 Fuente consultada: SANS ISC
Vulnerabilidad — Cisco Finesse Remote File Inclusion Vulnerability
🔍 Qué está pasando
- Se ha identificado una vulnerabilidad en Cisco Finesse que podría permitir a un atacante remoto no autenticado cargar archivos arbitrarios desde ubicaciones remotas en una sesión de usuario activa en un dispositivo afectado.
- El CVE ID asociado a esta vulnerabilidad no se proporciona en la noticia.
- La vulnerabilidad se debe a la falta de validación insuficiente de la entrada del usuario para solicitudes HTTP que se envían a un dispositivo afectado.
⚠️ Por qué importa
Esta vulnerabilidad es crítica porque permite a un atacante remoto ejecutar ataques de navegador, lo que podría llevar a la ejecución de código malicioso en el dispositivo del usuario. Los atacantes podrían aprovechar esta vulnerabilidad para comprometer la seguridad de la organización, robando datos confidenciales o causando daños a la reputación.
⚙️ Cómo funciona
La vulnerabilidad se debe a que Cisco Finesse no valida adecuadamente la entrada del usuario para solicitudes HTTP. Un atacante podría aprovechar esta vulnerabilidad para cargar archivos arbitrarios en la sesión del usuario, lo que podría llevar a la ejecución de código malicioso.
👁️ Qué vigilar
- Parche disponible: Asegúrese de aplicar los últimos parches de Cisco Finesse para abordar esta vulnerabilidad.
- Recomendación: Los usuarios deben actualizar a la versión más reciente de Cisco Finesse para evitar ser vulnerables a este tipo de ataques.
- Asegure su red: Asegúrese de implementar medidas de seguridad adicionales, como firewalls y sistemas de detección de intrusos, para proteger su red contra ataques de este tipo.
🔗 Fuente consultada: Cisco Security Advisories
ThreatIntel — Campaign de Photo ZIP dirigida a la industria del hospitality entrega implante Node.js para acceso persistente
🔍 Qué está pasando
- Actividad de intrusión multi-etapa identificada dirigida a empresas de la industria del hospitality en Europa y Asia.
- Utilización de archivos ZIP con temas de fotos y archivos de atajo de imagen falsos para entregar un implante Node.js persistente.
- Evitación de detección mediante este método de entrega.
⚠️ Por qué importa
La industria del hospitality se ve amenazada por este tipo de ataques, que pueden permitir a los atacantes acceder de manera persistente a los sistemas de las organizaciones objetivo. Esto puede dar lugar a la extracción de datos confidenciales, la manipulación de sistemas y la exposición de información sensible.
⚙️ Cómo funciona
El ataque comienza con la entrega de archivos ZIP con temas de fotos a las víctimas. Estos archivos contienen archivos de atajo de imagen falsos, que en realidad son scripts Node.js maliciosos. Una vez que el usuario ejecuta el archivo, el script se instala en el sistema y se configura para ejecutarse automáticamente al iniciar el sistema. Esto permite a los atacantes acceder de manera persistente a los sistemas de la organización objetivo.
👁️ Qué vigilar
- Verificar la autenticidad de los archivos ZIP y evitar ejecutar archivos sospechosos.
- Actualizar los sistemas y aplicaciones para asegurarse de que estén actualizados con los últimos parches de seguridad.
- Implementar medidas de detección de amenazas avanzadas, como análisis de comportamiento y detección de anomalías, para identificar y mitigar posibles ataques.
🔗 Fuente consultada: Microsoft Security
ThreatIntel — Microsoft a Leader en The Forrester Wave™ para Plataformas de Gestión de Puntos de Acceso
🔍 Qué está pasando
- Microsoft ha sido nombrado como líder en el informe de Forrester Wave: Plataformas de Gestión de Puntos de Acceso, Q2 2026.
- Obtuvo las puntuaciones más altas en las categorías de oferta actual y estrategia.
- No hay CVE ID asociado a esta noticia.
⚠️ Por qué importa
Esta designación puede indicar que Microsoft está mejorando su gestión de puntos de acceso, lo que podría tener un impacto positivo en la seguridad y la eficiencia operativa de las organizaciones que utilizan sus soluciones. Sin embargo, no debe descuidarse la importancia de mantener una visión de conjunto de la seguridad de la infraestructura de TI, incluyendo otros proveedores y plataformas.
⚙️ Cómo funciona
Las plataformas de gestión de puntos de acceso se encargan de administrar y controlar el acceso remoto a la red y los recursos de la organización. Estas plataformas pueden incluir funcionalidades como autenticación, autorización, cifrado y monitoreo de actividad. La gestión efectiva de estos puntos de acceso es crucial para prevenir intrusiones y mantener la seguridad de la información.
👁️ Qué vigilar
- Monitorea las mejoras y actualizaciones de la plataforma de gestión de puntos de acceso de Microsoft.
- Asegúrate de que las políticas de seguridad y acceso estén actualizadas y sean coherentes con las mejores prácticas.
- Evalúa la necesidad de implementar soluciones adicionales para mejorar la seguridad de la infraestructura de TI.
🔗 Fuente consultada: Microsoft Security
Vulnerabilidad — CVE-2025-68736 landlock: Fix handling de directorios desconectados
🔍 Qué está pasando
- Se ha publicado información sobre una vulnerabilidad en la función landlock de Linux.
- El CVE ID asignado es CVE-2025-68736.
- La vulnerabilidad se relaciona con el manejo de directorios desconectados.
⚠️ Por qué importa
La vulnerabilidad en landlock puede permitir a un atacante aprovecharse de la falta de verificación de directorios desconectados, lo que podría llevar a un escape de sandbox o a la ejecución de código malicioso. Esto puede tener consecuencias significativas para la seguridad de las organizaciones que utilizan Linux y dependen de la función landlock para proteger sus aplicaciones.
⚙️ Cómo funciona
La función landlock es una característica de seguridad de Linux que permite a los administradores configurar límites de acceso a los procesos y archivos. Sin embargo, la vulnerabilidad CVE-2025-68736 se debe a que la función landlock no verifica adecuadamente la existencia de directorios desconectados, lo que podría permitir a un atacante aprovecharse de esta falta de verificación para ejecutar código malicioso.
👁️ Qué vigilar
- Revisar si se ha aplicado la actualización de seguridad disponible para la función landlock.
- Verificar los directorios desconectados en el sistema para asegurarse de que no existan archivos o directorios maliciosos.
- Configurar la función landlock para limitar el acceso a los procesos y archivos de manera más estricta.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2025-68296 drm, fbcon, vga_switcheroo: Avoid race condition in fbcon setup
🔍 Qué está pasando
- Se ha publicado información sobre una vulnerabilidad en las herramientas drm, fbcon y vga_switcheroo.
- La vulnerabilidad se refiere a una condición de carrera en la configuración de fbcon.
- Está identificada con el CVE ID 2025-68296.
⚠️ Por qué importa
La vulnerabilidad en las herramientas drm, fbcon y vga_switcheroo podría permitir a un atacante aprovechar una condición de carrera en la configuración de fbcon, lo que podría dar lugar a una situación de seguridad comprometida. Si una organización o usuario utiliza estas herramientas, es posible que estén expuestos a este riesgo.
⚙️ Cómo funciona
La condición de carrera en la configuración de fbcon se debe a la falta de sincronización adecuada entre las operaciones de configuración y las actualizaciones de estado en las herramientas drm, fbcon y vga_switcheroo. Esto podría permitir a un atacante explotar la vulnerabilidad y aprovecharse de ella para realizar acciones maliciosas.
👁️ Qué vigilar
- Parche disponible: Microsoft ha publicado información sobre la vulnerabilidad y proporciona consejos para abordarla.
- Recomendación: Las organizaciones y usuarios deben revisar su configuración y asegurarse de que estén actualizadas con los últimos parches y actualizaciones.
- Monitoreo: Es recomendable monitorear el sistema para detectar cualquier actividad sospechosa o indiciativa de la vulnerabilidad.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2026-45930 net: mctp: ensure our nlmsg responses are initialised
🔍 Qué está pasando
- Microsoft ha informado sobre una vulnerabilidad en el protocolo Multicast Technology Protocol (MCTP).
- La vulnerabilidad se identificó con el ID CVE-2026-45930.
- La vulnerabilidad afecta a las respuestas de mensajes NLMSG (Network Layer Message).
⚠️ Por qué importa
La vulnerabilidad en MCTP puede permitir a un atacante ejecutar código arbitrario en un sistema afectado, lo que puede llevar a una pérdida de confidencialidad, integridad y disponibilidad de los datos. Las organizaciones que utilizan MCTP deben asegurarse de aplicar los parches disponibles para evitar posibles ataques.
⚙️ Cómo funciona
La vulnerabilidad se debe a que las respuestas de mensajes NLMSG no están inicializadas correctamente, lo que puede permitir a un atacante manipular la información de los mensajes y ejecutar código malicioso. El ataque se produciría cuando un sistema afectado recibe un mensaje NLMSG y no inicializa correctamente la respuesta.
👁️ Qué vigilar
- Parche disponible: Microsoft ha publicado un parche para la vulnerabilidad CVE-2026-45930.
- Revisa tus sistemas y aplicaciones que utilizan MCTP para asegurarte de que estén actualizados con el parche disponible.
- Asegúrate de que tus sistemas estén configurados para bloquear mensajes NLMSG no inicializados para prevenir posibles ataques.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2026-45850 ipvs: skip ipv6 extension headers for csum checks
🔍 Qué está pasando
- Se ha publicado una vulnerabilidad en el módulo ipvs de Linux que afecta a la verificación de checksums de paquetes IPv6.
- La vulnerabilidad se identifica con el ID CVE-2026-45850.
- La vulnerabilidad permite a un atacante potencialmente explotarla para ejecutar código arbitrario en el sistema.
⚠️ Por qué importa
La vulnerabilidad CVE-2026-45850 es importante porque permite a un atacante explotarla para ejecutar código arbitrario en el sistema. Esto puede llevar a una compromiso del sistema y una pérdida de datos confidenciales. Además, la vulnerabilidad afecta a la verificación de checksums de paquetes IPv6, lo que puede ser utilizado para lanzar ataques de denegación de servicio (DoS) o explotar vulnerabilidades en aplicaciones que dependen de la verificación de checksums.
⚙️ Cómo funciona
La vulnerabilidad CVE-2026-45850 se debe a que el módulo ipvs de Linux no verifica correctamente los extensiones headers de IPv6 en la verificación de checksums de paquetes. Esto permite a un atacante crear paquetes IPv6 con extensiones headers maliciosas que puedan ser utilizadas para explotar la vulnerabilidad. La vulnerabilidad se puede explotar mediante un ataque de buffer overflow, lo que permite a un atacante ejecutar código arbitrario en el sistema.
👁️ Qué vigilar
- Parche disponible: Se recomienda aplicar el parche disponible para solucionar la vulnerabilidad CVE-2026-45850.
- IOCs: Se deben vigilar paquetes IPv6 con extensiones headers maliciosas que puedan ser utilizados para explotar la vulnerabilidad.
- Recomendaciones: Se recomienda aplicar medidas de seguridad adicionales, como la implementación de firewalls y la configuración de reglas de seguridad para prevenir la explotación de la vulnerabilidad.
🔗 Fuente consultada: MSRC Microsoft
Vulnerabilidad — CVE-2026-46321 tun: free page on short-frame rejection in tun_xdp_one()
🔍 Qué está pasando
- Se ha publicado una vulnerabilidad en el controlador de interfaz de usuario de red (tun) de Linux.
- La vulnerabilidad se conoce como CVE-2026-46321.
- El problema se encuentra en la función tun_xdp_one().
⚠️ Por qué importa
La vulnerabilidad en el controlador de interfaz de usuario de red (tun) de Linux puede permitir a un atacante aprovechar la ejecución de código remota. Esto puede llevar a la compromiso de sistemas y la exfiltración de datos confidenciales. Las organizaciones que dependen de Linux para sus infraestructuras de red deben tomar medidas para mitigar este riesgo.
⚙️ Cómo funciona
La vulnerabilidad se produce cuando el controlador de interfaz de usuario de red (tun) rechaza un marco corto y libera una página de memoria. Un atacante puede aprovechar esta situación para ejecutar código malicioso en el sistema afectado, lo que lleva a la ejecución de código remota. Esto se logra mediante la manipulación de la memoria y la ejecución de código en un contexto privilegiado.
👁️ Qué vigilar
- CVE-2026-46321: Identificador de la vulnerabilidad.
- Parche disponible: Los proveedores de Linux están trabajando en un parche para mitigar esta vulnerabilidad. Las organizaciones deben verificar con sus proveedores de Linux para obtener actualizaciones.
- Recomendaciones: Las organizaciones deben asegurarse de que sus sistemas estén actualizados con los parches disponibles y deben implementar controles de acceso estrictos para evitar el acceso no autorizado a los sistemas afectados.
🔗 Fuente consultada: MSRC Microsoft
Cibercrimen — CL-STA-1062 ataca a gobiernos y infraestructura crítica en el sudeste asiático
🔍 Qué está pasando
- Atacantes utilizan un kit de herramientas híbrido para espionaje en entidades gubernamentales y infraestructura crítica en el sudeste asiático.
- El kit incluye un backdoor personalizado llamado TinyRCT (CL-STA-1062).
- No se menciona un CVE ID específico.
⚠️ Por qué importa
El ataque a gobiernos y infraestructura crítica en el sudeste asiático puede tener graves consecuencias, incluyendo el robo de información confidencial y la manipulación de sistemas críticos. Esto puede comprometer la seguridad nacional y la estabilidad regional, y puede tener un impacto significativo en la confianza de los ciudadanos en sus gobiernos.
⚙️ Cómo funciona
El ataque parece utilizar un kit de herramientas híbrido que incluye un backdoor personalizado llamado TinyRCT (CL-STA-1062). El backdoor permite a los atacantes acceder y controlar sistemas remotamente, y puede ser utilizado para realizar actividades de espionaje y robo de información. Es posible que el kit de herramientas también incluya otras herramientas y técnicas de ataque para aumentar su eficacia.
👁️ Qué vigilar
- Vigilar por actividad sospechosa relacionada con el backdoor TinyRCT (CL-STA-1062).
- Aplicar parches disponibles para vulnerabilidades conocidas en sistemas y aplicaciones críticas.
- Realizar análisis de seguridad regular y mantener actualizados los sistemas para evitar ser vulnerables a ataques como este.
🔗 Fuente consultada: Unit 42 (Palo Alto)
Cibercrimen — Panorama de amenazas para SMB en 2026: de phishing y estafas a herramientas de inteligencia artificial falsas
🔍 Qué está pasando
- La investigación de Kaspersky identifica un aumento en ataques que involucran herramientas de inteligencia artificial falsas.
- Se detectan esquemas de phishing y venta de datos en la dark web.
- Los SMBs son vulnerables a estas amenazas debido a su falta de recursos y tecnología de seguridad.
⚠️ Por qué importa
El panorama de amenazas para los SMBs en 2026 es cada vez más complejo y peligroso. La utilización de herramientas de inteligencia artificial falsas puede ser especialmente engañosa, ya que pueden parecer legítimas y auténticas. Esto puede llevar a la pérdida de confianza en las herramientas de seguridad y a una mayor exposición a ataques de phishing y otras amenazas. Además, la venta de datos en la dark web puede resultar en la exposición de información sensible y la pérdida de competitividad para los SMBs.
⚙️ Cómo funciona
Los atacantes pueden utilizar herramientas de inteligencia artificial falsas para crear contenido que parezca legítimo y auténtico, lo que puede llevar a los usuarios a descargar malware o proporcionar información personal sensible. Los esquemas de phishing pueden ser especialmente efectivos, ya que pueden parecer correos electrónicos o mensajes de texto legítimos que solicitan información confidencial. La venta de datos en la dark web puede ser resultado de ataques de ransomware o de la exposición de datos en la nube.
👁️ Qué vigilar
- Vigilar por herramientas de inteligencia artificial falsas que pueden parecer legítimas.
- Revisar y actualizar las políticas de seguridad para evitar ataques de phishing y otros tipos de ciberamenazas.
- Utilizar tecnologías de seguridad avanzadas, como AI-powered firewalls y sistemas de detección de intrusos, para proteger los sistemas y la información.
🔗 Fuente consultada: Kaspersky Securelist
Ciberseguridad — Gamaredon en 2025: aprovechando túneles, trabajadores, puntos muertos y nuevas alianzas
🔍 Qué está pasando
- Gamaredon, una organización cibercriminal, ha actualizado su conjunto de herramientas para ocultar su infraestructura de control y comando (C2) y exfiltrar datos robados.
- Utiliza túneles, trabajadores (bots) y puntos muertos (dead drops) en servicios en línea legítimos para esconder su actividad maliciosa.
- La organización ha formado nuevas alianzas para ampliar su alcance y complejidad.
⚠️ Por qué importa
La evolución de Gamaredon representa un riesgo creciente para organizaciones y usuarios que no están preparados para enfrentar este tipo de amenazas. La capacidad de la organización para ocultar su actividad y exfiltrar datos sin ser detectada puede provocar pérdidas significativas de información confidencial y daños a la reputación. Además, la formación de nuevas alianzas puede aumentar la complejidad de las operaciones cibernéticas y dificultar la identificación de los atacantes.
⚙️ Cómo funciona
Gamaredon utiliza una combinación de técnicas para ocultar su actividad, incluyendo la creación de túneles a través de servicios en línea legítimos, como Google Drive o Dropbox, para comunicarse con sus trabajadores (bots). Estos trabajadores pueden estar escondidos en aplicaciones o servicios en línea, y pueden ser controlados por Gamaredon para llevar a cabo tareas maliciosas. Los puntos muertos (dead drops) se utilizan para intercambiar datos entre Gamaredon y sus trabajadores, y pueden ser escondidos en servicios en línea o en sistemas de archivos compartidos.
👁️ Qué vigilar
- IOC: Buscar tráfico anormal en servicios en línea legítimos, como Google Drive o Dropbox, que puedan indicar la presencia de túneles.
- Parches: Asegurarse de que los sistemas y aplicaciones estén actualizados con los últimos parches de seguridad para evitar la explotación de vulnerabilidades.
- Recomendaciones: Implementar medidas de seguridad avanzadas, como detección de comportamiento basada en machine learning, para identificar y bloquear actividades maliciosas.
🔗 Fuente consultada: ESET WeLiveSecurity
Vulnerabilidad — AI-enabled threat intelligence
🔍 Qué está pasando
- La empresa Talos Intelligence ha publicado un artículo sobre cómo la inteligencia artificial (IA) puede mejorar la inteligencia de amenazas (threat intelligence).
- El objetivo es crear una fuente de datos fácilmente consultable de informes de inteligencia.
- Esto permitiría a los analistas de ciberseguridad acceder a información de manera más eficiente y efectiva.
⚠️ Por qué importa
La expansión del uso de la IA en la inteligencia de amenazas puede revolucionar la forma en que se abordan las amenazas cibernéticas. Al proporcionar una fuente de datos más accesible y fácil de consultar, los analistas pueden identificar patrones y tendencias más rápidamente, lo que puede ayudar a prevenir ataques y reducir el impacto de los incidentes cibernéticos.
⚙️ Cómo funciona
La IA puede ser utilizada para analizar grandes conjuntos de datos de inteligencia de amenazas, identificando relaciones y patrones que pueden ser difíciles de detectar para los humanos. Esto puede incluir la identificación de malware, la detección de phishing y la identificación de objetivos de ataque. Al crear una base de datos de inteligencia de amenazas que sea fácilmente consultable, los analistas pueden acceder a la información que necesitan para tomar decisiones informadas y tomar medidas para mitigar las amenazas.
👁️ Qué vigilar
- La creciente adopción de la IA en la inteligencia de amenazas.
- La creación de bases de datos de inteligencia de amenazas fácilmente consultables.
- La necesidad de desarrollar habilidades en análisis de datos y machine learning para aprovechar al máximo la IA en la inteligencia de amenazas.
🔗 Fuente consultada: Talos Intelligence
ThreatIntel — Uso de COM por amenazas de Windows
🔍 Qué está pasando
- Los atacantes están explotando la tecnología Component Object Model (COM) de Windows para realizar actividades maliciosas.
- COM se utiliza comúnmente por aplicaciones legítimas para la activación de objetos, la comunicación entre procesos, la automatización y el reutilización de componentes independientes de lenguaje.
- No se proporciona un CVE ID específico en la noticia.
⚠️ Por qué importa
El uso de COM por amenazas de Windows puede tener un impacto significativo en la seguridad de las organizaciones, ya que permite a los atacantes acceder a recursos críticos y realizar actividades maliciosas con una gran flexibilidad. Esto puede llevar a la exfiltración de datos, la instalación de malware y la toma del control de sistemas.
⚙️ Cómo funciona
La tecnología COM de Windows permite a los aplicativos legítimos interactuar con objetos y componentes de manera independiente del lenguaje de programación utilizado. Sin embargo, esto mismo permite a los atacantes utilizar COM para crear objetos y componentes maliciosos que pueden interactuar con otros procesos y sistemas de manera indetectable. Los atacantes pueden utilizar COM para crear objetos que se comporten como servicios legítimos, pero que en realidad realizan actividades maliciosas.
👁️ Qué vigilar
- IOCs: Investigar y detectar objetos y componentes maliciosos que se creen utilizando COM.
- Parches disponibles: Verificar si hay parches disponibles para vulnerabilidades relacionadas con COM y aplicarlos de inmediato.
- Recomendaciones concretas: Implementar controles de acceso estrictos y monitorear el uso de COM en la red para detectar actividades maliciosas.
🔗 Fuente consultada: Talos Intelligence
Vulnerabilidad — Millenium: A RAT Rewritten, A Threat Multiplied
Group-IB analyzes Millenium RAT version 4.*, a remote access trojan that has undergone an architectural shift from .NET to native C++, while continuing to leverage the Telegram Bot API for command and control, requiring no dedicated server infrastructure. This blog also profiles the developer “Shiny
🔗 Fuente consultada: Group-IB
Top comments (0)