Edición del 24 al 28 de octubre de 2026
PHP2Shell y Brotli ya se explotan, parche para iPhone antiguos y billeteras Keystone bajo sospecha
10 min de lecturaCuatro días con más trabajo para los administradores que para el usuario común, pero con tareas para todos. Los fallos PHP2Shell y el de la biblioteca Brotli pasaron de amenaza teórica a ataques reales, y eso pone en juego a las tiendas y servicios que usamos a diario. Apple extendió a iPhone antiguos el parche de un fallo ya explotado, Chrome y Firefox recibieron actualizaciones importantes y Keystone perdió la llave que certifica sus billeteras cripto. Ninguna alerta de esta edición es crítica; casi todas se resuelven actualizando hoy.
Si solo tienes 30 segundos
- Actualiza tu iPhone o iPad antiguo a iOS o iPadOS 18.7.11, o a la versión más reciente que admita.
- Reinicia Chrome para pasar a la versión 156.0.8078.73 o superior, y lleva Firefox a la 159.
- Si tu billetera Keystone llegó después del 20 de octubre, no la uses hasta que el soporte confirme que es genuina.
- Si pagaste en una tienda brasileña con Convertr entre el 24 y el 27 de octubre, revisa los movimientos de tu tarjeta.
- Si administras un sitio web, aplica ya los parches de PHP y de Brotli (Node.js, .NET).
Alertas críticas y vulnerabilidades activas
AltaConfirmado
CISA confirma ataques contra el fallo de Brotli que afecta a Node.js, .NET y PHP
Ilustración: Benxsus
Afecta a: sitios, tiendas y servicios web que usan Node.js, .NET, PHP, Python o Bun sin actualizar y descomprimen datos Brotli que llegan de fuera · Identificador: CVE-2026-111497
La agencia de ciberseguridad de Estados Unidos (CISA) añadió el 27 de octubre a su catálogo de vulnerabilidades explotadas el fallo CVE-2026-111497 en Brotli, la biblioteca de Google que descomprime datos en una enorme cantidad de servidores. Los investigadores lo llaman HTTP2Shell, Node2Shell o Broccoli2Shell. Con datos comprimidos manipulados, un atacante puede corromper la memoria del proceso: lo habitual es que el servicio se caiga, y en configuraciones concretas puede ejecutar código a distancia (RCE). La firma ELLIO registró tráfico de explotación real con la herramienta pública, y Previdian detectó al menos un intento contra sus sensores; todavía no se sabe qué tan amplios son los ataques. Node.js, Microsoft (.NET), PHP, Python, Bun y Envoy, entre otros, ya publicaron parches. Para el usuario común el riesgo es indirecto: lo que está en juego son las tiendas, apps y servicios que usan estos componentes.
Qué hacer
- Si administras servidores, actualiza Node.js a 22.23.4, 24.22.1 o 26.12.1, según tu rama.
- Instala las actualizaciones de emergencia de .NET y los paquetes corregidos de tu distribución.
- Si usas una rama de Node.js sin soporte, migra a una vigente: no existe mitigación alternativa.
Fuente: CISA · Publicado el 27/10/2026
AltaConfirmado
Apple lleva a iPhone XS y XR el parche de un fallo ya usado en ataques dirigidos
Ilustración: Benxsus
Afecta a: iPhone XS, XS Max y XR; iPad de 7.ª generación, iPad Air de 4.ª generación en adelante, iPad de 9.ª generación en adelante e iPad mini de 6.ª generación en adelante, con iOS o iPadOS anteriores a 18.7.11 · Identificador: CVE-2026-86950
Apple publicó el lunes 26 de octubre iOS 18.7.11 e iPadOS 18.7.11 para equipos que ya no pueden instalar las versiones más recientes. La actualización corrige CVE-2026-86950, un fallo en CoreGraphics que permite ejecutar código al abrir un archivo manipulado. Apple lo había corregido en septiembre para iOS 26.7.1 y macOS, y reconoció que pudo explotarse en un ataque muy sofisticado contra personas concretas. La nueva versión también cierra dos fallos que permitían a una app maliciosa filtrar información o usar la cámara sin permiso. En paralelo salió iOS 27.2, con cientos de correcciones; Apple no indicó que alguna de ellas esté bajo explotación. No es un ataque masivo, pero los equipos antiguos suelen pasar meses sin actualizar, y ahí está el riesgo.
Qué hacer
- Ve a Ajustes > General > Actualización de software e instala iOS 18.7.11 o la versión más reciente que admita tu equipo.
- Si tu iPhone ya es compatible con iOS 27, instala iOS 27.2.
Fuente: The Hacker News · Publicado el 27/10/2026
AltaConfirmado
PHP2Shell pasa de amenaza a ataque real: CISA confirma la explotación
Ilustración: Benxsus
Afecta a: servidores web con PHP sin las versiones publicadas desde el 21 de octubre; en Perú, las 1510 entidades públicas que alertó el CNSD · Identificador: CVE-2026-109618, CVE-2026-109619
Novedad desde la edición anterior: los dos fallos críticos de PHP conocidos como PHP2Shell ya se explotan con éxito. El investigador Adel Karimi registró en sus señuelos (honeypots) una ejecución remota de código confirmada contra un servidor Apache con PHP 8.4.26, y CISA los añadió el 26 de octubre a su catálogo de vulnerabilidades explotadas. Hasta entonces solo se habían visto escaneos e intentos fallidos. Los parches existen desde el 21 de octubre. Aparte, el equipo de PHP advirtió de un tercer fallo (CVE-2026-115560) que aún no tiene parche y solo afecta configuraciones poco comunes. En Perú, el Centro Nacional de Seguridad Digital alertó a 1510 entidades públicas para que actualicen. PHP mueve cerca del 70 % de los sitios web, así que la demora de un administrador puede exponer los datos de miles de usuarios.
Qué hacer
- Instala las versiones de PHP publicadas desde el 21 de octubre; las del 26 de octubre también corrigen el fallo de Brotli.
- Mientras llega el parche del tercer fallo, desactiva la opción session.upload_progress.enabled, como recomienda el equipo de PHP.
- Revisa los registros del servidor desde el 17 de octubre: hubo intentos antes de que salieran los parches.
Fuente: CISA · Publicado el 26/10/2026
Brechas y filtraciones de datos
AltaConfirmado
Robaron la llave que certifica las billeteras cripto Keystone: las recibidas después del 20 de octubre, en duda
Ilustración: Benxsus
Afecta a: dueños de billeteras Keystone recibidas después del 20 de octubre y quienes compraron en la web de Keystone entre 2024 y 2026 · Identificador: no aplica
El fabricante de billeteras físicas de criptomonedas Keystone informó el 26 de octubre que un atacante entró a su sitio web por un fallo en una herramienta de monitoreo de terceros y se llevó la llave con la que sus equipos prueban que son originales. Con ella se podrían fabricar dispositivos falsos que pasen la verificación en línea y, después, vaciar los fondos de quien los use. La llave no interviene en las frases de recuperación ni en las claves privadas, y la empresa no reporta equipos falsos ni robos por ahora. También quedaron expuestos 25.964 registros de compras en su web entre 2024 y 2026, con nombre, contacto y dirección de envío; no incluyen datos de tarjetas. Keystone destruirá 18.835 equipos sin vender que llevan la llave comprometida.
Qué hacer
- Si tu Keystone llegó antes del 20 de octubre y pasa la verificación, puedes seguir usándola.
- Si llegó después de esa fecha, no la uses hasta que el soporte oficial confirme que es genuina.
- Trata como estafa cualquier mensaje que ofrezca reembolsos, reemplazos o ayuda para mover tus criptomonedas.
Fuente: The Hacker News · Publicado el 27/10/2026
Estafas, phishing y fraude digital
AltaConfirmado
Un grupo brasileño escondió un skimmer en el pago de tiendas de moda que usan Convertr
Ilustración: Benxsus
Afecta a: clientes que pagaron en tiendas brasileñas con checkout de Convertr entre el 24 y el 27 de octubre · Identificador: CVE-2026-8467 (vía de entrada sospechada)
La firma de seguridad para comercio electrónico Sansec detectó el 24 de octubre un skimmer (código que copia los datos de la tarjeta mientras el cliente paga) en las páginas de pago de Convertr, plataforma brasileña que opera las tiendas en línea de decenas de marcas de moda. Los atacantes alteraron el archivo de analítica que cargaban todos los checkouts; Sansec sospecha que entraron por un fallo en una instalación desactualizada de Plausible, la herramienta de analítica que usaba la empresa. El 26 de octubre ajustaron el código para apuntar a los campos exactos de su sistema de pagos. Convertr retiró el skimmer y actualizó Plausible el 27 de octubre, y avisó a comercios y procesadores de pago. Sansec atribuye el ataque a un grupo brasileño activo desde 2024 y dedicado a este tipo de robo.
Qué hacer
- Si compraste en una tienda brasileña con pago de Convertr entre el 24 y el 27 de octubre, revisa los movimientos de tu tarjeta.
- Si ves cargos que no reconoces, bloquea la tarjeta y pide una nueva a tu banco.
- Para compras en línea, prefiere tarjetas virtuales o billeteras que no expongan el número real.
Fuente: Sansec · Publicado el 27/10/2026
Parches y actualizaciones de seguridad
AltaConfirmado
Chrome 156 y Firefox 159 corrigen fallos críticos de memoria
Ilustración: Benxsus
Afecta a: usuarios de Chrome en Windows, Mac y Linux y de Firefox anterior a la versión 159 · Identificador: MFSA 2026-118 (Mozilla)
Google y Mozilla publicaron actualizaciones de seguridad el 27 de octubre. Chrome pasa a la versión 156.0.8078.73/.74 en Windows y Mac (156.0.8078.73 en Linux) con 52 correcciones, cuatro de ellas críticas. Firefox 159 resuelve 167 vulnerabilidades, según el boletín MFSA 2026-118 de Mozilla. Buena parte son errores de uso de memoria ya liberada (use-after-free) al procesar páginas, JavaScript o gráficos SVG, del tipo que en el peor caso permite ejecutar código con solo visitar una web maliciosa. Ninguno figura como explotado. Ambas empresas atribuyeron parte de los hallazgos a herramientas de inteligencia artificial. Las actualizaciones llegan de forma gradual en los próximos días, así que conviene forzarlas.
Qué hacer
- En Chrome, abre Configuración > Información de Chrome y pulsa Reiniciar si hay una actualización.
- En Firefox, abre Menú > Ayuda > Acerca de Firefox y confirma que tienes la versión 159 o superior.
Fuente: Malwarebytes Labs · Publicado el 28/10/2026
MediaConfirmado
Microsoft corrige un fallo de Authenticator para Android que exponía cuentas de trabajo
Ilustración: Benxsus
Afecta a: usuarios de Microsoft Authenticator en Android con cuentas de trabajo o estudio, en versiones anteriores a 6.2606.4246 · Identificador: CVE-2026-80097
Microsoft corrigió CVE-2026-80097 en Authenticator para Android, versión 6.2606.4246. El fallo permitía que una app maliciosa, sin pedir ningún permiso, se hiciera pasar por una app de Microsoft como Teams y obtuviera los tokens de inicio de sesión de la cuenta de trabajo o estudio de la víctima. En las pruebas de los investigadores de Enclave, esos tokens daban acceso completo al correo, los archivos y el calendario. Microsoft aclara que el ataque además exige que la víctima complete un paso de inicio de sesión en Authenticator, y que no se usó en ataques reales. Los detalles técnicos se publicaron el 23 de octubre y la noticia se difundió el 27.
Qué hacer
- Actualiza Microsoft Authenticator desde Google Play a la versión 6.2606.4246 o superior.
- Rechaza cualquier solicitud de inicio de sesión en Authenticator que no hayas iniciado tú.
Fuente: The Hacker News · Publicado el 27/10/2026
Privacidad y datos personales
MediaConfirmado
Google precisa que tus datos de Gmail y Fotos pueden alimentar anuncios si los conectas a Gemini
Ilustración: Benxsus
Afecta a: usuarios de Google que permitieron que Gemini o la Búsqueda accedan a Gmail, Google Fotos o Drive · Identificador: no aplica
La política de privacidad de Google, actualizada el 16 de octubre y difundida esta semana, precisa que los datos de Gmail, Google Fotos y Drive pueden usarse para anuncios personalizados si el usuario los pone a disposición de servicios que muestran publicidad. Es el caso de quien permite que Gemini o la Búsqueda accedan a su información personal para recibir respuestas más a medida. Google sostiene que no usa esos datos para anuncios por defecto y que no entrega a los anunciantes datos que identifiquen a la persona, como nombre, teléfono o correo. Según Android Authority, desconectar las apps no borra la información a la que Google ya accedió.
Qué hacer
- Entra a tu Cuenta de Google > Datos y privacidad > Configuración de personalización y revisa las apps de contenido conectadas.
- Desconecta Google Workspace y Google Fotos si no quieres que se usen para personalizar resultados ni anuncios.
Fuente: Cybernews · Publicado el 27/10/2026