Edición del 12 al 13 de noviembre de 2026
Monitor Ciber: SignDrop sin parche en Windows, Chrome 157 corrige 83 fallos y el BCP alerta por apps maliciosas
6 min de lecturaEsta edición cubre del 12 al 13 de noviembre y llega corta a propósito: cuatro alertas que piden alguna acción. Un investigador publicó SignDrop, un exploit para Windows que todavía no tiene parche ni CVE, aunque tampoco ataques conocidos. Google lanzó Chrome 157 con 83 correcciones, cinco críticas. En la región, BCP y Yape advierten por apps maliciosas que llegan por WhatsApp y SMS, y en Brasil una aseguradora de Caixa confirmó la filtración de datos de unos 7,6 millones de clientes.
Si solo tienes 30 segundos
- Actualiza Chrome a la versión 157.0.8103.78 o superior, en la computadora y en Android.
- Instala apps solo desde Google Play o App Store; nunca desde un enlace de WhatsApp o SMS.
- Si recibes una llamada que cita tus datos reales y te pide claves o códigos, cuelga y llama tú al banco.
- No ejecutes programas de origen dudoso en Windows mientras SignDrop siga sin parche.
Alertas críticas y vulnerabilidades activas
Media Confirmado
SignDrop: un exploit público convierte una defensa de Windows en una puerta a privilegios de SYSTEM
Ilustración: Benxsus
Afecta a: equipos con Windows 11 y Windows Server 2025 que tienen activa la autenticación de registros CLFS (la configuración por defecto desde las actualizaciones de octubre de 2025) · Identificador: sin CVE asignado
El 10 de noviembre, el mismo día del Patch Tuesday, un investigador que firma como MSNightmare publicó en GitHub una prueba de concepto llamada SignDrop. Según The Hacker News, aprovecha la protección que Microsoft añadió al sistema de registros CLFS (el componente de Windows que gestiona archivos de registro) para que un usuario común escale hasta SYSTEM, el nivel más alto del equipo. El laboratorio Cyderes la reprodujo y obtuvo control total; otra prueba independiente concluyó que funciona, aunque no de forma estable. Es un fallo local: el atacante necesita ejecutar antes un programa en la máquina, por ejemplo mediante un malware descargado. Al cierre de esta edición, Microsoft no asignó CVE, no publicó parche ni se pronunció, y no hay reportes de ataques reales. Mientras tanto, desactivar esa protección no es buena idea: volvería a exponer fallos antiguos del mismo componente.
Qué hacer
- No ejecutes programas ni adjuntos de origen dudoso: SignDrop necesita que algo malicioso ya corra en tu equipo.
- Mantén activos Windows Update y Microsoft Defender; no desactives protecciones del sistema por consejos de foros.
- Instala el parche en cuanto Microsoft lo publique.
Fuente: The Hacker News · Publicado el 12/11/2026
Parches y actualizaciones de seguridad
Alta Confirmado
Chrome 157 corrige 83 fallos de seguridad, cinco de ellos críticos
Ilustración: Benxsus
Afecta a: usuarios de Chrome en Windows y Mac con versión anterior a 157.0.8103.78/.79, en Linux anterior a 157.0.8103.78 y en Android anterior a 157.0.8103.78 · Identificador: CVE-2026-126885, CVE-2026-126895, CVE-2026-126879, CVE-2026-126846 y CVE-2026-126911 (críticos), entre otros
Google publicó el 11 de noviembre la actualización estable de Chrome 157 con 83 correcciones de seguridad: 5 críticas y 78 de severidad alta. Los cinco fallos críticos son de tipo use-after-free (el navegador reutiliza memoria que ya liberó, algo que un atacante puede aprovechar para ejecutar código) y afectan a ServiceWorker, CSS, el motor de diseño, la librería gráfica Skia y las funciones de accesibilidad. El aviso oficial no indica que alguno esté siendo explotado. La versión para Android llega por Google Play en los próximos días. Este paquete es posterior al parche de emergencia de inicios de semana para el zero-day CVE-2026-125350, que ya cubrimos; quien actualice ahora recibe ambas correcciones. La publicación quedó fuera de nuestra edición anterior, por eso la incluimos hoy.
Qué hacer
- En la computadora, entra a Menú › Ayuda › Información de Google Chrome y pulsa Reiniciar.
- En Android, actualiza Chrome desde Google Play.
- Si usas Edge, Brave u otro navegador basado en Chromium, revisa también su actualización.
Fuente: Chrome Releases (Google) · Publicado el 11/11/2026
Perú y LATAM
Alta Confirmado
BCP y Yape alertan por apps maliciosas que llegan por WhatsApp y SMS para tomar el control del celular
Ilustración: Benxsus
Afecta a: usuarios de Yape y de banca móvil en Perú, sobre todo en Android, que instalan apps desde enlaces o archivos enviados por mensajería o redes sociales · Identificador: no aplica
Según La República, BCP y Yape emitieron una alerta sobre aplicaciones maliciosas que roban claves, datos personales y financieros. El gancho llega por WhatsApp, SMS o redes sociales: premios, beneficios, versiones gratis de apps de pago o supuestas «actualizaciones». Al instalarlas piden permisos que no tienen relación con su función, como acceso a mensajes, contactos o a la pantalla, o piden desactivar la seguridad del equipo. Las señales de que el celular ya está comprometido incluyen avisos de operaciones que no hiciste, códigos de verificación que no pediste, pantalla negra o mensajes de «Actualizando» sin motivo y apps con nombres genéricos como «Servicio». La nota no publica cifras de víctimas ni el nombre de las apps.
Qué hacer
- Instala apps solo desde Google Play o App Store y nunca desactives Play Protect.
- Si ya instalaste algo sospechoso, activa el modo avión, no abras Yape ni el banco desde ese equipo y cambia tus claves desde otro dispositivo.
- Reporta de inmediato al BCP cualquier operación que no reconozcas.
Fuente: La República · Publicado el 12/11/2026
Alta Confirmado
Brasil: Caixa Vida e Previdência confirma el robo de datos de unos 7,6 millones de clientes
Ilustración: Benxsus
Afecta a: clientes activos y ex clientes de Caixa Vida e Previdência, la aseguradora de vida y previsión del grupo Caixa en Brasil · Identificador: no aplica
La aseguradora, filial de Caixa Seguridade, informó a la CVM (el regulador del mercado de valores brasileño) que detectó el 6 de noviembre un acceso no autorizado a sus sistemas y que los atacantes copiaron datos de registro. En toda la base afectada figuran el nombre y el CPF (el número de identificación tributaria brasileño); en parte de los registros, también dirección, teléfono, correo y fecha de nacimiento. La empresa estima unos 7,6 millones de clientes activos, más ex clientes sin cifra publicada, y dice que la investigación preliminar no muestra compromiso de datos financieros ni de contraseñas. Avisó a la ANPD y a los titulares el 11 de noviembre. El riesgo inmediato es el fraude dirigido: mensajes o llamadas que citan el CPF y el plan correctos para parecer legítimos.
Qué hacer
- Desconfía de llamadas o mensajes que pidan claves, códigos o pagos, aunque mencionen tus datos reales.
- Verifica cualquier aviso llamando tú al canal oficial de la empresa.
- Si eres cliente, revisa tus cuentas y activa alertas de movimientos.
Fuente: Ativo Virtual (AVNews) · Publicado el 13/11/2026