Resumen de ciberseguridad: semana del 12 al 18 de octubre

Semana negra para los equipos expuestos a Internet: BeyondTrust, Cisco, Ivanti y Palo Alto Networks han parcheado fallos que ya se estaban explotando. Microsoft ha publicado su mayor actualización mensual hasta la fecha, con más de 1.400 fallos corregidos. Y en España, INCIBE avisa de un timo por WhatsApp que se aprovecha de los iPhone sin actualizar.

BeyondTrust: espías chinos dentro desde agosto

CVE-2026-102764 (CVSS 9.3) afecta a BeyondTrust Remote Support, la herramienta que usan muchos departamentos de IT para conectarse a los equipos de sus usuarios. Todas las versiones hasta la 26.2.3 son vulnerables. Según Mandiant, el grupo de espionaje chino Armory Castle (antes UNC5221) lo explotaba desde el 29 de agosto. Conseguían root en el servidor, instalaban la web shell Sawfly, borraban los registros y usaban credenciales de administrador para saltar a los equipos atendidos y llevarse documentos internos.

Qué hacer: en la nube ya está corregido. Si lo tienes instalado en tus servidores y no tienes activadas las actualizaciones automáticas, aplica el parche BT26-05-RS; si estás en una versión anterior a la 24.3.1, actualiza primero. Cualquier servidor expuesto que haya tenido una versión vulnerable debe tratarse como comprometido hasta revisarlo. Fuente: SecurityWeek · BleepingComputer · INCIBE-CERT

Cisco: un correo basta para tomar el control de la pasarela de correo

CVE-2026-76519 está en la función de análisis antimalware (AMP) de Cisco Secure Email Gateway. Basta con enviar un correo con un adjunto preparado para escribir archivos y ejecutar comandos como root, sin credenciales. Ya se explota. Afecta a equipos con File Reputation activado y una versión de Content Scanner Tools anterior a la 25.3.0.5525. Es otro fallo grave más en este producto en pocos meses.

Qué hacer: actualizar Content Scanner Tools (el comando contentscannerstatus muestra la versión), revisar los indicadores de compromiso del aviso de Cisco y, si hay intrusión, renovar credenciales y certificados del equipo. Fuente: BleepingComputer · INCIBE-CERT

Ivanti Connect Secure: root en VPN con todos los parches

Volexity descubrió que el grupo UTA0576 encadenaba tres zero-days para ejecutar código como root en VPN Ivanti Connect Secure totalmente actualizadas. CVE-2026-104935 corrige dos de ellos; el tercero, de escalada de privilegios, sigue sin parche. Los atacantes buscaban credenciales, contraseñas LAPS y claves de recuperación de BitLocker. Volexity cree, con confianza media, que usan modelos de IA para desarrollar los exploits.

Qué hacer: actualizar a 22.8R2.5, 25.1.1.2, 25.1.3.0 o 25.1.3.1 y vigilar el aviso de Ivanti para el tercer parche. Fuente: SecurityWeek · INCIBE-CERT

Microsoft: 1.411 fallos en un solo Patch Tuesday

Es la mayor actualización mensual de su historia, con 70 fallos críticos. El más urgente es CVE-2026-96951, ya explotado: permite saltarse la Marca de la Web, el aviso que muestra Windows al abrir archivos descargados de Internet. Hay dos fallos más publicados antes del parche, entre ellos uno en .NET que permite saltarse WDAC. Ojo: Windows 11 24H2 Home y Pro ya no recibirán más actualizaciones.

Qué hacer: instalar las actualizaciones de octubre y planificar la migración de los equipos que se quedan sin soporte. Fuente: BleepingComputer · INCIBE-CERT

WhatsApp: piden dinero a tus contactos desde tu propia cuenta

INCIBE alerta de un timo que está llegando a su línea de ayuda. Desde la cuenta de WhatsApp de la víctima, los delincuentes escriben a sus contactos pidiendo casi 1.000 euros por una urgencia y prometen devolverlos al día siguiente. La víctima no ve esos mensajes en su historial. La mayoría de los casos son iPhone con versiones anteriores a iOS 18, aunque también hay alguno con iOS 26 anterior a la 26.7.

Qué hacer: actualizar iOS y después WhatsApp, activar la verificación en dos pasos y revisar los dispositivos vinculados. Si te piden dinero por WhatsApp, llama a esa persona antes de pagar. Si ya has pagado, avisa al banco y denuncia. Para dudas, el 017. Fuente: INCIBE

Parchea ya

• CVE-2026-102764 · BeyondTrust Remote Support · ficha
• CVE-2026-76519 · Cisco Secure Email Gateway (AMP) · ficha
• CVE-2026-76461 · Cisco AsyncOS (Secure Email Gateway) · ficha
• CVE-2026-104935 · Ivanti Connect Secure · ficha
• CVE-2026-0322 · Palo Alto Networks PAN-OS · ficha
• CVE-2026-96951 · Windows Shell · ficha
• CVE-2025-61624 · Fortinet FortiOS · ficha
• CVE-2026-105133 · AhsayCBS · ficha
• CVE-2026-105134 · AhsayCBS · ficha
• CVE-2025-55177 · WhatsApp para iOS · ficha