Fallos importantes en PHP

Hay que mencionar que PHP es un lenguaje de programación muy utilizado en aplicaciones web, para procesar formularios, gestionar sesiones o consultar bases de datos. Al ser algo tan utilizado, fallos de este tipo pueden tener una gran repercusión. No se trata de una vulnerabilidad que afecte a un único plugin o sitio web específico.

En caso de que un atacante explotara estos fallos, podría llegar a ejecutar código de forma remota en un servidor. Tendría la capacidad de acceder a información disponible para la cuenta del servicio, modificar archivos o crear una puerta trasera, robar credenciales y llegar a usar ese servidor comprometido para intentar atacar a otros sistemas.

Estos fallos, según circula por diferentes medios, han sido registrados como CVE-2026-109618 y CVE-2026-109619, aunque no hay información oficial por parte de PHP al respecto. La filtración tuvo lugar con fecha de 20 de octubre y, posteriormente, apareció la publicación oficial de PHP al respecto.

Puedes ver la publicación de PHP en la siguiente captura de pantalla que te dejamos:

Tampoco hay información oficial, por el momento, sobre qué versiones exactamente están afectadas y cuáles recibirán actualizaciones. Sin embargo, podrían estar afectadas todas las versiones desde PHP 5. Los parches llegarían a las ramas con soporte, que es de PHP 8.2 en adelante.

Actualizaciones inmediatas

Al tiempo de escribir este artículo no hay parches disponibles, pero desde PHP informan de que saldrán hoy 21 de octubre a las 14:00h UTC, esto es, a las 16:00 hora de España peninsular. A partir de ese momento, las vulnerabilidades denominadas por los investigadores de seguridad como PHP2Shell tendrán parches disponibles.

Desde PHP se remiten a la información que van a dar una vez estén disponibles estos parches. No informan de si estas vulnerabilidades se están explotando actualmente o no. Todo eso, previsiblemente, aparecerá una vez estén disponibles los parches para los usuarios.

Todo esto supone un problema para los administradores, ya que no ha habido una divulgación coordinada, sino que se ha filtrado que existe un problema, cuando aún no hay una solución disponible. Aunque la ventana de tiempo es pequeña, de apenas unas horas, existe riesgo.

Mayor riesgo para las versiones anteriores

Actualmente, las ramas que tienen soporte son la 8.2, 8.3, 8.4 y 8.5. Las versiones anteriores, como las ramas 8.1 y 8.0, además de 7.x o 5.x, están fuera del soporte, por lo que, previsiblemente, no van a recibir actualizaciones para corregir estas dos vulnerabilidades críticas.

Es fundamental siempre contar con las últimas versiones, para poder así acceder a parches que puedan lanzar los desarrolladores y corregir problemas conocidos. Actualmente, según estimaciones de la empresa de seguridad Mallory, habría unos 884.000 servidores expuestos a Internet por utilizar una versión PHP 8.1 o anterior.

Por el momento, una mitigación temporal que puedes hacer es la de desactivar el progreso de subida de ficheros de PHP, bloqueado para que ningún dominio pueda reactivarlo. No se trata de una medida oficial, pero sí algo que están haciendo muchos administradores hasta que haya una solución.

Desde Cloudflare han lanzado un ruleset de emergencia para poder corregir este problema. Puedes ver toda la información en su web.

Por tanto, lo que sabemos hasta ahora es que hay dos vulnerabilidades críticas que afectan a PHP y que no tienen parche hasta dentro de unas horas. Se desconoce el componente exacto de PHP afectado, las versiones concretas que son vulnerables (o si afecta a todas), las condiciones técnicas necesarias para poder explotar los fallos, las versiones que se van a corregir y si realmente hay explotación activa o no.

El programa, al que puedes unirte voluntariamente, utiliza los modelos de IA más potentes de la empresa para realizar escaneos repetidos, ofreciendo a los desarrolladores una vía más rápida para detectar posibles fallos sin tener que esperar a una revisión humana.

Según la descripción del servicio de Anthropic, OSS Scanner se basa en su trabajo con Project Glasswing. La empresa afirma que había revisado más de 6.000 informes de vulnerabilidades para octubre de 2026 a través de su proceso de divulgación actual. El nuevo servicio ofrece una vía independiente para proyectos que estén dispuestos a evaluar informes generados por IA.

De acuerdo con el repositorio de GitHub, el escáner primero construye el proyecto inscrito dentro de una máquina virtual aislada con acceso a la red habilitado. Esta etapa instala las dependencias y prepara el software para las pruebas.

A continuación, Anthropic elimina el acceso a Internet antes de que comience la auditoría de seguridad, permitiendo que los agentes de escaneo examinen el proyecto dentro de un entorno restringido.

Los informes llegan por correo electrónico con los pasos para reproducir el problema sospechado y un parche propuesto cuando está disponible. Anthropic afirma que su proceso incluye agentes que verifican doblemente los errores y examinan sus causas raíz.

Sin embargo, estas comprobaciones son automatizadas. Ningún humano revisa los hallazgos antes de que los responsables los reciban. Tras el primer escaneo, el servicio vuelve a analizar los proyectos en busca de vulnerabilidades recién introducidas y problemas omitidos anteriormente. La frecuencia del escaneo depende de factores como la demanda y el uso del proyecto.

Los responsables principales pueden solicitar la entrada a través del repositorio oficial de GitHub abriendo un pull request que añada un directorio bajo projects/<name>. Cada solicitud necesita una configuración project.yaml que contenga la dirección del repositorio y un correo electrónico de contacto principal. Anthropic comprueba manualmente que los solicitantes sean responsables principales antes de aceptar un proyecto.

Anthropic no impone un plazo de divulgación de 90 días para los hallazgos no validados. Sin embargo, un informe confirmado posteriormente a través de su programa de revisión humana puede entrar en ese proceso de divulgación.

Esta salvaguarda es importante ante la preocupación de que los informes de vulnerabilidades generados por IA hagan perder el tiempo a los responsables. Los propietarios del proyecto todavía deben reproducir los fallos sospechosos y probar las correcciones sugeridas antes de tratarlas como vulnerabilidades confirmadas. Los informes pueden pausarse con disabled: true, mientras que eliminar el directorio de inscripción retira el proyecto por completo.

Fuente: Cybersecurity News

El inconveniente afectó principalmente a entornos con Windows Server 2019, Windows Server 2022 y Windows Server 2025, donde los administradores comenzaron a detectar bloqueos y fallos en las conexiones de Escritorio Remoto después de instalar las últimas actualizaciones acumulativas.

¿Qué problemas se detectaron?

En los servidores afectados, RDP podía funcionar normalmente durante un tiempo después de reiniciar el sistema. Sin embargo, tras varias horas de funcionamiento comenzaron a aparecer diferentes inconvenientes:

• Nuevas conexiones RDP que no lograban completarse.
• Usuarios que quedaban bloqueados durante el inicio de sesión.
• Servidores detenidos en la configuración de Escritorio Remoto.
• Problemas después de desconectar o volver a conectar sesiones.
• Herramientas como Microsoft Management Console (MMC), RDS Licensing Diagnoser, el Explorador de archivos o incluso Windows Update que podían dejar de responder.

En algunos casos también se registró el evento ID 20498, relacionado con conexiones de Servicios de Escritorio Remoto que tardaban demasiado tiempo en completarse.

Actualizaciones que provocaron el problema

Las actualizaciones de seguridad relacionadas con el incidente fueron:

Windows Server 2019: KB5122876
Windows Server 2022: KB5122882
Windows Server 2025: KB5122871

Debido a que se trata de actualizaciones de seguridad, simplemente eliminarlas no es la opción más recomendable en un entorno productivo, ya que también implicaría retirar las correcciones de vulnerabilidades incluidas en esos paquetes.

Microsoft publicó una solución

Microsoft reconoció posteriormente el problema y el 14 de septiembre de 2026 publicó actualizaciones extraordinarias, conocidas como Out-of-Band (OOB), destinadas a solucionar los fallos de Remote Desktop Services.

Las correcciones correspondientes son:

Windows Server 2019: KB5129238
Windows Server 2022: KB5129237
Windows Server 2025: KB5129235

Estas actualizaciones corrigen la inestabilidad de RDS y los errores relacionados con las conexiones e inicios de sesión mediante RDP.

¿Qué deberían hacer los administradores?

Si un servidor comenzó a presentar problemas de Escritorio Remoto después de instalar las actualizaciones del 8 de septiembre, lo recomendable es comprobar qué actualización tiene instalada y aplicar la actualización correctiva correspondiente.

En infraestructuras críticas también resulta conveniente realizar primero las pruebas habituales en un entorno controlado o sobre un grupo reducido de servidores antes de desplegarla de forma masiva.

Desinstalar completamente la actualización de seguridad debería considerarse únicamente como una medida temporal ante una situación crítica, especialmente ahora que Microsoft dispone de una corrección oficial.

Conclusión

Este incidente vuelve a demostrar la importancia de contar con una estrategia de gestión de parches adecuada en entornos corporativos.

Mantener los sistemas actualizados es fundamental desde el punto de vista de la ciberseguridad, pero también es recomendable disponer de procedimientos de prueba, monitoreo y rollback que permitan detectar rápidamente problemas después de instalar nuevas actualizaciones.

En este caso, Microsoft ya publicó una solución oficial, por lo que los administradores de servidores Windows afectados deberían priorizar la instalación de las actualizaciones OOB correspondientes.

Fuente: Microsoft Support / RedesZone
Actualizado: 17 de septiembre de 2026

Principales características

Seguridad integrada por diseño

IPv8 incorpora autenticación obligatoria mediante tokens (JWT/OAuth2), eliminando el enfoque tradicional donde la seguridad es una capa adicional.

Servicios unificados

Funciones como DNS, DHCP, NTP, control de acceso y telemetría se centralizan en una única entidad lógica (Zone Server), reduciendo complejidad operativa.

Validación de tráfico en tiempo real

Cada paquete es validado contra información de red registrada (DNS/WHOIS), introduciendo un modelo de control activo del tráfico saliente.

Compatibilidad y transición

Compatible con IPv4

IPv4 pasa a ser un subconjunto de IPv8, permitiendo coexistencia sin romper infraestructura existente.

Sin migración forzada

El modelo evita un “flag day”, uno de los mayores problemas en la adopción de IPv6.

Escalabilidad y direccionamiento

Modelo basado en ASN

Cada sistema autónomo puede gestionar más de 4.000 millones de direcciones.

Ruteo optimizado

La tabla global se limita estructuralmente al número de AS, mejorando eficiencia y escalabilidad.

Enfoque en ciberseguridad

IPv8 redefine el paradigma actual:

• Autenticación obligatoria de dispositivos
• Control de acceso integrado
• Validación continua del tráfico
• Telemetría nativa en la red

Esto desplaza la seguridad desde “perímetro” hacia el core del protocolo.

Consideraciones

• Es un Internet-Draft (no estándar aprobado)
• No tiene adopción real actualmente
• La industria continúa enfocada en IPv6

Conclusión

IPv8 propone una arquitectura donde red, seguridad y gestión convergen en un único modelo.

Aunque su adopción no es inminente, el enfoque es relevante:
mover la seguridad desde soluciones externas hacia el diseño mismo del protocolo IP.

El email del sándwich. Durante una de las pruebas realizadas, los investigadores de Anthropic le dieron a una versión de Mythos acceso al control de un ordenador en un entorno seguro y aislado y le pidieron que intentara escapar de ese contenedor y mandar un mensaje al investigador que estaba supervisando la evaluación. El modelo lo consiguió, pero es que hizo algo más: desarrolló por su cuenta un exploit multipaso muy avanzado para obtener acceso a internet desde un sistema que por diseño solo era capaz de acceder a una lista limitada de servicios predefinidos. 

El investigador estaba tranquilamente comiendo un sándwich en el parque cuando recibió el email que jamás debería haber recibido. La cosa no acaba ahí, porque el modelo además decidió, sin que nadie se lo pidiera,  publicar los detalles técnicos de su exploit en varios sitios web de difícil acceso pero que técnicamente son públicos. Quería dejar constancia de su logro.

El bug de OpenBSD que llevaba 27 años escondido. Otro de los artículos técnicos publicados por Anthropic daba aún más pistas sobre los «logros» de Claude Mythos. OpenBSD es el sistema operativo con una de las reputaciones más sólidas del mundo en materia de ciberseguridad. Aun así Mythos encontró en él una vulnerabilidad que llevaba ahí desde 1998. 

El bug se escondía en la implementación del protocolo TCP con una función que gestiona el reenvío selectivo de paquetes perdidos. Aquí no basta detectar el error: hay que encadenar dos fallos separados que individualmente parecen casi inofensivos, y luego aprovechar un desbordamiento de la secuencia TCP para satisfacer una condición rarísima. Con este método un atacante en internet podía enviar un paquete especial y colgar la máquina remotamente sin autenticación. Mythos lo encontró solo sin que nadie le dijera dónde mirar.

FFmpeg y el fuzzing. FFmpeg es una biblioteca extraordinariamente famosa en internet porque procesa vídeo de forma masiva en la red de redes. Es también una herramienta muy auditada y los investigadores a menudo usan la técnica de fuzzing —bombaardearla con millones de archivos de vídeo malformados hasta que alguno la rompe— para lograr explotar sus vulnerabilidades. 

Mythos encontró un fallo que lleva en el código desde 2003 y que se convirtió en vulnerabilidad en una refactorización que se realizó en 2010. El problema es de nuevo extraordinariamente difícil de encontrar, tanto que 20 años de revisiones humanas y automatizadas lo habían pasado por alto, pero el modelo de Anthropic lo detectó.

Ejecución de código remota en FreeBSD. Mythos identificó y explotó de forma autónoma una vulnerabilidad que llevaba 17 años en el código del servidor NFS de FreeBSD —que permite compartir ficheros en red—. Con él cualquier usuario no autenticado en internet podía obtener acceso root completo a la máquina. La magnitud de este fallo es enorme, porque el servidor NFS corre en el núcleo del sistema operativo y da acceso a un control absoluto por parte del atacante. Mythos encontró el fallo y construyó el exploit por 50 dólares de llamadas a la API.

Zero-days autónomos en sistemas operativos y navegadores. Mythos es, que se sepa, el primer modelo capaz de descubrir de forma autónoma vulnerabilidads zero-day —fallos de seguridad desconocidos y sin parche— tanto en software de código abierto como cerrado, incluyendo sistemas operativos y navegadores web. Lo hace además con supervisión humana mínima usando lo que se llama un arnés agéntico (agentic harness). Gracias a esa técnica el modelo puede ejecutar acciones, leer resultados y planificar sus siguientes pasos en bucle. En muchos de esos casos el modelo no solo fue capaz de encontrar la vulnerabilidad, sino que además lo convirtió en un exploit (normalmente, un script o pequeño programa) funcional listo para ser usado.

Firefox 147 en peligro. En colaboración con Mozilla, el nuevo modelo de Anthropic analizó 50 categorías de «cuelgues» del motor JavaScript SpiderMonkey que es el núcleo de este navegador. Su tarea era detectar los problemas más graves, aprovecharlos para crear scripts de corrupción de memoria y así poder ejecutar código arbitrario, es decir, ejecutar instrucciones más allá de lo que permite JavaScript. Claude Mythos Preview fue capaz de detectar con mucha precisión cuáles eran las vulnerabilidades más «explotables», y aprovechó dos bugs no corregidos para lograr su objetivo.

Captura la bandera. Las competiciones de ciberseguridad ‘Capture the Flag’ (CTF) permiten a los participantes resolver retos que simulan ataques y defensas reales de sistemas. Claude Mythos Preview se enfrentó al benchmark público Cybench con 40 retos extraídos de distintas competiciones y logró un 100% de éxito en todos los intentos. Este benchmark de hecho se ha vuelto inútil: el modelo de Anthropic es demasiado potente para él. Opus 4.6, por ejemplo, lograba un 93% de efectividad, pero Mythos lo ha «saturado».

Miles de vulnerabilidades críticas pendientes de parche. Hay numerosos ejemplos más en esos dos documentos citados en los que parece quedar claro que las capacidades de Mythos en materia de ciberseguridad son asombrosas. Pero es que cuando se anunció el modelo, el 99% de las vulnerabilidades descubiertas (y aun no mencionadas) no se habían parcheado aún, por lo que Anthropic no reveló esos detalles y estas fueron solo algunas de las que sí se parchearon. 

Lo que sí indicaron es que en el 89% de los 198 informes revisados manualmente por expertos externos, estos expertos coincidieron con la valoración de gravedad del problema asignado por Mythos. Ante esta situación, Anthropic ha contratado a equipos de auditores de ciberseguridad profesionales para validar los informes antes de enviarlos a los mantenedores del software afectado.

Y Mythos es solo el principio. En el blog de Anthropic sus investigadores lo dicen sin rodeos: llevábamos 20 años con un equilibrio de ciberseguridad relativamente estable, pero las cosas han cambiado. Los ataques habían evolucionado técnicamente en ese periodo, pero eran fundamentalmente del mismo tipo que los de 2006. 

Mythos es capaz de encontrar fallos en software que ha sido auditado por humanos (y máquinas) durante décadas, y los ha convertido en exploits con una rapidez asombrosa. Pero es que en Anthropic ya avisaban de que Mythos era solo el principio, y que ven una trayectoria clara en la que sus modelos seguirán mejorando y, por tanto, siendo aún más capaces en el ámbito de la ciberseguridad.

El Grupo de Trabajo de Ingeniería de Internet (IETF) creó recientemente un grupo de trabajo, PKI, Registros y Firmas de Árbol («PLANTS»), cuyo objetivo es abordar los desafíos de rendimiento y ancho de banda que el mayor tamaño de la criptografía resistente a la computación cuántica introduce en las conexiones TLS que requieren Transparencia de Certificados (CT).

La empresa está probando certificados de árbol de Merkle en Chrome para habilitar HTTPS resistente a la tecnología cuántica, reducir los datos de protocolo de enlace TLS y lanzar un nuevo almacén raíz para 2027.

«Para garantizar la escalabilidad y la eficiencia del ecosistema, Chrome no tiene previsto añadir certificados X.509 tradicionales con criptografía poscuántica a la tienda raíz de Chrome», declaró el equipo de Redes y Web Segura de Chrome. «En su lugar, Chrome, en colaboración con otros socios, está desarrollando una evolución de los certificados HTTPS basada en Certificados de Árbol de Merkle (MTC), actualmente en desarrollo en el grupo de trabajo PLANTS».

Como explica Cloudflare, MTC es una propuesta para la próxima generación de la Infraestructura de Clave Pública (PKI) utilizada para proteger internet, cuyo objetivo es reducir al mínimo necesario el número de claves públicas y firmas en el protocolo de enlace TLS.

Bajo este modelo, una Autoridad de Certificación (CA) firma una única «Cabeza de Árbol» que representa potencialmente millones de certificados, y el «certificado» enviado al navegador es una prueba ligera de inclusión en ese árbol, según Google.

En otras palabras, los MTC facilitan la adopción de algoritmos poscuánticos sin tener que incurrir en el ancho de banda adicional asociado con las cadenas de certificados X.509 clásicas. Este enfoque, añadió la compañía, desvincula la seguridad del algoritmo criptográfico correspondiente del tamaño de los datos transmitidos al usuario.

«Al reducir al mínimo los datos de autenticación en un protocolo de enlace TLS, los MTC buscan mantener la web poscuántica tan rápida y fluida como el internet actual, manteniendo un alto rendimiento incluso mientras adoptamos una seguridad más robusta», declaró Google.

El gigante tecnológico afirmó que ya está experimentando con MTC con tráfico real de internet y que planea expandir gradualmente el despliegue en tres fases distintas para el tercer trimestre de 2027:

• Fase 1 (En curso): Google está realizando un estudio de viabilidad en colaboración con Cloudflare para evaluar el rendimiento y la seguridad de las conexiones TLS basadas en MTC.
• Fase 2 (T1 de 2027): Google planea invitar a los operadores de registros de transparencia de certificados (CT) con al menos un registro «utilizable» en Chrome antes del 1 de febrero de 2026 a participar en el arranque inicial de los MTC públicos.
• Fase 3 (T3 de 2027): Google finalizará los requisitos para la incorporación de CA adicionales al nuevo almacén raíz resistente a la tecnología cuántica (CQRS) de Chrome y al programa raíz correspondiente, que solo admite MTC.

«Consideramos la adopción de MTC y un almacén raíz resistente a la tecnología cuántica como una oportunidad crucial para garantizar la solidez de la base del ecosistema actual», declaró Google. Al diseñar para las demandas específicas de una internet moderna y ágil, podemos acelerar la adopción de la resiliencia poscuántica para todos los usuarios web.

Fuente: Google

La vulnerabilidad de inyección del sistema operativo (SO), rastreada como CVE-2025-64155, tiene una calificación de CVSS 9,4. «Una neutralización inadecuada de elementos especiales utilizados en una vulnerabilidad de comando del sistema operativo (‘inyección de comando del sistema operativo’) [CWE-78] en FortiSIEM puede permitir que un atacante no autenticado ejecute código o comandos no autorizados a través de solicitudes TCP diseñadas», dijo la compañía en un boletín del martes.

Fortinet dijo que la vulnerabilidad afecta solo a los nodos Super y Worker, y que se ha solucionado en las siguientes versiones:

• FortiSIEM 6.7.0 a 6.7.10 (migrar a una versión corregida)
• FortiSIEM 7.0.0 a 7.0.4 (migrar a una versión corregida)
• FortiSIEM 7.1.0 a 7.1.8 (actualizar a 7.1.9 o superior)
• FortiSIEM 7.2.0 a 7.2.6 (actualizar a 7.2.7 o superior)
• FortiSIEM 7.3.0 a 7.3.4 (actualizar a 7.3.5 o superior)
• FortiSIEM 7.4.0 (actualizar a 7.4.1 o superior)
• FortiSIEM 7.5 (NO afectado)
• FortiSIEM Cloud (NO afectado)

El investigador de seguridad de Horizon3.ai, Zach Hanley, a quien se le atribuye el descubrimiento y el informe de la falla el 14 de agosto de 2025, dijo que consta de dos partes móviles:

• Una vulnerabilidad de inyección de argumentos no autenticados que conduce a la escritura arbitraria de archivos, lo que permite la ejecución remota de código como usuario administrador.
• Una vulnerabilidad de escalamiento de privilegios de sobrescritura de archivos que conduce al acceso raíz y compromete completamente el dispositivo.

Específicamente, el problema tiene que ver con cómo el servicio phMonitor de FortiSIEM, un proceso backend crucial responsable del monitoreo del estado, la distribución de tareas y la comunicación entre nodos a través del puerto TCP 7900, maneja las solicitudes entrantes relacionadas con el registro de eventos de seguridad en Elasticsearch.

Esto, a su vez, invoca un script de shell con parámetros controlados por el usuario, abriendo así la puerta a la inyección de argumentos a través de curl y logrando escrituras de archivos arbitrarios en el disco en el contexto del usuario administrador.

En otras palabras, escribir una shell en este archivo permite el escalamiento de privilegios del administrador al root, otorgando al atacante acceso ilimitado al dispositivo FortiSIEM. El aspecto más importante del ataque es que el servicio phMonitor expone varios controladores de comandos que no requieren autenticación. Esto facilita que un atacante invoque estas funciones simplemente obteniendo acceso de red al puerto 7900.

Fortinet también ha enviado correcciones para otra vulnerabilidad de seguridad crítica en FortiFone (CVE-2025-47855, CVSS: 9.3) que podría permitir a un atacante no autenticado obtener la configuración del dispositivo a través de una solicitud HTTP(S) especialmente diseñada a la página del portal web. Afecta a las siguientes versiones de la plataforma de comunicaciones empresariales:

• FortiFone 3.0.13 a 3.0.23 (actualizar a 3.0.24 o superior)
• FortiFone 7.0.0 a 7.0.1 (Actualizar a 7.0.2 o superior)
• FortiFone 7.2 (NO afectado)

Se recomienda a los usuarios que actualicen a las últimas versiones. Como solución alternativa para CVE-2025-64155, Fortinet recomienda que los clientes limiten el acceso al puerto phMonitor (7900).

Fuente: THN

La cantidad de errores en cada categoría de vulnerabilidad se enumera a continuación:

• 57 vulnerabilidades de elevación de privilegios
• 3 vulnerabilidades de omisión de funciones de seguridad
• 22 vulnerabilidades de ejecución remota de código
• 22 vulnerabilidades de divulgación de información
• 2 vulnerabilidades de denegación de servicio
• 5 vulnerabilidades de suplantación de identidad

Estas cantidades no incluyen Microsoft Edge (1 falla) y las vulnerabilidades de Mariner corregidas a principios de este mes.

Para obtener más información sobre las actualizaciones no relacionadas con la seguridad publicadas hoy, puede revisar nuestros artículos dedicados a las actualizaciones acumulativas KB5074109 y KB5073455 de Windows 11 y a la actualización de seguridad extendida KB5073724 de Windows 10.

3 Zero-Days, uno explotado

Este mes se corrige una vulnerabilidad de día cero explotada activamente y dos divulgadas públicamente.

El día cero activamente explotado es:

• CVE-2026-20805 (CVSS 5,5): vulnerabilidad de divulgación de información del Administrador de ventanas de escritorio. «La exposición de información confidencial a un actor no autorizado en Desktop Windows Manager permite a un atacante autorizado revelar información localmente», explica Microsoft. Microsoft dice que explotar con éxito la falla permite a los atacantes leer direcciones de memoria asociadas con el puerto ALPC remoto.

Las fallas de día cero divulgadas públicamente son:

• CVE-2026-21265: Microsoft advierte que los certificados de arranque seguro de Windows emitidos en 2011 están a punto de caducar y que los sistemas que no se actualizan tienen un mayor riesgo de que los actores de amenazas pasen por alto el arranque seguro.

Microsoft ya había revelado esta vulnerabilidad en un aviso de junio titulado «Caducidad del certificado de arranque seguro de Windows y actualizaciones de CA».

• CVE-2023-31096: Microsoft advirtió previamente en octubre sobre vulnerabilidades explotadas activamente en un controlador de módem Agere de terceros que se envía con versiones compatibles de Windows y dijo que se eliminarían en una actualización futura. Estas vulnerabilidades fueron explotadas para obtener privilegios administrativos en sistemas comprometidos. Como parte de las actualizaciones de enero, Microsoft ha eliminado estos controladores vulnerables de Windows.

Además la empresa ha publicado actualizaciones para 6 vulnerabilidades críticas relacionadas con Office: CVE-2026-20822, CVE-2026-20952, CVE-2026-20953, CVE-2026-20957, CVE-2026-20944 y CVE-2026-20955.

Otra vulnerabilidad crítica está relacionada con un RCE (CVE-2026-20854 – CVSS 7,5) en el servicio Windows Local Security Authority Subsystem Service (LSASS) y; la última afecta al servicio Windows Virtualization-Based Security (VBS) Enclave (CVE-2026-20876).

Actualizaciones recientes de otras empresas.

Otros proveedores que publicaron actualizaciones o avisos en enero de 2026 incluyen:

• ABB
• Adobe
• Amazon Web Services
• AMD
• Arm
• ASUS
• Broadcom (including VMware)
• Cisco
• ConnectWise
• Dassault Systèmes
• D-Link
• Dell
• Devolutions
• Drupal
• Elastic
• F5
• Fortinet
• Fortra
• Foxit Software
• FUJIFILM
• Gigabyte
• GitLab
• Google Android and Pixel
• Google Chrome
• Google Cloud
• Grafana
• Hikvision
• HP
• HP Enterprise (including Aruba Networking and Juniper Networks)
• IBM
• Imagination Technologies
• Lenovo
• Linux distributions AlmaLinux, Alpine Linux, Amazon Linux, Arch Linux, Debian, Gentoo, Oracle Linux, Mageia, Red Hat, Rocky Linux, SUSE, and Ubuntu
• MediaTek
• Mitel
• Mitsubishi Electric
• MongoDB
• Moxa
• Mozilla Firefox and Firefox ESR
• n8n
• NETGEAR
• Node.js
• NVIDIA
• ownCloud
• QNAP
• Qualcomm
• Ricoh
• Samsung
• SAP
• Schneider Electric
• ServiceNow
• Siemens
• SolarWinds
• SonicWall
• Sophos
• Spring Framework
• Synology
• TP-Link
• Trend Micro, and
• Veeam

Fuente: BC

Esta investigación de inteligencia de protección condujo al descubrimiento de más de 300 servidores SIM y 100.000 tarjetas SIM ubicados en el mismo lugar en múltiples ubicaciones. Los primeros análisis muestran que la red se utilizaba para la comunicación entre gobiernos extranjeros e individuos conocidos por las fuerzas del orden estadounidenses. «Esto no es un grupo de personas en un sótano jugando a un videojuego y gastando una broma. Esto estuvo bien organizado y bien financiado», dijo un funcionario.

Además de ejecutar amenazas telefónicas anónimas, estos dispositivos podrían utilizarse para llevar a cabo una amplia gama de ataques de telecomunicaciones. Esto incluye la desactivación de torres de telefonía celular, la habilitación de ataques de denegación de servicio y la facilitación de comunicaciones anónimas y cifradas entre posibles actores de amenazas y organizaciones criminales.

Si bien el análisis forense de estos dispositivos está en curso, los primeros análisis indican comunicaciones celulares entre actores de amenazas de estados nacionales e individuos conocidos por las fuerzas del orden federales.

«El potencial de interrupción de las telecomunicaciones de nuestro país que representa esta red de dispositivos es innegable», declaró el director del Servicio Secreto de EE.UU., Sean Curran. La misión de protección del Servicio Secreto de EE.UU. se centra en la prevención, y esta investigación deja claro a los posibles actores maliciosos que las amenazas inminentes a nuestros protegidos serán investigadas, localizadas y desmanteladas de inmediato.

Estos dispositivos se concentraron a menos de 56 kilómetros de la reunión global de la Asamblea General de las Naciones Unidas, que se está celebrando en la ciudad de Nueva York. Dado el momento, la ubicación y el potencial de interrupción significativa de las telecomunicaciones de Nueva York que estos dispositivos representaban, la agencia actuó con rapidez para interrumpir esta red. La Unidad de Interdicción de Amenazas Avanzadas del Servicio Secreto de EE.UU., una nueva sección de la agencia dedicada a interrumpir las amenazas más significativas e inminentes para nuestros protegidos, está llevando a cabo esta investigación. Esta investigación está actualmente en curso.

Las Investigaciones de Seguridad Nacional del Departamento de Seguridad Nacional, el Departamento de Justicia, la Oficina del Director de Inteligencia Nacional y el Departamento de Policía de Nueva York, así como otras fuerzas del orden estatales y locales, brindaron valioso asesoramiento técnico y asistencia en apoyo de esta investigación.

Esta es una investigación en curso.

Fuente: SecretService

Según Zero Salarium, la técnica aprovecha una función integrada de Windows, ofreciendo una alternativa más discreta a los cada vez más populares ataques de «Traiga su propio controlador vulnerable» (BYOVD), utilizados por los actores de amenazas para desactivar el software de seguridad.

A diferencia de los métodos BYOVD, que requieren la introducción de un controlador vulnerable en el sistema objetivo, EDR-Freeze explota componentes legítimos del sistema operativo Windows.

Este enfoque evita la necesidad de instalar controladores de terceros, lo que reduce el riesgo de inestabilidad y detección del sistema. Todo el proceso se ejecuta desde código en modo usuario, lo que lo convierte en una forma sutil y eficaz de neutralizar temporalmente la monitorización de seguridad.

El exploit MiniDumpWriteDump

El núcleo de la técnica EDR-Freeze reside en la manipulación de la función MiniDumpWriteDump. Esta función, parte de la biblioteca DbgHelp de Windows, está diseñada para crear un minivolcado, una instantánea de la memoria de un proceso para fines de depuración.

Para garantizar una instantánea consistente e intacta, la función suspende todos los subprocesos del proceso de destino mientras se crea el volcado. Normalmente, esta suspensión es breve. Sin embargo, el desarrollador de EDR-Freeze ideó un método para prolongar este estado de suspensión indefinidamente.

Los principales desafíos fueron dos: extender el breve tiempo de ejecución de la función MiniDumpWriteDump y eludir la función de seguridad Protected Process Light (PPL), que protege los procesos de EDR y antivirus contra manipulaciones.

Para superar la protección de PPL, la técnica utiliza WerFaultSecure.exe, un componente del servicio Informe de errores de Windows (WER) y que puede ejecutarse con protección de nivel WinTCB, uno de los niveles de privilegio más altos, lo que le permite interactuar con procesos protegidos.

Al configurar los parámetros correctos, se puede indicar a WerFaultSecure.exe que inicie la función MiniDumpWriteDump en cualquier proceso objetivo, incluidos los agentes de EDR y antivirus protegidos.

La última pieza del rompecabezas es un ataque de condición de carrera que convierte una suspensión momentánea en una congelación prolongada. El ataque se desarrolla en una secuencia rápida y precisa:

• WerFaultSecure.exe se ejecuta con parámetros que le indican que cree un volcado de memoria del proceso de EDR o antivirus objetivo. La herramienta EDR-Freeze monitoriza continuamente el proceso objetivo.
• En el momento en que el proceso objetivo entra en estado suspendido (mientras MiniDumpWriteDump comienza a funcionar), la herramienta EDR-Freeze suspende inmediatamente el proceso WerFaultSecure.exe.
• Dado que WerFaultSecure.exe está suspendido, nunca podrá completar la operación de volcado de memoria y, fundamentalmente, nunca podrá reanudar los subprocesos del proceso EDR objetivo.

Como resultado, el software de seguridad queda en un estado de suspensión permanente, prácticamente bloqueado, hasta que finalice el proceso WerFaultSecure.exe.

Eliminación del proceso mediante la herramienta EDR-Freeze

El desarrollador ha lanzado la herramienta EDR-Freeze para demostrar esta técnica. Requiere dos parámetros simples: el ID de proceso (PID) del objetivo que se congelará y la duración de la suspensión en milisegundos.

Esto permite a un atacante desactivar las herramientas de seguridad, realizar acciones maliciosas y, posteriormente, permitir que el software de seguridad reanude sus operaciones normales como si nada hubiera sucedido.

Una prueba en Windows 11 24H2 suspendió con éxito el proceso MsMpEng.exe de Windows Defender.

Para los defensores, detectar esta técnica implica monitorear ejecuciones inusuales de WerFaultSecure.exe.

Si se observa que el programa ataca los PID de procesos sensibles como lsass.exe o agentes EDR, debe considerarse una alerta de seguridad de alta prioridad que requiere investigación inmediata.

De acuerdo a Florian Roth:

• Los primeros envíos de VirusTotal tuvieron una detección de AV muy baja (5/73).
• El binario de la versión precompilada se cargó varias veces en VT y finalmente alcanzó 22/73 detecciones.
• Otras compilaciones de la herramienta aún obtienen solo entre 8 y 10 detecciones.
• Los antivirus aún tardan en reaccionar a las herramientas lanzadas públicamente.
• Existen reglas de bloqueo para esta herramienta en la configuración de Sysmon, usando Imphash.
• Esto significa que si usa Sysmon y una versión lo suficientemente reciente, EDR-Freeze es bloqueada al escribir mediante FileBlockExecutable.

Fuente: ZeroSolarium