Las claves de ScubaGear y ScubaGoggles de CISA en 20 segundos

• ScubaGear revisa Microsoft 365: Entra ID, Exchange Online, Teams, SharePoint, Power BI y Power Platform.
• ScubaGoggles hace lo mismo con Google Workspace, a partir de la API de administración de Google.
• Ambas comparan la configuración con las líneas base de CISA y generan informes en HTML y JSON.
• No cambian nada: solo detectan desviaciones, que hay que revisar y corregir a mano.

Muchos incidentes en la nube no empiezan con un fallo de software, sino con una opción mal configurada: una política de acceso condicional que no se aplica, el reenvío de correo abierto o enlaces de SharePoint compartidos con cualquiera. El proyecto SCuBA (Secure Cloud Business Applications) de CISA define líneas base de configuración segura para estos servicios, mapeadas con el catálogo de controles NIST SP 800-53 y el marco MITRE ATT&CK, y estas dos herramientas comprueban automáticamente si un entorno las cumple.

ScubaGear: auditar Microsoft 365

ScubaGear funciona en tres pasos. Un módulo de PowerShell consulta las API de Microsoft 365 para leer la configuración, después el motor Open Policy Agent (OPA) la compara con las políticas escritas en el lenguaje Rego a partir de las líneas base, y por último genera informes en HTML, JSON y CSV. Cubre Microsoft Entra ID, Exchange Online, Teams, SharePoint, Power BI, Power Platform y las opciones de protección avanzada frente a amenazas. Se instala desde la PowerShell Gallery:

Install-Module -Name ScubaGear

La primera ejecución, sin archivo de configuración, genera una plantilla con el estado actual del entorno. A partir de ahí, el administrador puede documentar excepciones y riesgos aceptados en un archivo YAML y volver a ejecutar la evaluación, algo que ahora facilita una interfaz gráfica que se abre con Start-ScubaConfigApp. Antes de lanzarla conviene revisar los permisos que necesita y sus dependencias, porque requiere acceso de lectura amplio al inquilino.

ScubaGoggles: auditar Google Workspace

ScubaGoggles sigue el mismo esquema para Google Workspace. Exporta la configuración, los registros, los datos de la organización y los privilegios de los usuarios mediante la API Admin SDK de Google y otras API, los compara con las líneas base usando OPA y genera informes en HTML y JSON. Se instala como módulo de Python, requiere descargar el ejecutable de OPA y se autentica con OAuth o con una cuenta de servicio. Su documentación recoge problemas conocidos, como fallos en las comprobaciones de SPF, DKIM y DMARC aunque los registros DNS estén publicados. Por eso conviene validar manualmente sus resultados.

Para organizaciones con muchos inquilinos, CISA publica además ScubaConnect, una infraestructura en la nube que automatiza la ejecución periódica de ambas herramientas. Ninguna de ellas modifica la configuración: detectan desviaciones, y la corrección queda en manos del administrador. Por eso son útiles tanto para una revisión puntual como para comprobar que un cambio no ha abierto un hueco nuevo.

Preguntas frecuentes

¿Qué es ScubaGear?

Una herramienta gratuita de CISA que compara la configuración de un inquilino de Microsoft 365 con sus líneas base de seguridad y genera informes en HTML, JSON y CSV.

¿Qué es ScubaGoggles?

La versión para Google Workspace: revisa la configuración de la organización con la API de administración de Google y la compara con las líneas base de CISA.

¿Pueden usarlas empresas privadas?

Sí. Aunque las desarrolla una agencia del Gobierno de Estados Unidos, son gratuitas y cualquier organización puede descargarlas desde GitHub.

¿Cambian la configuración automáticamente?

No. Solo detectan las desviaciones; la corrección la tiene que hacer el administrador.

Fuentes:

• Cyber Security News: CISA free tools to detect misconfigurations
• GitHub: cisagov/ScubaGear
• GitHub: cisagov/ScubaGoggles
• CISA: Secure Cloud Business Applications (SCuBA)

Las claves del origen de PHP2Shell y la respuesta alemana en 30 segundos

• Un desarrollador de la PHP Foundation vio el problema en 2024 al corregir hallazgos de una auditoría de Quarkslab financiada por la Sovereign Tech Agency alemana.
• El arreglo se retrasó hasta que la firma Calif reportó el fallo explotable el 11 de agosto de 2026.
• Chainguard publicó sus versiones corregidas más de seis horas antes del parche oficial, rompiendo el embargo.
• El BSI alemán elevó la alerta a naranja y recomendó desconectar los servidores sin parchear, y varias administraciones lo hicieron.

Los dos fallos, conocidos como PHP2Shell y registrados como CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código en un servidor web con PHP sin iniciar sesión. Opensecurity ya explicó cómo se filtraron antes del parche del 21 de octubre. Este artículo, basado en la reconstrucción publicada en FOSS Pub y en el análisis de la PHP Foundation, repasa por qué tardó tanto en llegar el arreglo y qué ocurrió ese día en Alemania.

Una auditoría alemana y un arreglo atascado

En 2024, la empresa francesa Quarkslab hizo la primera auditoría de seguridad externa de PHP en años, financiada por la Sovereign Tech Agency, el organismo alemán que invierte en software de código abierto crítico. Según FOSS Pub, la agencia contabiliza 205.000 euros de inversión en PHP entre 2023 y 2024. Mientras corregía uno de los problemas detectados, un desarrollador pagado por la PHP Foundation vio las primeras señales del fallo de gestión de memoria que acabaría siendo PHP2Shell.

El arreglo no salió. Según el análisis de la Foundation que recoge Socket, el equipo de seguridad tenía varias soluciones posibles, cada una con sus inconvenientes de compatibilidad, decidía por consenso y no tenía personas suficientes para desbloquearlo, así que el trabajo se paró y se retomó durante meses. El 11 de agosto de 2026, investigadores de la firma Calif reportaron un ataque de ejecución remota sin autenticación, y el arreglo pasó a ser prioridad absoluta. La Foundation atribuyó el retraso tanto al proceso de decisión de su equipo de seguridad como a su falta de recursos, y ha anunciado que pasará a decidir por mayoría y a escalar antes los casos difíciles.

Filtraciones, embargo roto y 22 horas de carrera

La recta final fue caótica. El 20 de octubre, un usuario de Hacker News avisó de que llegaban dos fallos críticos, con una puntuación de gravedad y una fecha equivocadas, y los identificadores de las CVE se filtraron ese mismo día. Calif publicó por error un vídeo de su ataque funcionando contra webs reales; lo retiró, pero circuló en X, y según la Foundation aceleró el trabajo de quienes intentaban construir un exploit. PHP adelantó su publicación un día, al 21 de octubre a las 14:00 UTC.

Chainguard, que vende compilaciones listas para usar de software de código abierto, publicó sus versiones corregidas de PHP a las 07:41 UTC, más de seis horas antes, según la PHP Foundation. Desde ese momento, cualquiera podía comparar el código nuevo con el antiguo y localizar el fallo, mientras Debian, Ubuntu o Red Hat seguían esperando. Su consejero delegado, Dan Lorenc, defendió en Hacker News que adelantó la publicación porque ya había exploits circulando, según le habían confirmado varios proveedores de seguridad que no nombró. La Foundation sostiene que no había identificado ningún exploit público funcional al publicar el parche. Amazon, por su parte, registró en sus servidores señuelo un intento de explotación el 17 de octubre, según FOSS Pub.

Alemania desconecta sus webs

El 21 de octubre, el BSI, la oficina federal alemana de seguridad de la información, elevó su alerta al nivel 3, naranja, en una escala de cuatro, y recomendó separar temporalmente de internet los servidores web que no pudieran parchearse, según recogió Der Tagesspiegel. Muchas administraciones siguieron el consejo. Según FOSS Pub, la oficina federal de policía criminal (BKA) desconectó su web, desaparecieron las comisarías online de Berlín y Brandeburgo, y las webs de ministerios y policía de Baviera mostraron un aviso de no disponibilidad por motivos de seguridad. El diario berlinés cita además las webs de la Charité, los bomberos de Berlín, la Universidad de Potsdam y el ayuntamiento de Maguncia.

PHP publicó el parche a las 13:33 UTC y Debian distribuyó el suyo doce minutos después, a partir del trabajo de Ondřej Surý, el voluntario que empaqueta PHP para Debian y Ubuntu. Las versiones sin soporte quedaron peor paradas: Debian 11 solo recibió el arreglo a través del soporte extendido de pago de Freexian, las versiones antiguas de Ubuntu a través de Ubuntu Pro, y PHP 8.1 y anteriores solo recibieron parches de código fuente.

La lección que extrae FOSS Pub es económica. Según su recuento, la PHP Foundation ingresó 730.534 dólares en patrocinios y donaciones en 2025, mientras Alemania invierte 108 millones de euros en migrar sus webs federales a un sistema escrito en PHP. Surý contó a The Atlantic que en 24 horas recibió en donaciones lo mismo que en un año. Para las empresas, la recomendación práctica es la de siempre, pero con más urgencia: saber qué versión de PHP corre en cada servidor, quién la empaqueta y si sigue teniendo soporte.

Preguntas frecuentes

¿Qué es PHP2Shell?

El nombre de dos vulnerabilidades críticas de PHP, CVE-2026-109618 y CVE-2026-109619, que permiten ejecutar código en un servidor web sin iniciar sesión. Se corrigieron el 21 de octubre de 2026.

¿Desde cuándo se conocía el fallo?

Según la PHP Foundation, un desarrollador vio las primeras señales en 2024, al corregir hallazgos de una auditoría de Quarkslab financiada por la Sovereign Tech Agency alemana.

¿Por qué se desconectaron webs en Alemania?

El BSI elevó la alerta a naranja y recomendó separar de internet los servidores que no pudieran parchearse. Administraciones como la BKA y varios gobiernos regionales lo hicieron de forma preventiva.

¿Qué versiones de PHP quedaron sin parche oficial?

PHP 8.1 y anteriores solo recibieron parches de código fuente. En distribuciones sin soporte, como Debian 11, el arreglo llegó a través de servicios de pago.

Fuentes:

• FOSS Pub: Germany Paid for the Audit That Spotted PHP’s Bug, Then Took Its Police Websites Offline
• PHP Foundation: Today’s PHP security release and how we’re strengthening PHP security
• Socket: PHP Foundation Says Chainguard Broke Security Embargo Ahead of Emergency Patches
• Der Tagesspiegel: Sicherheitslücke in PHP, Bundesamt warnt
• BSI: PHP, kritische Schwachstellen bedrohen Webanwendungen weltweit

Un reciente informe de EfficientIP ha revelado que el malware ha superado al phishing como la principal amenaza basada en DNS durante el primer semestre de 2026. Este cambio en la dinámica de ciberamenazas se evidencia en el análisis de más de 150.000 millones de transacciones DNS diarias, donde el malware pasó del cuarto al primer puesto en apenas seis meses.

La actividad relacionada con el malware experimentó un crecimiento exponencial en los primeros meses del año, alcanzando picos de hasta 32,6 millones de detecciones diarias en abril, tras comenzar el año con 8 millones. En total, las señales de amenaza DNS aumentaron un 24% en comparación con el segundo semestre de 2025, pasando de 11.180 millones a 13.850 millones. Dentro de este incremento, el malware representó una porción significativa, con sus detecciones casi duplicándose hasta 3.840 millones.

El informe destaca que es posible detectar señales de preparación para ataques de malware semanas antes de su activación. Entre los indicios más relevantes, en febrero se observó un incremento del 24,2% en el uso de algoritmos de generación de dominios (DGA). Para marzo, los dominios recién observados aumentaron un 56,8%, y la actividad maliciosa siguió acelerándose con un crecimiento del 73,1%. Abril marcó el punto álgido, con un aumento del 92,1% en nuevos dominios y del 86,8% en la actividad maliciosa, coincidiendo con el máximo de detecciones de malware del semestre.

Además, el informe señala que algunas infraestructuras malignas continúan operativas incluso tras la expiración de sus dominios, lo cual subraya la importancia del seguimiento continuo de la actividad DNS para mitigar riesgos potenciales.

En cuanto al phishing, aunque su volumen general disminuyó un 10% en este mismo periodo, se registraron cambios significativos entre los sectores atacados. Las marcas de logística y mensajería se destacaron al experimentar un aumento de 3,4 veces en sus detecciones, impulsadas en gran parte por una campaña activa a finales de junio.

Futuras campañas de phishing relacionadas con entregas y mensajería deben ser motivo de preocupación para los equipos de ciberseguridad, de acuerdo al informe. Karim Hossen, R&D Manager y CISO de EfficientIP, enfatiza que el ascenso del malware al primer puesto en amenazas debería servir como una clara señal de alerta para las organizaciones. La vigilancia de la actividad DNS se convierte en una herramienta esencial para anticipar y contrarrestar ataques inminentes.

El pasado 22 de octubre, el complejo Madnum de Madrid se convirtió en el epicentro del debate sobre el futuro del trabajo al acoger el Workplace Summit 2026, un evento que reunió a cerca de 200 profesionales en el ámbito del Facility Management y la gestión de espacios. Organizado por IFMA España, esta edición del encuentro tuvo como lema “Rediseñando espacios, impulsando personas”, y se centró en los profundos cambios que la inteligencia artificial (IA) está introduciendo en la organización laboral y en la manera en que se gestionan los edificios y servicios.

La jornada fue inaugurada por Marta Sevila y Alejandro Magallón, vocales de las comisiones de Eventos y Comunicación y de Workplace de IFMA España, respectivamente. El programa del summit incorporó una variedad de ponencias, experiencias empresariales y un espacio dedicado a los jóvenes profesionales del sector.

Una de las intervenciones más destacadas fue la de Natalia Gironella, profesora asociada de IE Business School, quien analizó la influencia de la comunicación en el ámbito laboral. Gironella subrayó la importancia de la escucha activa y la coherencia entre lo que se dice y cómo se transmite. También abordó la relación entre comunicación, confianza y liderazgo, enfatizando que estos elementos son fundamentales para el trabajo en equipo.

Por su parte, Pablo García Carvajal, Distribution Transformation Lead en Xerox Corporation, presentó nuevas proyecciones sobre el futuro de las oficinas. Carvajal anticipó que estas dejarán de ser espacios exclusivamente dedicados a tareas individuales y se transformarán en entornos de aprendizaje y colaboración, facilitando la interacción entre profesionales. En su exposición, mencionó que el uso de agentes de IA cambiará la dinámica de trabajo y el diseño de los espacios, orientándolos a las actividades que se realicen en ellos.

Lorenzo Flores, coordinador de la Unidad de Desarrollo y Mejora Continua de la Dirección General de Salud Digital de Castilla-La Mancha, también hizo hincapié en la transformación digital y su impacto en los espacios de trabajo. Flores argumentó que la IA puede liberar tiempo para el pensamiento crítico y la resolución de problemas, sugiriendo que es esencial revisar cómo se desarrollan los servicios y qué espacios son necesarios para que las personas colaboren y aprendan eficazmente.

La temática de la tecnología aplicada al mantenimiento y gestión de espacios estuvo presente en la intervención de Ana Carcavilla y Manuel Vinaroz, quienes compartieron la experiencia de ALE-HOP en la centralización de su mantenimiento mediante una plataforma común, mejorando así la eficiencia en la resolución de incidencias. Miquel Gummà, CEO de FOOT Analytics, mostró cómo la inteligencia artificial puede ser una herramienta valiosa en la gestión de los espacios de trabajo, proporcionando información útil para la toma de decisiones.

En el marco del evento, se dio espacio a las voces de los jóvenes profesionales a través de una sesión dedicada a ellos, donde cinco jóvenes asociados de IFMA España compartieron sus experiencias y perspectivas sobre el futuro de la profesión. En el diálogo, se destacó la necesidad de que el Facility Management se enfoque en las necesidades humanas y las relaciones basadas en la empatía y la honestidad.

El evento culminó con el reconocimiento a Marta Sevila, quien deja su cargo en IFMA España tras ocho años de dedicación. Alfonso Díaz del Río, presidente de la asociación, cerró el encuentro resaltando el éxito de la convocatoria y la importancia de que asociaciones como IFMA España continúen liderando el sector en el país. El Workplace Summit 2026 contó además con la colaboración de diversos patrocinadores, incluidos la revista Facility Management & Services y empresas como IMAN, ISS y Selecta.

Las claves del acceso de Cathedral a Anthropic en 20 segundos

• Cathedral dice que llegó a datos internos de Anthropic en menos de 12 horas.
• La vía de entrada fueron fallos en software de terceros de ventas, RR. HH. y TI.
• Anthropic niega acceso a conversaciones de Claude, código fuente o pesos de los modelos.
• La prueba se hizo dentro de su programa de recompensas, cuyas reglas, según Anthropic, Cathedral incumplió.

Cathedral se presenta como una empresa de ciberseguridad con IA orientada a usos militares. La fundaron Gavin Kliger, Luke Farritor, Marko Elez y Jack Stein, todos exintegrantes del Departamento de Eficiencia Gubernamental (DOGE), y según Gizmodo ha levantado 160 millones de dólares con una valoración de 1.400 millones, con Andreessen Horowitz y Sequoia Capital entre sus inversores. Kliger fue director de datos del Pentágono.

Cómo llegaron: el software de los proveedores

El dato más relevante para cualquier responsable de seguridad es la ruta. Según Tech Times, que resume el informe, los investigadores de Cathedral pasaron primero varios días intentando atacar los sistemas propios de Anthropic sin éxito. Después cambiaron de objetivo y apuntaron al software empresarial de terceros: plataformas de recursos humanos, CRM de ventas, herramientas de gestión de TI y de colaboración. A partir de ese giro, sus agentes de IA mapearon los caminos disponibles y alcanzaron información sensible en menos de 12 horas. Los proveedores afectados no se han identificado públicamente mientras preparan parches.

Según los medios que han accedido al informe, entre los datos alcanzados había transcripciones de reuniones internas, salarios y ofertas de empleo, conversaciones de Slack sobre los modelos más avanzados de la compañía e información de contacto comercial de algunos clientes y socios. El propio informe no se ha publicado y sus detalles no se han verificado de forma independiente.

La versión de Anthropic

Anthropic ha confirmado que se accedió a un conjunto limitado de sistemas de ventas, recursos humanos y TI, con datos de contacto comerciales de clientes y socios y algunos registros básicos de cuentas de usuario. La compañía insiste en que nadie llegó a las conversaciones de los usuarios con Claude, al código fuente ni a los pesos de los modelos. Según las informaciones publicadas, su monitorización detectó parte de la actividad antes de la comunicación formal, desactivó el software afectado el mismo día en que confirmó la intrusión, informó a las autoridades federales y solo lo reactivó cuando los proveedores confirmaron los parches. Dice no tener indicios de que nadie más haya aprovechado esos fallos.

La prueba se hizo dentro del programa con el que Anthropic recompensa a quienes encuentran vulnerabilidades, pero la compañía acusa a Cathedral de incumplir sus condiciones al no describir todo lo que hizo dentro de sus sistemas, y sostiene que la startup exagera las implicaciones para la seguridad nacional. Cathedral asegura que limitó su acceso al mínimo necesario. Un alto cargo de la Administración Trump citado por The Washington Post sí habló de riesgos para la seguridad nacional. Infobae recoge también la valoración de Alex Stamos, responsable de seguridad de Cognition, que revisó los hallazgos para el diario y consideró que Cathedral encontró algo importante y que Anthropic podría haberlo hecho mucho mejor.

Lo que deja para la seguridad de las empresas

Más allá del cruce de acusaciones, el caso apunta a un problema que no es exclusivo de Anthropic. Las aplicaciones SaaS de recursos humanos, ventas o TI acumulan datos sensibles y suelen tener integraciones con el resto de sistemas, pero quedan fuera del perímetro que se protege con más esmero. Un atacante que no logra entrar por la puerta principal puede buscar la de un proveedor, y los agentes de IA reducen el tiempo necesario para encontrar y encadenar esos caminos. No es el primer aviso: según Infobae, en julio investigadores de Hacktron AI llegaron a un repositorio interno de OpenAI en menos de 72 horas partiendo de un foro público de desarrolladores, y OpenAI les pagó una recompensa de 6.500 dólares.

Para los equipos de seguridad, las lecciones son conocidas, pero el caso les pone fecha. Conviene inventariar las aplicaciones de terceros con datos sensibles, revisar los permisos e integraciones que tienen con el resto de sistemas, exigir a los proveedores plazos de parcheo y notificación, y vigilar su actividad con la misma atención que la de los sistemas propios. También deja otra lección: detectar una intrusión no es lo mismo que frenarla a tiempo, y la monitorización solo sirve si la respuesta llega antes de que el atacante lea lo que busca.

Preguntas frecuentes

¿Qué es Cathedral?

Una startup de ciberseguridad con IA orientada a usos militares, fundada por cuatro exmiembros del DOGE. Según Gizmodo, ha levantado 160 millones de dólares con una valoración de 1.400 millones.

¿Qué datos de Anthropic se vieron afectados?

Según el informe de Cathedral, transcripciones de reuniones, salarios, ofertas de empleo y mensajes de Slack. Anthropic confirma acceso a un conjunto limitado de sistemas de ventas, RR. HH. y TI.

¿Se expusieron conversaciones de Claude?

No, según Anthropic. La compañía afirma que no se accedió a conversaciones de usuarios, código fuente ni pesos de los modelos.

¿Fue un ataque autorizado?

Se hizo dentro del programa de recompensas por vulnerabilidades de Anthropic, aunque la compañía sostiene que Cathedral incumplió sus reglas al no detallar toda su actividad.

Fuentes:

• Gizmodo: Former DOGE Staffers’ New Startup Claims It Hacked Anthropic
• Tech Times: Ex-DOGE Startup’s AI Agents Breached Anthropic in 12 Hours via Enterprise Software
• Infobae: Hackearon a Anthropic en 12 horas
• LinkedIn: Hackearon Anthropic en 12 horas

Las claves de las alertas de Java SE y GraalVM en 30 segundos

• Oracle publicó el 21 de octubre la alerta CVE-2026-91403, que bloquea certificados intermedios de eMudhra con claves débiles.
• El 24 de octubre añadió CVE-2026-114820, que elimina del almacén de Java las raíces relacionadas, incluidas tres de emSign.
• Afectan a Java SE 8, 11, 17, 21, 25 y 27, a GraalVM for JDK 17 y 21 y a GraalVM Enterprise 21.3.
• Un atacante en posición intermedia podría hacer pasar un servidor falso por legítimo ante una aplicación Java.
• Oracle no tiene constancia de explotación activa.

El origen no es un error en el código de Java, sino un problema de confianza. Según la información publicada sobre el incidente, un investigador independiente informó el 17 de octubre de que las claves privadas de ocho autoridades de certificación intermedias de eMudhra se habían generado con aleatoriedad insuficiente y podían recuperarse a partir de los certificados públicos. Esas claves procedían de una ceremonia de generación celebrada el 30 de abril de 2025. Con ellas, un tercero podría emitir certificados válidos para cualquier dominio, y las aplicaciones que confían en esa cadena los aceptarían como legítimos.

Qué corrigen las dos alertas de Oracle

La primera alerta, CVE-2026-91403, afecta al componente JSSE (Java Secure Socket Extension), la parte de Java que gestiona las conexiones TLS. INCIBE-CERT la clasifica como uso de un algoritmo criptográfico roto o inseguro (CWE-327) y recoge el vector de Oracle: explotable por red, con baja complejidad, sin privilegios ni interacción del usuario, y con impacto alto en confidencialidad e integridad, aunque no en disponibilidad. La corrección añade los certificados intermedios de eMudhra a la lista de bloqueo de Java.

Tres días después, Oracle fue un paso más allá con CVE-2026-114820, también con un 9,1. Esta segunda alerta elimina como precaución los certificados raíz asociados del almacén de Java. Según los detalles publicados del aviso, son cuatro entradas: emSign Root CA – G1, emSign Root CA – G2, emSign ECC Root CA – G3 y una entrada identificada como comodoaaaca. eMudhra sostiene que sus claves raíz no se vieron comprometidas y ha anunciado que abandona el negocio global de certificados SSL/TLS.

No todas las fuentes valoran igual el riesgo. Red Hat da a CVE-2026-91403 una puntuación preliminar de 6,8, porque considera que el ataque requiere una complejidad alta y cierta interacción del usuario: el atacante necesita situarse entre el cliente y el servidor para interceptar la conexión. La cifra de 9,1 es la que asigna Oracle y la que recoge INCIBE-CERT.

Versiones afectadas y cómo actualizar

Las dos alertas afectan a las mismas versiones:

• Oracle Java SE: 8u511, 8u511-perf, 11.0.33, 17.0.21, 21.0.13, 25.0.5 y 27.0.1.
• Oracle GraalVM for JDK: 17.0.21 y 21.0.13.
• Oracle GraalVM Enterprise Edition: 21.3.20.

Son las versiones más recientes de cada rama, así que haber aplicado la actualización trimestral de octubre no basta: hay que instalar el build corregido de cada línea, con un número de compilación superior. Oracle recuerda además que las versiones sin soporte no se han evaluado y que pueden estar afectadas. La recomendación principal es actualizar desde Java Downloads o My Oracle Support y reiniciar cada proceso Java tras el cambio.

Si no es posible actualizar de inmediato, Oracle ofrece medidas temporales. Para la primera alerta, se puede sustituir el fichero local blocked.certs (en Java 8, blacklisted.certs) por la versión publicada por Oracle, conservando las entradas propias, y activar la comprobación de revocación en las conexiones TLS:

-Dcom.sun.net.ssl.checkRevocation=true
-Dcom.sun.security.enableCRLDP=true

Para la segunda, hay que hacer copia del almacén de claves y eliminar las cuatro raíces citadas. Oracle publica una utilidad, CheckCerts.java, para comprobar si un entorno sigue confiando en esos certificados. En JDK 17 y posteriores también conviene verificar los JAR firmados con jarsigner -verify -revcheck -strict. Java no comprueba la revocación de certificados por defecto, de ahí que actualizar o retirar las raíces sea la protección efectiva.

Contenedores, OpenJDK y la actualización trimestral

El trabajo no termina en el servidor principal. Muchas aplicaciones, contenedores, dispositivos y herramientas de terceros llevan su propio entorno de ejecución Java con su almacén de certificados, y cada uno debe actualizarse por separado. Red Hat explica que los paquetes OpenJDK de RHEL que usan el almacén del sistema reciben la corrección a través del paquete ca-certificates, mientras que las compilaciones portables de OpenJDK incluyen su propio almacén y se actualizan aparte. Navegadores y otros proyectos ya han actuado: según las fuentes consultadas, Mozilla, Google y Apple bloquearon los mismos certificados entre el 17 y el 19 de octubre, y Node.js actualizó su almacén de confianza.

Estas alertas llegan justo después de la actualización crítica trimestral de Oracle del 20 de octubre, que incluyó 1.295 parches para toda su gama de productos. De ellos, 55 corresponden a Java SE, 49 explotables en remoto sin autenticación según Oracle, aunque ninguno de nivel crítico: los más graves llegan a 7,5 y afectan al plugin de Java 8 y a JavaFX. Es otro capítulo de un otoño con un volumen récord de vulnerabilidades, como muestra el análisis de Opensecurity sobre el «octubre negro» de las CVE. Oracle ha programado actualizaciones de seguridad intermedias para el 17 de noviembre y el 15 de diciembre, y su próxima actualización trimestral para el 19 de enero de 2027.

Preguntas frecuentes

¿Qué es CVE-2026-91403?

Una vulnerabilidad de puntuación 9,1 en el componente JSSE de Java SE y GraalVM, por la que Java confiaba en certificados intermedios de eMudhra con claves privadas débiles. Oracle la corrigió en una alerta del 21 de octubre de 2026.

¿Qué añade CVE-2026-114820?

Es una segunda alerta del 24 de octubre que elimina del almacén de Java las raíces relacionadas con eMudhra, como precaución adicional. Afecta a las mismas versiones.

¿Basta con la actualización de octubre de Oracle?

No. Las alertas afectan a las versiones más recientes de cada rama, así que hay que instalar el build corregido posterior y reiniciar los procesos Java.

¿Se está explotando?

Oracle no tiene constancia de explotación activa y la vulnerabilidad no figura en el catálogo de fallos explotados de la CISA, según las fuentes consultadas.

Fuentes:

• INCIBE-CERT: Múltiples vulnerabilidades en Java SE y GraalVM de Oracle
• INCIBE-CERT: CVE-2026-91403
• Oracle Security Alert: CVE-2026-91403
• Oracle Security Alert: CVE-2026-114820
• Red Hat: CVE-2026-91403
• SecurityWeek: Oracle Patches Over 1,200 Vulnerabilities With October 2026 CPU

Las vulnerabilidades son identificadas como CVE-2026-109618 y CVE-2026-109619. Ante esta situación, es crucial que los propietarios de sitios web y equipos de TI estén al tanto de las recomendaciones para mantener la seguridad. Para obtener pasos detallados sobre la mitigación y otra información relevante, se sugiere consultar los avisos emitidos por el Proyecto PHP, CISA, CERT-EU o NCSC.

La gravedad de estas vulnerabilidades subraya la importancia de estar atentos a las actualizaciones de seguridad y actuar con rapidez para proteger los sistemas.
Fuente: WeLiveSecurity by eSet.

Las claves del informe de amenazas de Rapid7 del tercer trimestre en 20 segundos

• Las vulnerabilidades graves se explotaron, de media, tres días después de hacerse públicas.
• El 79 % de los fallos explotados no requería credenciales ni interacción del usuario.
• Estados Unidos concentró 1.112 víctimas publicadas en sitios de filtración de ransomware.
• La IA formó parte operativa del 8 % de los incidentes rastreados.

El informe de Rapid7, empresa estadounidense de ciberseguridad, combina datos de su servicio de detección y respuesta gestionada, de sus plataformas de inteligencia de vulnerabilidades, de su telemetría de investigación y del seguimiento de mercados clandestinos. Sus conclusiones apuntan a un problema que los equipos de sistemas conocen bien: los ciclos de parcheo mensuales se quedan cortos cuando la ventana real entre la publicación de un fallo y su explotación se mide en días.

Tres días para parchear

Según el informe, el 71 % de las vulnerabilidades de gravedad alta y crítica (CVSS de 7 a 10) que acabaron explotadas lo fueron en los primeros siete días, el 80 % en dos semanas y el 90 % en un mes. Rapid7 contabilizó 43 vulnerabilidades explotadas por primera vez en el trimestre, un 7 % menos que en el anterior pero un 19 % más que un año antes, mientras que el número de nuevas CVE de gravedad alta y crítica creció un 133 % interanual.

El dato más relevante para priorizar es el perfil de esos fallos: 34 de los 43, en torno al 79 %, se podían explotar en remoto, sin autenticación y sin que el usuario hiciera nada, la combinación que el sector llama a veces el santo grial del atacante. El propio informe recoge en otra tabla un 46 % para esa misma categoría, sin aclarar si se refiere al conjunto de fallos analizados o solo a los explotados, y contiene algún otro desajuste entre cifras, así que conviene tomar los porcentajes como orientación. Rapid7 calcula también que solo una de cada diez pruebas de concepto publicadas acabó en ataques reales en 30 días. OpenSecurity ya contó que las CVE publicadas en 2026 casi duplican ya todo 2025, un volumen que hace imposible parchearlo todo a la vez.

La recomendación de Rapid7 es identificar los activos expuestos, evaluar qué podría explotar un atacante en ellos, priorizar por impacto en el negocio y aplicar cuanto antes los parches de fallos explotables en remoto, sin esperar a la ventana de mantenimiento programada.

Ransomware, accesos en venta y actores estatales

En ransomware, Estados Unidos acaparó el 60,4 % de las víctimas publicadas en sitios de filtración, con 1.112 entradas, unas ocho veces más que Alemania (7,3 %), seguida de Italia y Canadá (5,3 % cada una) y Reino Unido (4,7 %). Los grupos más activos fueron The Gentlemen, con 342 publicaciones, Qilin, con 339, e INC Ransom, con 99. Por sectores, lideran los servicios empresariales (17 %), la industria (16,1 %) y la sanidad (14,9 %), y las víctimas de la administración pública subieron de 48 a 55 respecto al trimestre anterior.

En los foros clandestinos, 41 de los 63 anuncios analizados vendían acceso a redes o a escritorio remoto (RDP), y 14 ofrecían exploits o supuestos días cero, en su mayoría de fallos ya incluidos en avisos de fabricantes o en el catálogo KEV de la CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos). Entre los ejemplos, el informe cita un anuncio que combinaba acceso por Tailscale y RDP a una empresa, un recordatorio de que las redes privadas también son un activo que se compra y se vende, en los mismos días en que se ha conocido el informe Tailworm sobre Tailscale SSH.

Rapid7 relaciona 15 CVE con seis actores o grupos, con APT31, vinculado a China, a la cabeza con ocho, y documenta un conjunto de herramientas para Linux no descrito hasta ahora y atribuido a Corea del Norte. Incluye una puerta trasera llamada «ted» escondida en una compilación troyanizada de HAProxy 2.8.12, un registrador de pulsaciones para SSH y un troyano de acceso remoto basado en curl, y se ha usado contra organizaciones surcoreanas de automoción y medios, probablemente desde principios de 2025.

La IA, todavía en un papel secundario

Según Rapid7, la IA fue un componente operativo en el 8 % de los incidentes rastreados. En todos los casos documentados, las personas eligieron los objetivos y los fines, y la IA ayudó en la parte táctica: escoger técnicas, valorar objetivos o recuperarse cuando un paso fallaba. El informe describe también a atacantes que reparten un objetivo malicioso entre varias sesiones de IA para esquivar las salvaguardas de los proveedores, que rechazan con más facilidad las peticiones concentradas en una sola conversación. Christiaan Beek, vicepresidente de Rapid7 Intelligence, considera que la cuestión no es si la explotación agéntica crecerá, sino cuándo.

Preguntas frecuentes

¿Cuánto tardan los atacantes en explotar una vulnerabilidad grave?

Según Rapid7, tres días de media en el tercer trimestre de 2026, con el 71 % de las explotaciones en la primera semana y el 90 % en el primer mes.

¿Qué grupos de ransomware fueron más activos?

The Gentlemen, con 342 víctimas publicadas, Qilin, con 339, e INC Ransom, con 99.

¿Qué recomienda Rapid7?

Identificar los activos expuestos, priorizar por impacto en el negocio y parchear cuanto antes los fallos explotables en remoto, sin esperar al ciclo de mantenimiento.

¿Usan IA los atacantes?

Sí, pero de forma limitada: la IA fue un componente operativo en el 8 % de los incidentes rastreados y siempre con personas eligiendo los objetivos.

Fuentes:

• Rapid7: Human operators still drive most of tracked cyberattacks, but exploitation windows are narrow
• Rapid7: Quarterly Threat Landscape Report (Q3 2026)
• SecurityWeek: High-severity flaws exploited in three days as ransomware dominates Q3

SPI Tecnologías ha destacado recientemente en el ámbito de la ciberseguridad, al recibir el ESET Partner Award 2026 en la categoría de Impulso a la Fidelización. Este importante reconocimiento se otorgó durante el ESET Partner Summit 2026, que tuvo lugar en Valencia los días 1 y 2 de octubre, y que reunió a especialistas y expertos para analizar el panorama actual de las amenazas digitales y la influencia de la inteligencia artificial en este contexto.

El premio a SPI Tecnologías reconoce su compromiso con la renovación y retención de clientes en el sector corporativo, un aspecto crucial en un entorno donde las amenazas cibernéticas están en constante evolución. La fidelización de los clientes no solo refleja la efectividad de los servicios ofrecidos, sino también la necesidad de mantener una relación continua en un campo donde los riesgos cambian a diario.

Durante el Summit, la inteligencia artificial ocupó un lugar central en las discusiones, con expertos compartiendo sus perspectivas sobre cómo esta tecnología puede representar tanto una oportunidad para mejorar la seguridad como una herramienta de los ciberdelincuentes para perpetrar nuevos ataques. Las conferencias abordaron temas relevantes como el uso de la inteligencia artificial en amenazas avanzadas persistentes (APT) y la importancia de adaptar las estrategias de ciberseguridad a este nuevo panorama.

Los participantes del evento señalaron que la protección empresarial debe considerarse un proceso constante. En este sentido, la mera instalación de soluciones de seguridad no es suficiente; es fundamental adoptar buenas prácticas internas como mantener los sistemas actualizados, utilizar contraseñas fuertes, implementar autenticación multifactor y formar al personal para que reconozca intentos de fraudes como el phishing.

Del mismo modo, se destacó la importancia de realizar revisiones periódicas de las soluciones de seguridad implementadas, dado que cambios en la infraestructura de la empresa, como la adopción de nuevas tecnologías o la implementación del teletrabajo, pueden alterar el nivel de exposición de la misma.

El premio a la fidelización obtenido por SPI Tecnologías subraya su papel como consultor y proveedor de soluciones en tecnología empresarial, especialmente en el ámbito de la ciberseguridad. La empresa, que colabora con diversas organizaciones en Huesca y Lleida, no solo ofrece antivirus para proteger equipos y datos, sino que también acompaña a sus clientes en la selección y mantenimiento de soluciones a largo plazo, asegurando así su protección en un mundo digital en rápida transformación.

VoxNexus ha presentado recientemente su nueva solución de escucha ambiental, VoxSense, concebida para dispositivos Android, que promete una experiencia de usuario revolucionaria al funcionar de manera completamente local. Esta innovadora herramienta se destaca por su eficiencia energética, ya que proporciona 12 horas de escucha ininterrumpida utilizando solamente 162 mAh de batería, es decir, menos del 2,5% de una batería típica de 6500 mAh. Además, VoxSense garantiza la privacidad de los usuarios al no enviar audio a la nube, procesando toda la información en el propio dispositivo.

La necesidad de una inteligencia artificial que entienda el mundo y actúe de forma proactiva, más allá de responder a comandos, es cada vez más relevante. Sin embargo, el consumo de batería y las preocupaciones sobre la privacidad vinculadas al procesamiento en la nube siguen siendo obstáculos importantes. La solución de VoxNexus aborda ambas cuestiones con su arquitectura de doble nivel, que ejecuta tareas de detección y transcripción en un sistema en chip (SoC) de bajo consumo. De esta manera, el procesador principal solo se activa cuando se requiere procesamiento adicional, permitiendo captar interacciones cotidianas, como una conversación o el llanto de un bebé, sin necesidad de que el usuario toque su dispositivo.

Charles Shi, CEO de VoxNexus, comentó: «Durante una década, los asistentes de voz han esperado una palabra de activación. VoxSense está diseñado para lo que viene después: una IA que ya está escuchando, sabe lo que importa y mantiene cada palabra en tu dispositivo».

La compañía también ha desarrollado kits de desarrollo de software (SDK) para su tecnología VoxEdge, que permite a los desarrolladores combinar diversas funciones de audio según las necesidades de sus aplicaciones. Los SDK facilitan la integración de inteligencia audio en dispositivos y ofrecen características como reconocimiento de voz en 36 idiomas, traducción en 103 idiomas y síntesis de voz en 45 idiomas. Los interesados en probar esta tecnología pueden solicitar una prueba gratuita a través del sitio web de VoxNexus.

VoxSense y VoxEdge se presentaron durante el lanzamiento de MediaTek Dimensity 9600, que tuvo lugar en Madrid el 19 de octubre. VoxNexus tiene su sede en Singapur y se compromete a desarrollar tecnologías de IA que funcionen de manera local, priorizando la privacidad y la eficiencia en todos sus dispositivos.