Cloud y Business Apps
Ciberseguridad
Data & AI
IoT y Conectividad
Industria
Salud
Banca y Finanzas
Sector Público
Retail
Turismo y Ocio
Transporte y Logística
Energía y Utilities
Ciudades Inteligentes
Boletín Semanal de Ciberseguridad, 10-16 de octubre
Palo Alto Networks corrige un 0-day de RCE en PAN-OS explotado contra la interfaz de gestión
Palo Alto Networks ha publicado actualizaciones para CVE-2026-0322 (CVSSv4 8.6 según fabricante), un 0-day en la interfaz de gestión de PAN-OS que permite a un atacante autenticado con acceso de red ejecutar código como root. Afecta a los cortafuegos PA-Series y VM-Series y a Panorama (virtual y M-Series), mientras que Cloud NGFW y Prisma Access no están afectados.
Palo Alto confirma una explotación muy limitada, sin detallar desde cuándo ni quién está detrás, y ha compartido tres IPs atacantes: 66.42.72[.]14, 208.83.239[.]114 y 149.248.47[.]234. CISA la ha añadido a KEV con plazo hasta el 17 de octubre. Hay parches para PAN-OS 10.2, 11.1, 11.2, 12.1 y 12.2. No existe workaround, y las firmas de Threat Prevention solo ofrecen cobertura parcial.
Como la explotación requiere credenciales válidas, la prioridad es restringir la interfaz de gestión a direcciones IP internas de confianza, actualizar y revisar los accesos administrativos recientes.
Un sabotaje eleva a 50 °C los frigoríficos de más de 150 supermercados franceses
La madrugada del 11 al 12 de octubre, varios supermercados franceses sufrieron un sabotaje en sus sistemas de refrigeración: los atacantes prolongaron los ciclos de deshielo y modificaron las consignas de temperatura hasta alcanzar los 50 °C, lo que obligó a retirar toneladas de alimentos. Intermarché fue la cadena más afectada, con unos 150 establecimientos, y también se notificaron incidencias en Coopérative U y E.Leclerc.
El CERT-FR ha alertado de numerosos compromisos de controladores Danfoss AK-SM y AK-SC, y la principal hipótesis técnica apunta a la cadena de vulnerabilidades documentada por Claroty Team82 en el Danfoss AK-SM 800A: CVE-2025-41450, un mecanismo de autenticación alternativo basado en un código diario que permite obtener una sesión administrativa sin contraseña, y CVE-2025-41451, una inyección de comandos en la configuración SMTP que deriva en ejecución remota de código. Team82 identificó 2.765 de estos controladores expuestos en Internet. No hay confirmación pública de que esta cadena fuera la utilizada en Francia.
Se recomienda actualizar a la versión R4.3.1 o posterior, retirar las interfaces de gestión de Internet, filtrar los accesos a proveedores autorizados, rotar credenciales y, ante sospecha de intrusión, preservar evidencias y restaurar los equipos a valores de fábrica.
La brecha del registro de población danés se originó en un proveedor con cuentas protegidas con “123456”
Nuevos detalles sobre la brecha del registro central de población de Dinamarca (CPR) apuntan a Pays ApS, una pequeña empresa de TI de Odense con acceso legítimo al registro, que utilizaba la contraseña “123456” en al menos tres cuentas, incluida una de administrador, según Politiken. El atacante asegura que entró con la contraseña filtrada de un antiguo empleado y que desarrolló dos programas para extraer los datos y almacenarlos fuera del registro.
El conjunto robado incluye 8.749.975 registros con números CPR y direcciones, correspondientes a unos 5,5 millones de personas vivas y 3,3 millones de fallecidas. Según el atacante, el acceso comenzó el 10 de septiembre y se prolongó durante 21 días y 17 horas, mientras que las autoridades hablan de unos diez días. El actor afirma no tener intención de vender ni publicar la información y no hay indicios de que MitID se haya visto comprometido, aunque los datos pueden combinarse con otras filtraciones para campañas de phishing o fraude.
El caso refuerza la necesidad de bloquear contraseñas triviales y auditar las credenciales de los terceros con acceso a sistemas críticos.
Cisco SEG: explotan una escritura arbitraria de ficheros que permite ejecutar comandos como root mediante un adjunto
Cisco ha confirmado la explotación activa de CVE-2026-76519 (CVSSv3.1 9.8 según Cisco). Es un path traversal en la función Advanced Malware Protection de Cisco Secure Email Gateway: un remitente no autenticado puede escribir ficheros arbitrarios y ejecutar comandos como root enviando un correo con un adjunto manipulado. Solo son vulnerables los gateways con el servicio File Reputation habilitado y Content Scanner Tools anterior a 25.3.0.5525. La corrección ya venía incluida en la hardening release del 14 de septiembre (AsyncOS 15.5.5-014 y 16.5.0-780) y puede aplicarse actualizando solo Content Scanner Tools, sin reinicio. La rama 16.0 no tiene versión corregida.
Es el segundo fallo de Secure Email Gateway explotado en un mes, tras la inyección SQL divulgada en septiembre, y el tercero con nivel root desde diciembre, cuando el actor vinculado a China UAT-9686 abusó de la cuarentena de spam. Cisco no ha revelado el alcance ni la autoría, aunque ya ha contactado con clientes de Secure Email Cloud que presentaban indicadores de compromiso.
Se recomienda verificar la versión con contentscannerstatus y ejecutar grep "System Security" system_logs en todos los nodos del clúster.
Microsoft corrige 1413 vulnerabilidades, incluida una explotada en Windows Shell
Microsoft ha publicado su mayor Patch Tuesday hasta la fecha, con correcciones para 1413 vulnerabilidades en Windows, Office, SharePoint, SQL Server y herramientas de desarrollo, más de 70 de ellas críticas. La única marcada como explotada es CVE-2026-96951 (CVSSv3 8.8 según Microsoft), una vulnerabilidad de inyección de comandos en Windows Shell explotada activamente que permite evadir las defensas Mark of the Web mediante archivos especialmente manipulados.
CISA la ha añadido al catálogo KEV y exige a las agencias federales estadounidenses aplicar la corrección antes del 16 de octubre. También destacan CVE-2026-108398 (CVSSv3 8.8 según Microsoft), capaz de eludir WDAC tras un compromiso local, y CVE-2026-21413 (CVSSv3 9.8 según Talos), que puede ejecutar código al generar la vista previa de una imagen RAW.
Se recomienda priorizar Windows Shell y Raw Image Extension, además de revisar controles de correo, mensajería y descarga de adjuntos, en lugar de clasificar únicamente por volumen de CVE.
◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →
