Boletín Semanal de Ciberseguridad, 17-23 de octubre

Actualización sobre php2shell: intentos de explotación, PoC pública y riesgo de caídas masivas en sitios PHP

Cloudflare y Amazon han detectado tráfico de ataque dirigido a php2shell, las vulnerabilidades críticas del runtime de PHP CVE-2026-109618 (CVSSv3 9.8) y CVE-2026-109619 (CVSSv3 9.8), corregidas el 21 de octubre en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los detalles se filtraron antes de la divulgación coordinada y la compañía ha observado intentos de explotación previos al parche, con atacantes que modifican el payload para lograr el bypass de las reglas WAF que Cloudflare aplica por defecto, también en su plan gratuito.

Además, un investigador ha publicado en GitHub una PoC funcional contra versiones anteriores al parche de PHP, lo que acerca el escenario de explotación masiva que anticipa Wiz para desplegar webshells y que compara con Log4Shell.

El impacto potencial de php2shell es enorme: PHP sustenta cerca del 70 % de los sitios web (WordPress, Drupal, Joomla o Magento, entre otros), Censys contabiliza 54,9 millones de propiedades web con PHP y, según Krebs on Security, cabe esperar caídas generalizadas de sitios mientras se parchea, con webs gubernamentales europeas ya desconectadas según Reuters.

Es imprescindible actualizar el propio PHP, no basta con actualizar la aplicación o los plugins.

Más info

UNC7017 manipula los servidores de actualización de AOMEI Backupper para distribuir una backdoor, con víctimas en España

Google Threat Intelligence Group ha detallado un compromiso de la cadena de suministro de AOMEI Technology atribuido al clúster UNC7017. Entre abril y julio de 2026, el actor alteró los ficheros de configuración de actualización de AOMEI Backupper en ventanas de solo cinco a diez minutos y después los devolvió a su estado original para evitar ser detectado. Las instalaciones que buscaban actualizaciones en esos minutos descargaban el downloader CROSSROAD. Este crea la tarea programada RadminComponentRuntime y despliega el backdoor SHINYROAD mediante DLL sideloading sobre un binario legítimo de Radmin.

En algunos equipos se añadió después Adaptix C2 disfrazado de Nitro PDF y, en julio, una ventana invisible de 1x1 píxeles que fuerza el envío de hashes NetNTLMv2 vía WebDAV. Hay organizaciones afectadas de servicios TI, telecomunicaciones y educación superior en 11 países, entre ellos España y Portugal.

La corrección que AOMEI aplicó en sus servidores no limpia los equipos ya infectados.

Más info

ConnectWise suspende sus servicios de respaldo tras el compromiso de identidades de aplicaciones de Microsoft 365

ConnectWise ha deshabilitado siete identidades de aplicaciones y suspendido temporalmente Cloud Backup, SaaS Security y Cloud Management tras detectar accesos no autorizados a entornos Microsoft 365. Los atacantes habrían abusado de credenciales de aplicaciones para autenticarse mediante Microsoft Entra ID y acceder a servicios como Exchange Online, SharePoint y Teams, con capacidad potencial para elevar privilegios y crear nuevos mecanismos de persistencia.

Huntress identificó actividad de inicio de sesión asociada a casi 1000 tenants de Entra, con aproximadamente 300 autenticaciones exitosas, aunque esto no implica que todos fueran comprometidos. También confirmó el abuso de la aplicación de Teams en al menos un entorno.

Revocar las conexiones originales no elimina credenciales, permisos o identidades adicionales creadas durante el incidente.

Más info

El FBI adjudica al ransomware SafePay más de 600 víctimas en EE. UU. y Europa

Un aviso conjunto del FBI y de agencias de ciberseguridad de Alemania y Reino Unido sitúa al grupo de ransomware SafePay entre los más activos de 2026, con al menos 600 organizaciones comprometidas en Estados Unidos y Europa desde agosto de 2024 y el incidente más reciente registrado en agosto. SafePay obtiene acceso mediante adivinación de contraseñas, phishing y explotación automatizada de vulnerabilidades en sistemas expuestos, entre ellas fallos conocidos de Cisco ASA/FTD, Veeam Backup & Replication y SonicWall SonicOS.

Una vez dentro crea o secuestra cuentas, cambia las contraseñas de usuarios legítimos, se mueve con herramientas del sistema, desactiva protecciones y exfiltra datos comprimidos antes de desplegar el cifrador a través de AnyDesk o TeamViewer. El grupo exige un porcentaje de la facturación de la víctima en criptomonedas y la presiona con llamadas telefónicas. Parte de su código recuerda a LockBit. Entre sus víctimas recientes figuran la británica Microlise y Conduent, cuyo ataque afectó a servicios de Medicaid, peajes y ayudas alimentarias en EE. UU.

Más info

GitLab parchea un fallo 10.0 que permite ejecución remota de código sin autenticación

GitLab ha publicado actualizaciones de emergencia para CVE-2026-110264 (CVSSv3 10.0 según GitLab), un desbordamiento de enteros en el compilador de expresiones regulares (Onigmo) que permite a un atacante no autenticado ejecutar código arbitrario en el servidor. El fallo afecta tanto a GitLab Community Edition como a Enterprise Edition y alcanza a versiones desde la 7.0, de modo que impacta por igual a despliegues antiguos y recientes; está corregido en las ramas 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 y 19.5.1. El aviso incluye dos detecciones para clientes autogestionados (“Onigmo native worker crash” y “Org mode render error burst”), aunque GitLab no confirma explotación activa.

Dado que es una plataforma DevOps masivamente desplegada y que el exploit no requiere privilegios ni interacción, los administradores de instancias self-managed deben actualizar de inmediato; GitLab.com ya corre la versión parcheada.

Más info

◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →