Cloud y Business Apps
Ciberseguridad
Data & AI
IoT y Conectividad
Industria
Salud
Banca y Finanzas
Sector Público
Retail
Turismo y Ocio
Transporte y Logística
Energía y Utilities
Ciudades Inteligentes
Boletín Semanal de Ciberseguridad, 7-13 de noviembre
Fortinet corrige casi 100 vulnerabilidades, entre ellas Fortinet2Shell en FortiClient
Fortinet publicó 89 avisos que corrigen casi 100 vulnerabilidades, unas 17 de ellas críticas, tres semanas después de anunciar que había incorporado modelos de IA de frontera a sus pruebas de seguridad de producto. FortiMail recibe el mayor lote de correcciones críticas, seguido de FortiAuthenticator, FortiOS, FortiManager y FortiAnalyzer, con fallos que permiten ejecución de código, bypass de autenticación, toma de cuentas o ejecución de comandos como superadministrador.
El más llamativo es CVE-2026-121529 (CVSSv3 9.6 según Fortinet), conocido como Fortinet2Shell: un error de validación de origen por una configuración CORS incorrecta en un servicio local de FortiClient para Windows y Mac, que acepta peticiones de páginas web de modo que basta con visitar un sitio malicioso para ejecutar código, de forma fiable si FortiPAM está activado. Afecta a las ramas 7.4.0-7.4.7 y 7.2.0-7.2.14 (Windows y PAM) y 7.4.0-7.4.7 (Mac), se corrige en 7.4.8 y 7.2.15 y no tiene parche virtual. Fortinet no informa de explotación activa en ninguno de los fallos.
Se recomienda priorizar FortiMail y FortiOS expuestos y localizar en la flota los equipos con el puerto TCP 9191 en escucha o el proceso FortiVRS.exe para actualizarlos primero.
Google corrige un 0-day en Chrome explotado activamente
Google ha publicado una actualización de seguridad de Chrome que corrige nueve vulnerabilidades, entre ellas CVE-2026-125350 (aún sin ficha en NVD pero de severidad alta según Google), un use-after-free en el componente XML de Chrome para el que, según el aviso de Google, existe un exploit en circulación.
El fallo fue reportado por un investigador anónimo el 6 de noviembre y Google no ha facilitado detalles sobre atacantes, objetivos o vector de entrega, ni ha confirmado si permite ejecución de código. La actualización corrige además otros seis fallos de severidad alta, entre ellos un segundo use-after-free en XML y una type confusion en V8, sin explotación conocida. Las versiones corregidas son la 157.0.8103.50/.51 para Windows y macOS y la 157.0.8103.50 para Linux.
Dada la cuota de despliegue de Chrome y el despliegue escalonado de la actualización, se recomienda forzar la actualización y el reinicio del navegador en los equipos gestionados y verificar la versión instalada.
Falsas herramientas de seguridad en GitHub infectan más de 2.000 equipos con AsyncRAT y un stealer
Doctor Web ha documentado una campaña que distribuye malware mediante proyectos de GitHub que se hacen pasar por herramientas de seguridad, con más de 2.000 equipos infectados. La actividad comenzó hace unos dos años con proyectos de Visual Studio relacionados con juegos blockchain, bots y trucos, dirigidos a usuarios de monederos de criptomonedas. Después evolucionó hacia supuestas utilidades de escaneo automatizado, pruebas de seguridad y análisis de logs, entre ellas una que imita una herramienta para procesar resultados del escáner Fscan.
El código malicioso se oculta en comandos que se ejecutan antes de la compilación y en comandos PowerShell dentro de archivos de configuración. Al abrir el proyecto, un script PowerShell obtiene, desde servidores del atacante y plataformas legítimas (YouTube, Telegram, Google Docs, GitCode y Pastebin), una cadena cifrada que apunta a un archivo comprimido. El archivo despliega Microsoft.exe, un cargador modular basado en Electron. Este cargador envía información del sistema a un bot de Telegram, escala privilegios, deshabilita Windows Defender, UAC, Restaurar sistema y las shadow copies, y elimina McAfee, ESET y Malwarebytes.
Las cargas útiles incluyen AsyncRAT, un clipper que sustituye direcciones de monederos y realiza capturas de pantalla, y un stealer que roba datos de navegadores, FileZilla, MobaXterm, Total Commander, VPN, aplicaciones de mensajería y tokens de Discord.
La opción “don’t ask again” de Claude Code expone 2.539 secretos en repositorios públicos de GitHub
Los investigadores de Apiiro Shmulik Cohen y Matan Giladi han identificado 2.539 secretos únicos en 1.994 repositorios públicos de GitHub, expuestos por la opción “Yes, and don’t ask again” de Claude Code. Al seleccionarla, el comando aprobado se guarda como regla de permisos en .claude/settings.local.json, y cualquier credencial incluida en el comando queda almacenada en texto plano dentro del directorio del proyecto.
Tras analizar 104.185 archivos de configuración local en 103.617 repositorios, los investigadores encontraron 1.379 secretos únicos en 1.122 archivos, entre ellos 379 contraseñas de bases de datos, 122 claves service-role de Supabase, 103 tokens de cuenta de Supabase, 43 credenciales SSH y 23 claves de AWS. Además, 734 secretos solo aparecían en versiones históricas del archivo. Hay 63 organizaciones afectadas. Gitleaks y TruffleHog no detectaron 215 de los archivos afectados, porque las contraseñas pasadas tras PGPASSWORD=, sshpass -p o mysql -p no tienen firmas reconocibles. Claude Code intenta excluir el archivo mediante el gitignore global del desarrollador, pero esa configuración no viaja con el repositorio ni protege archivos ya rastreados.
Se recomienda rotar las credenciales, revisar el historial de Git, ejecutar git rm --cached sobre el archivo y añadirlo a .gitignore.
Operation Snowball: un agente de IA autónomo compromete durante dos semanas a un operador de telecomunicaciones europeo
Malbear Labs ha documentado Operation Snowball tras localizar en un directorio abierto el espacio de trabajo completo de un operador que, durante más de dos semanas, empleó un harness de intrusión autónomo contra un proveedor europeo de telecomunicaciones y 13 organizaciones alojadas en sus centros de datos y nube.
El agente funcionaba sobre DeepSeek Flash, con las salvaguardas anuladas por un system prompt de 78.000 caracteres basado en la plantilla de jailbreak "Little Code Sauce", y elegía por sí mismo CVE, herramientas y método; las instrucciones estaban en chino, aunque los analistas subrayan que ello no prueba nacionalidad ni patrocinio estatal.
El objetivo principal fue Cisco BroadWorks XSP, donde explotó CVE-2026-20320 (CVSSv3 7.5 según Cisco), un XXE no autenticado en el parser XML OCI del puerto 2208, para extraer la clave privada de identidad del sistema y otras credenciales. Destaca su adaptación a las defensas: ante bloqueos de Trend Micro y OfficeScan cambió de técnica de escalada, escribió un puente HTTP-TCP propio en Perl y pasó a persistencia solo con PowerShell, WMI y tareas programadas, con post-explotación mediante Sliver tras Cloudflare.
Se recomienda no exponer el puerto 2208 y vigilar en la telemetría de endpoint y red patrones de escaneo y movimiento lateral automatizados.
◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →
