Intel MX

[Intel MX] 2026-10-18 Ivanti otra vez en la mira y la cadena de suministro cobra factura

18 de octubre de 2026

sin-victimas-mx
vulnerabilidad
cve
acceso-inicial
brecha
tecnologia
retail
credenciales
confianza-media

Sin víctimas locales, pero con la puerta de entrada abierta de par en par: VPN, respaldos en la nube y CMS.

Hoy no se registraron nuevas víctimas de ransomware en México. El día lo marca otra vez Ivanti: un zero-day en Connect Secure que se explota desde al menos el 1 de octubre y que ya provocó una alerta urgente de CISA. Además, hubo un ataque a la cadena de suministro que llegó a tenants de Microsoft 365 a través del servicio de respaldos de ConnectWise, parches críticos en Drupal y Docker Hub, una falla en un sandbox que podría dejar escapar a agentes de IA, un incidente que afecta a marcas de moda en Reino Unido y espionaje norcoreano contra expertos ucranianos. Para quien administra perímetros en México, la tarea de hoy es parchar, no esperar.

Zero-day en Ivanti Connect Secure: CISA pide parchar ya

Ivanti pidió a sus clientes parchar de inmediato una vulnerabilidad zero-day explotada activamente en su gateway de acceso remoto Ivanti Connect Secure (ICS) ^[1]. CISA se sumó con una advertencia a los equipos de seguridad, porque la falla se explota en ataques zero-day desde al menos el 1 de octubre ^[2]. Se rastrea como CVE-2026-104935: es una vulnerabilidad de evasión de autenticación de severidad alta que permite a atacantes remotos sin privilegios ejecutar comandos arbitrarios en los sistemas ICS ^[2]. Según CISA, los atacantes la explotan para robar credenciales y exfiltrar datos.

Comentario del editor: Ivanti Connect Secure lleva años siendo un blanco recurrente, así que esto ya no es mala suerte, es un patrón. Si una organización mexicana sigue con ICS expuesto a internet, el parche no alcanza: hay que asumir que pudo haber compromiso desde inicios de octubre y revisar bitácoras, cuentas y configuraciones en busca de persistencia. La herramienta Integrity Checker de Ivanti podría no detectar el compromiso, porque los comandos del atacante se ejecutan solo en memoria.

ConnectWise corta su respaldo en la nube tras el compromiso de tenants de Microsoft 365

ConnectWise suspendió Cloud Backup después de que atacantes desconocidos obtuvieron acceso no autorizado a identidades de aplicación y comprometieron tenants de Microsoft 365 ^[3]. El servicio se llamaba antes SkyKick Cloud Backup. Se trata de un ataque a la cadena de suministro: el punto de entrada fue el proveedor de respaldos, no la víctima final ^[3].

Comentario del editor: Las identidades de aplicación con permisos amplios sobre Microsoft 365 son un blanco perfecto, porque casi nadie las audita con el rigor con que se revisan las cuentas humanas. Hoy toca revisar qué aplicaciones de terceros tienen consentimiento sobre su tenant y con qué alcance.

Drupal parcha dos RCE críticas y anticipa exploits

Drupal corrigió dos vulnerabilidades críticas que permiten ejecutar código de forma remota en sitios con cualquier versión soportada del gestor de contenidos, y advirtió que los exploits podrían aparecer pronto ^[4]. Las fallas afectan al núcleo de Drupal y al módulo contribuido Entity List. Ambas tienen rutas de explotación conocidas que dependen de la interacción con otros módulos contribuidos, y algunas no requieren autenticación.

Comentario del editor: Drupal se usa mucho en portales institucionales, universitarios y gubernamentales. La ventana entre el parche y el exploit público suele ser corta, así que conviene tratarlo como una urgencia.

Docker Hub: una falla crítica permitía suplantar usuarios y alterar imágenes

Docker reveló la vulnerabilidad crítica CVE-2026-105445 en Docker Hub, que permitía a un atacante acceder a los repositorios de contenedores de otro usuario usando un token de acceso personal (PAT) ^[5]. El riesgo incluía suplantar usuarios y manipular imágenes ^[5]. Docker resolvió el problema el 30 de septiembre de 2026 y dijo que su investigación no encontró evidencia de explotación.

Comentario del editor: Una imagen alterada en un registro público se propaga sola por cada pipeline que la descarga. Fijar imágenes por digest, no por etiqueta, y rotar los PAT son medidas baratas frente a ese riesgo.

Agentes de IA que escapan del sandbox

Una investigación de la startup de seguridad AIR encontró una falla de filtrado de red en Vercel Sandbox, herramienta para ejecutar código en entornos aislados. La falla permitiría a agentes de IA abusar de los procesos de validación de certificados para sacar datos fuera de las redes aprobadas ^[6].

TFG London: incidente cibernético afecta a Hobbs, Whistles y Phase Eight

TFG London detectó un incidente de ciberseguridad que afectó los sistemas de TI usados por sus marcas de moda premium Phase Eight, Hobbs y Whistles ^[7]. El comunicado del grupo no identificó a ningún atacante, banda de ransomware ni método de entrada.

Corea del Norte espía a expertos ucranianos

Hackers norcoreanos han atacado a expertos ucranianos en diplomacia, seguridad y política internacional, mientras crece la cooperación militar entre Pyongyang y Rusia ^[8]. El objetivo probable es obtener inteligencia sobre la guerra ^[8].

Referencias