Intel MX

[Intel MX] 2026-10-22 COMAPA Victoria se recupera de un ransomware con respaldos; PHP2Shell obliga a parchar ya

22 de octubre de 2026

tamaulipas
gobierno
servicios
tecnologia
ransomware
vulnerabilidad
cve
malware
confianza-media

Un organismo de agua en Tamaulipas dice que aguantó el golpe gracias a sus respaldos. Afuera, la semana trae parches urgentes.

La única víctima mexicana reportada hoy es la Comisión Municipal de Agua Potable y Alcantarillado de Ciudad Victoria (COMAPA). El organismo informa que sufrió un intento de ransomware y que se recuperó sin pagar rescate. El resto de la edición es una lista de servidores que conviene revisar hoy mismo: dos fallas críticas de ejecución remota de código en PHP (PHP2Shell), una vulnerabilidad de severidad máxima en GitLab y una cadena de fallas en Plex que ya se explota activamente. Completan el día el ataque contra la capital de Carolina del Sur, que dejó fuera la plataforma con la que sus habitantes pagan servicios, el compromiso de un proveedor japonés de VPS, una operación policial masiva en África y el uso de criptografía poscuántica por parte de Lazarus.

COMAPA Victoria resiste un intento de ransomware

La Comisión Municipal de Agua Potable y Alcantarillado de Ciudad Victoria, Tamaulipas, informó que sufrió un intento de ataque de ransomware. Según el organismo, los atacantes buscaron bloquear sus archivos para exigir un rescate ^[1]. La institución afirma que tenía respaldos actualizados y que con ellos restauró toda la información sin pagar nada. También aseguró que no se comprometieron datos personales ni bancarios de los usuarios ^[1]. Por su parte, el sitio de monitoreo Ransomware.live registró el 13 de octubre de 2026 que el grupo Qilin reivindicó el ataque contra el organismo (comapavictoria.gob.mx) ^[2]. El vector de entrada no se ha dado a conocer, y la versión sobre el alcance del incidente es la del propio organismo (confianza media).

Comentario del editor: Es raro que un organismo operador de agua cuente que se recuperó sin pagar, y vale la pena reconocerlo. Aun así, restaurar los archivos no significa que los atacantes no se hayan llevado nada: la mayoría de los grupos actuales roban la información antes de cifrarla. Como COMAPA ya aparece reivindicada por Qilin, la afirmación de que no se comprometieron datos debe tomarse con cautela hasta ver si el grupo publica información del organismo.

PHP2Shell: parches de emergencia para dos fallas críticas de RCE

El equipo de seguridad de PHP publicó parches de emergencia para dos vulnerabilidades críticas de ejecución remota de código, CVE-2026-109618 y CVE-2026-109619, que se conocen en conjunto como PHP2Shell ^[3]. Cientos de sitios web se desconectaron mientras crecía la preocupación por la gravedad de las fallas ^[4]. La PHP Foundation explicó que una de ellas data de 2024 y que una revisión reciente hecha por empresas de inteligencia artificial puso ambas en el foco. Esa revisión encendió las alarmas en agosto y llevó a la fundación a publicar los detalles antes de lo que tenía previsto ^[5].

Comentario del editor: PHP está detrás de buena parte de los portales de gobierno, universidades y comercios en México, y muchos de esos sitios corren versiones que nadie actualiza. Cuando una falla tiene nombre propio y su divulgación se adelanta, la explotación masiva suele llegar en cuestión de días. Si administras sitios en PHP, este parche va primero en la lista.

GitLab corrige una falla de severidad máxima

GitLab liberó parches para una vulnerabilidad de severidad máxima en un compilador de expresiones regulares. La falla permite que un atacante remoto ejecute código arbitrario en servidores vulnerables ^[6].

Comentario del editor: Una instancia de GitLab alojada por la propia organización guarda código fuente, secretos de CI/CD y credenciales de despliegue. Si alguien la compromete, puede abrirse paso a toda la cadena de suministro de software de la organización.

CISA alerta por la cadena Plex2Shell en servidores Plex

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) advirtió que hay atacantes explotando activamente cuatro vulnerabilidades de Plex Media Server. Los atacantes las encadenan en ataques bautizados como Plex2Shell para tomar el control de los servidores ^[7].

Ciberataque contra la capital de Carolina del Sur

Funcionarios estatales de Carolina del Sur ofrecieron ayuda a la capital del estado tras un ciberataque. Entre los sistemas afectados está MyColaSC, la plataforma con la que los habitantes pagan sus recibos de servicios, reportan problemas que no son emergencias y hacen otros trámites municipales ^[8].

Comentario del editor: El mismo día aparecen como blancos un organismo de agua en Tamaulipas y una capital estatal en Estados Unidos. Las plataformas municipales de cobro atraen a los atacantes porque concentran pagos y datos de los ciudadanos, y porque cualquier interrupción presiona al gobierno para resolver rápido.

Comprometen a Onamae Desktop Cloud: hasta 27,000 servidores con malware

Unos atacantes comprometieron la infraestructura de Onamae Desktop Cloud, un proveedor de VPS muy popular en Japón, e instalaron malware en hasta 26,739 servidores de sus clientes ^[9].

Comentario del editor: Este caso muestra el riesgo de depender de un solo proveedor: un cliente puede tener su servidor bien configurado y aun así quedar comprometido porque atacaron al proveedor. Los contratos de nube y VPS deberían obligar al proveedor a notificar cualquier incidente.

Operación Serengeti III desarticula casi 11,000 redes criminales en África

En la Operación Serengeti III, autoridades de varios países desarticularon cerca de 11,000 redes de cibercrimen y detuvieron a más de 1,400 personas. La operación se enfocó en fraudes de compromiso de correo empresarial (BEC), ransomware y estafas en línea ^[10].

Lazarus usa criptografía poscuántica para entregar malware

Investigadores reportan que el grupo norcoreano Lazarus usa un mecanismo criptográfico poscuántico para proteger la entrega de sus cargas maliciosas. Lo hace en nuevas operaciones que combinan malware antiguo con malware nuevo ^[11].

Referencias