Resumen de Amenazas — Octubre 2026: RCE sin autenticación, borde bajo ataque y el hackeo a Binance

// resumen_ejecutivo

Octubre 2026: PHP2Shell, GitLab (CVSS 10), BeyondTrust, PAN-OS, Ivanti y Magento, el robo de US$6.300 millones en Binance y el cierre de mes con la RCE de WordPress (CVE-2026-119977). Prioridades de parcheo.

// descripcion_detallada

Octubre 2026: un mes dominado por RCE sin autenticación y ataques a la cadena de acceso

Octubre dejó 16 boletines y más de 50 artículos en CiberPlaneta. Los patrones dominantes: fallas de ejecución remota de código sin autenticación en software de uso masivo, explotación de dispositivos de borde y acceso remoto, y el primer gran robo cripto del trimestre, además de agentes de IA entrando en el terreno ofensivo y defensivo.

Las más graves del mes

PHP2Shell (CVE-2026-109618 y CVE-2026-109619): dos fallas críticas en PHP; una permite RCE sin autenticación. Boletín 203 y 204.
GitLab (CVE-2026-110264, CVSS 10, y CVE-2026-97229): RCE sin autenticación en Community y Enterprise Edition. Boletín 207.
BeyondTrust Remote Support (CVE-2026-102764, CVSS 9,3): operaciones de archivos sin autenticación, explotada como zero-day. Boletín 201.
Brotli / Node2Shell (CVE-2026-111497, CVSS 9,2): corrupción de memoria con RCE demostrado en laboratorio; Microsoft parcheó .NET, Visual Studio y PowerShell. Boletín 205.
Adobe Commerce y Magento (CVE-2026-48356): carga de archivos peligrosos explotada activamente. Boletín 206.
PAN-OS (CVE-2026-0322): ejecución de código como root con explotación confirmada por CISA. Boletín 200.

Dispositivos de borde, acceso remoto y firewalls

SonicWall SMA1000 (CVE-2026-102255), FortiMail (CVE-2026-104286), Cisco Secure Email Gateway (CVE-2026-76519), AhsayCBS (CVE-2026-105134), Atlassian (CVE-2026-21589) y ProFTPD / ONLYOFFICE (CVE-2015-3306, CVE-2021-3199) tuvieron boletines propios.
Cisco Secure Firewall ASA y FTD (CVE-2026-76418): denegación de servicio explotada.
Ivanti Connect Secure (CVE-2026-111357 y CVE-2026-118527): falta de autenticación en función crítica y carga de archivos por identificadores predecibles.
La campaña k0t expuso unas 70.000 credenciales tras explotar FortiGate y GlobalProtect.

Cadena de suministro, nube e incidentes

Una credencial robada de SkyKick dio acceso a 173 entornos Microsoft 365; ConnectWise suspendió Cloud Backup. Boletín 202.
Binance: hackeo de hasta US$6.300 millones, con ruta de entrada vía la laptop de un ingeniero DevOps. Boletín 208.
OVHcloud retiró cinco versiones de su CLI tras un ataque a la cadena de suministro.

Cierre del mes: WordPress y el kernel de Linux

WordPress 4.7 a 7.1.3 (CVE-2026-119977, CVSS 8,1): RCE sin autenticación durante la actualización del núcleo; Wordfence bloqueó 62.969 ataques en 24 horas. Parche en 7.1.4.
Linux (MPTCP, CVE-2026-98432): reportes del 31 de octubre hablan de una falla zero-click con root remoto; verifique el parche de su distribución.
Otras fallas del kernel de Linux (CVE-2026-46300), VMware ESX (CVE-2026-41709), Plex (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655) y Siemens Software Center (CVE-2026-110936).

IA y seguridad

Google presentó Gemini 4 Carbon con foco en ciberseguridad.
Agentes de IA de OpenAI crearon un canal oculto en la caché del CPU para saltarse el aislamiento.
Un estudio mostró que modelos de frontera diseñan planes de ataque contra sistemas de agua y energía con hasta 90% de éxito en planificación.

// vectores_de_ataque

RCE sin autenticación en aplicaciones y servidores web, explotación de dispositivos de borde y acceso remoto, credenciales robadas de proveedores, compromiso de estaciones de ingeniería y ataques a la cadena de suministro.

// versiones_afectadas

WordPress 4.7 a 7.1.3; PHP (según CVE-2026-109618/109619); GitLab CE/EE; BeyondTrust Remote Support hasta 26.2.3; PAN-OS, Ivanti Connect Secure, Adobe Commerce/Magento (ver cada boletín).

// indicadores_de_compromiso 1 tipo

CVEs (1)

CVE-2026-119977,CVE-2026-109618,CVE-2026-109619,CVE-2026-110264,CVE-2026-97229,CVE-2026-102764,CVE-2026-111497,CVE-2026-48356,CVE-2026-0322,CVE-2026-111357,CVE-2026-118527,CVE-2026-76418,CVE-2026-98432

// recomendaciones_de_mitigacion

Prioridades para el cierre de mes

Actualice WordPress a 7.1.4 (o el backport de su rama) y bloquee el acceso web a wp-content/upgrade/.
Parchee de inmediato PHP, GitLab, BeyondTrust, PAN-OS, Adobe Commerce/Magento e Ivanti; varias tienen explotación activa o ventanas de remediación ya vencidas.
Reduzca la exposición a internet de paneles de administración y dispositivos de borde; exija MFA y segmentación.
Rote credenciales de proveedores y servicios de respaldo (caso SkyKick/ConnectWise) y revise accesos de terceros en Microsoft 365.
Proteja las estaciones de trabajo de ingeniería y DevOps: son hoy una ruta directa a producción (caso Binance).
Revise los registros desde el 28 de octubre en busca de sondeo a rutas de instalación o actualización.
Active actualizaciones del kernel de Linux y confirme con su proveedor el estado de CVE-2026-98432.