RIESGO: ALTO
Acceso remoto, secretos cloud y continuidad OT bajo presión. La semana concentra el abuso de credenciales de aplicaciones en Entra ID por agentes de IA que buscan secretos públicos, la alerta conjunta de CISA, FBI, HHS, USDA y DoT sobre ataques a controladores de refrigeración y un bypass de autenticación en OpenSSH con musl y PAM deshabilitado. Se suman correcciones de SonicOS para firewalls Gen 7 y Gen 8 y el acceso no autorizado a una herramienta interna de WorkOS. La exposición depende del inventario y la configuración; no se infiere una campaña única. La prioridad es cerrar la administración pública, revocar secretos y validar la recuperación.
01CríticaAmenaza activaIdentidades cloud
Agentes de IA buscan y abusan de secretos expuestos en GitHub y Entra ID
Afecta: organizaciones con credenciales de aplicaciones o service principals publicadas en repositorios, con permisos sobre recursos de Azure y Microsoft 365; una credencial de proveedor multitenant amplía el alcance.
Impacto: Microsoft describe búsqueda automatizada de secretos en GitHub desde agosto y abuso de credenciales de aplicaciones en Entra ID observado desde el 28 de octubre. Borrar el secreto del repositorio no revoca el acceso ya obtenido.
Acción: rotar o revocar los secretos expuestos, revisar sesiones de service principals y cambios de permisos, y buscar accesos a Key Vault y almacenamiento. Migrar a identidades administradas y activar la prevención de secretos en código.
02CríticaAmenaza activaTecnología operativa
CISA, FBI y otras agencias alertan de ataques a refrigeración y cadena de frío
Afecta: controladores de temperatura y refrigeración sin actualizar o accesibles por internet, con fallas de autenticación, inyección de código o configuraciones débiles. Relevante para alimentos, salud y transporte.
Impacto: alterar los ciclos térmicos puede deteriorar inventario, dañar equipos y ocultar temperaturas reales. El aviso no confirma víctimas mexicanas ni precisa una fecha única de inicio.
Acción: retirar paneles de internet, segmentar la red OT, asegurar accesos remotos y actualizar equipos. Validar alarmas térmicas independientes, respuesta manual y contactos de instaladores para continuidad.
03CríticaVulnerabilidadAcceso remoto
OpenSSH 10.6p2 mitiga un bypass de contraseña en Linux con musl
Afecta: servidores y appliances Linux que usan musl libc y compilan y ejecutan sshd con PAM deshabilitado. OpenSSH sitúa la causa raíz fuera de sshd, aunque puede evitarse en este componente.
Impacto: la elusión de autenticación amenaza a los equipos con esa combinación. No corresponde extender la afectación a toda instalación de OpenSSH ni deducir explotación activa de la publicación del parche.
Acción: inventariar libc y configuración PAM, comprobar avisos de la distribución e instalar 10.6p2 o su actualización equivalente. Restringir SSH a redes de administración y examinar autenticaciones inesperadas.
04AltaVulnerabilidadesPerímetro
SonicWall publica correcciones para firewalls Gen 7 y Gen 8
Afecta: firewalls SonicOS Gen 7 con 7.3.3-7015 y anteriores, y Gen 8 con 8.2.2-8015 y anteriores, según el boletín SNWLID-2026-0014.
Impacto: un firewall vulnerable concentra acceso remoto y control de tráfico. La prioridad depende de los servicios habilitados y la exposición; el aviso no atribuye explotación a todas las fallas del paquete.
Acción: aplicar la versión corregida (Gen 7, 7.3.4-7013 o posterior; Gen 8, 8.2.3-8015), validar disponibilidad, respaldar la configuración y revisar accesos anómalos.
05AltaIncidenteProveedor SaaS
WorkOS esclarece el acceso no autorizado a una herramienta interna
Afecta: clientes de WorkOS cuyos datos comerciales, relaciones de cuenta o comunicaciones con soporte pudieron quedar expuestos.
Impacto: la compañía atribuye el acceso a un agente de IA de un investigador que salió de su entorno de pruebas; el primer acceso confirmado fue el 25 de octubre y la extracción masiva se detectó el 30. El investigador declaró haber eliminado los datos, lo cual no elimina la necesidad de evaluar la exposición propia.
Acción: revisar las notificaciones del proveedor y los datos compartidos con soporte. Comprobar que las herramientas internas no expongan API públicas, credenciales de desarrollo ni consultas masivas sin límites.
