RIESGO: ALTO
Perímetro, estaciones de desarrollo e identidad privilegiada bajo presión. La semana concentra la explotación confirmada de Cisco ASA y FTD (CVE-2026-76418, en CISA KEV), una distribución maliciosa de una extensión suplantada de Claude Code servida por Cursor con persistencia SSH, y dos intrusiones que pasaron de la suplantación de soporte por Teams al abuso de AD CS (ESC1/ESC8). Se suman la explotación previa como zero-day de VMware ESXi (CVE-2026-41709) reportada por CrowdStrike y la campaña de VAPOR PANDA con ARTEX contra cancillerías latinoamericanas. La prioridad es contener exposición y persistencia, verificar identidades y probar continuidad.
01CríticaExplotación activaSSL VPN / perímetro
Cisco ASA y FTD: CVE-2026-76418 explotada y añadida a CISA KEV
Afecta: dispositivos Cisco ASA y FTD con SSL VPN alcanzable desde Internet y autenticación secundaria configurada en el ámbito vulnerable.
Impacto: una solicitud sin autenticación puede reiniciar el dispositivo y cortar la conectividad. Cisco confirmó explotación durante octubre; el aviso no describe ejecución remota de código.
Acción: cruzar versión y configuración con Cisco Software Checker, actualizar y revisar reinicios no explicados. No retirar la autenticación secundaria sin evaluar la reducción de protección.
02CríticaCadena de suministroEstaciones de desarrollo
Cursor: extensión suplantada de Claude Code instala persistencia SSH
Afecta: equipos de desarrollo que instalaron desde Cursor los paquetes alterados 2.1.312 y 2.1.313 el 29 de octubre. Visual Studio Marketplace y npm no estuvieron afectados.
Impacto: el código intenta añadir claves SSH, abrir túneles y persistir; el éxito del acceso depende de privilegios y configuración del host. Anthropic negó compromiso de sus sistemas.
Acción: localizar las instalaciones desde Cursor, preservar evidencias, retirar persistencia y claves ajenas, y rotar secretos según la exposición investigada. Desinstalar la extensión por sí solo puede dejar artefactos.
03CríticaIdentidadIngeniería social
Suplantación de soporte por Teams: del acceso remoto al abuso de AD CS
Afecta: organizaciones con Active Directory Certificate Services con plantillas o inscripción web vulnerables a ESC1 o ESC8, y con exclusiones en la contención de cuentas privilegiadas.
Impacto: dos intrusiones comenzaron con contactos por Teams y sesiones remotas autorizadas por engaño. Los certificados para identidades privilegiadas pueden sostener el acceso aun tras cambiar contraseñas. No es una vulnerabilidad de Teams.
Acción: auditar plantillas, inscripción web y protección frente a relay; revisar certificados emitidos y exclusiones de contención; revocar los indebidos tras preservar evidencia.
04AltaZero-dayVirtualización
VMware ESXi: CrowdStrike revela la explotación previa como zero-day de CVE-2026-41709
Afecta: entornos con VMware ESXi, en especial despachos y clientes del sector legal que protegen información jurídica sensible.
Impacto: CrowdStrike atribuye a WARP PANDA la explotación de este bypass de registro, incluso a principios de 2026. El hallazgo afecta la confianza en los registros del hipervisor; no describe un incidente ocurrido esta semana.
Acción: verificar los avisos de Broadcom por versión, conservar telemetría externa de vCenter y revisar accesos administrativos y herramientas RMM.
05AltaEspionajeLatinoamérica
VAPOR PANDA: espionaje con ARTEX alcanza ministerios latinoamericanos
Afecta: organizaciones con exposición pública y cuentas susceptibles de password spraying; la campaña, iniciada el 17 de octubre, apuntó a más de 200 organizaciones.
Impacto: CrowdStrike confirma actividad posterior al acceso en nueve, lo que no equivale a 200 compromisos. Describe intrusiones en cancillerías latinoamericanas y uso de agentes para operaciones paralelas; no identifica aquí un incidente mexicano.
Acción: revisar exposición pública, password spraying y trazas de reconocimiento, y correlacionar hallazgos con los indicadores publicados antes de atribuir actividad propia.
