Actualizaciones de registros y avisos revisadas en esta ocasión · 23
15:30 JST (publicación en GHSA)
Paquetes npm 2: minería durante la instalación
Los avisos de malware de GitHub describen programas de minería y mecanismos de persistencia ejecutados mediante postinstall en dsh-plugin-blender-3d 0.2.1 y @walknpm/todo-cli 2.0.1. El comportamiento varía según se disponga de root o de sudo sin contraseña. Esto no significa que todos los paquetes npm ni Blender hayan sido comprometidos.
Qué comprobar: Revise el historial de instalación de las versiones afectadas. Si ya se ejecutaron, aísle el entorno, investigue la persistencia, las comunicaciones externas y el acceso a credenciales, y revoque las claves necesarias desde un entorno seguro.
Fuentes primarias y referencias: GitHub malware勧告 / GitHub malware勧告 / OpenSSF原記録
16:33 JST (publicación en GHSA)
@worca/app: aviso de malware para las versiones RC afectadas
GitHub clasifica @worca/app 1.14.0-rc.2 / 1.14.0-rc.4 como malware y recomienda tratar como comprometidos los equipos donde se hayan ejecutado o instalado. Los registros públicos no indican un número concreto de organizaciones afectadas ni cuándo comenzó la intrusión.
Qué comprobar: Aísle e investigue los entornos donde se hayan instalado las versiones afectadas. Renueve las claves y los secretos desde otro equipo seguro y no dé por terminada la recuperación solo por eliminar el paquete.
Fuentes primarias y referencias: GitHub malware勧告
18:31 JST (publicación en GHSA)
Familia publish-poc de npm: permisos de publicación del entorno de instalación
Se informa de que la versión 7 afectada de publish-poc-test3 intenta publicar mediante postinstall utilizando la autenticación npm del entorno. publish-poc-base 1.0.7 prepara un archivo temporal con fragmentos del README y credenciales, pero se explica que esa versión lo elimina antes de publicar o comunicarse. No contabilice ambos casos como envíos externos completados.
Qué comprobar: Revise las versiones afectadas, los registros de instalación en CI y el historial de publicaciones npm. Si encuentra publicaciones sospechosas, revoque los tokens correspondientes y revise las dependencias y los permisos de publicación.
Fuentes primarias y referencias: test3勧告 / base勧告 / OpenSSF原記録
21:30 JST (publicación en GHSA)
netweavex de PyPI: obtención de código remoto al importar
Las versiones afectadas son netweavex 1.1.0 / 1.1.1 / 1.1.2. El análisis original describe la copia de un paquete legítimo, la ofuscación y la obtención y ejecución de código desde GitHub al importar. También indica que el destino de descarga era un marcador de posición durante el análisis, por lo que no confirma que se lograra un robo concreto de información.
Qué comprobar: Revise el historial de instalación sin ejecutar las versiones afectadas. Si ya se ejecutaron, investigue las comunicaciones externas y el historial de ejecución, y revoque secretos o reconstruya el entorno según la exposición detectada.
Fuentes primarias y referencias: GitHub malware勧告 / OpenSSF原記録
18:31 JST (publicación en GHSA)
2 casos en PyPI: envío de información básica del equipo y clasificación del análisis
Se registra que zagents-framework 6.25.30.10b5 / 99.25.30.10b5 y changes-lxc-wrapper 0.0.0 / 0.1.0 envían información básica del equipo durante la instalación o importación. GitHub los clasifica como malware, mientras que el análisis original utiliza PROBABLY_PENTEST. No los equipare a un incidente de robo masivo de credenciales.
Qué comprobar: Confirme la finalidad de uso y la vía de instalación, y retire los paquetes afectados que no sean necesarios. Si ya se ejecutaron, investigue los destinos de envío y el impacto real.
Fuentes primarias y referencias: zagents勧告 / changes-lxc-wrapper勧告 / OpenSSF原記録
14:58 JST (aviso del desarrollador), 21:17 JST (incorporación a NVD)
Frappe Builder: SSRF en la obtención de imágenes y permisos de uso de IA
El desarrollador publicó 3 avisos el 14:58 JST. Abarcan el control del destino de obtención de imágenes por usuarios autenticados, el acceso a destinos internos mediante redirecciones y nuevas resoluciones DNS, y la falta de autorización adecuada en improve_prompt, que utiliza una clave del proveedor de IA. No se trata de un compromiso de todos los servidores por cualquier usuario no autenticado.
Qué comprobar: Compruebe los requisitos de Builder 1.36.1 o posterior y Frappe v16.36.1 o posterior. Revise los destinos de obtención de imágenes, los archivos guardados públicamente y los registros de uso de IA. Si no puede actualizar, valore restringir las API afectadas y retirar temporalmente la clave de IA.
Fuentes primarias y referencias: 画像取得勧告 / AI利用権限勧告 / redirect対策勧告
18:16 JST (incorporación a NVD)
MISP Guard: revise la evaluación de las políticas de intercambio
CVE-2026-116372 permite eludir los filtros de distribución mediante respuestas satisfactorias distintas de 200; 116469 permite hacerlo por diferencias entre mayúsculas y minúsculas en etiquetas, category y UUID de sharing group. El desarrollador abordó estos problemas mediante commits del 16:53 / 18:25 JST. Esto no confirma un compromiso de todo MISP ni la filtración de todos los datos de los feeds.
Qué comprobar: Compruebe que el código en ejecución incluya ambas correcciones y revise los permisos, como TLP, y el historial de distribución. En esta revisión no se ha determinado el número mínimo de versión distribuida que contiene las correcciones.
Fuentes primarias y referencias: 成功応答の修正 / 大文字小文字の修正
20:16 JST (incorporación a NVD)
SAML de Mendix: reutilización de respuestas iniciadas por el IdP
CVE-2026-89209 es una omisión de autenticación que requiere reutilizar una respuesta SAML válida en SSO iniciado por el IdP. Afecta al módulo para Mendix 9 anterior a 3.6.29 y al de 10/11 anterior a 4.2.4. No se indica que baste con crear una respuesta SAML arbitraria.
Qué comprobar: Actualice el módulo SAML utilizado a 3.6.29 o a 4.2.4 o posterior, según corresponda. Si no puede actualizar de inmediato, consulte las instrucciones del desarrollador para desactivar el SSO iniciado por el IdP.
Fuentes primarias y referencias: Siemens公式勧告
20:16 JST (incorporación a NVD)
Otros casos de WordPress: compruebe los permisos y las versiones corregidas de cada producto
Las fuentes originales confirman que la inyección SQL en JetEngine 3.9.0 y versiones anteriores requiere el rol Contributor; la inyección SQL en Media Library Assistant 3.42 y versiones anteriores, el rol Author; y la autorización insuficiente en AI Engine 3.8.6 y versiones anteriores, el rol Contributor. No se consideran todos los registros, incluidos los de XSS y CSRF, como RCE sin autenticación ni como explotación real.
Qué comprobar: Compruebe JetEngine 3.9.0.1, Media Library Assistant 3.43 y AI Engine 3.8.7 o posteriores, y revise los permisos de los colaboradores y los plugins utilizados. Para los demás registros, consulte las correcciones de cada producto a través del índice de NVD.
Fuentes primarias y referencias: JetEngine原報告 / Media Library Assistant原報告 / AI Engine原報告
20:16 JST (incorporación a NVD)
libimobiledevice: respuestas de protocolo del dispositivo conectado
CVE-2026-116258 a 116262 son registros de la CNA sobre el manejo de memoria en AFC, Web Inspector y otros componentes hasta 1.4.0. device info también incluye elementos con condiciones locales. Se revisó el código oficial, pero no se pudieron obtener los detalles del sitio del investigador por su visualización dinámica; siguen sin determinarse todas las condiciones de conexión, emparejamiento y demás, así como la primera versión corregida.
Qué comprobar: Revise las herramientas de gestión de dispositivos utilizadas, las versiones que incorporan y los dispositivos en los que confía al conectarlos. No interprete que cualquier iPhone pueda quedar comprometido por visitar una página web; aísle el procesamiento de dispositivos y respuestas de protocolo sospechosos.
Fuentes primarias y referencias: CVE-2026-116258 / CVE-2026-116262 / 公式AFCコード / 研究者サイト・本文制限
16:17 JST (incorporación a NVD)
libgsf: comprobación de límites al analizar archivos OLE2
CVE-2026-116124 es un registro de la CNA sobre el analizador OLE2 hasta 1.14.60. En el mirror oficial de GNOME se confirmaron commits de corrección de escrituras fuera de límites del 9/26. Aunque la página original de GitLab devolvió una respuesta HTTP satisfactoria, mostraba una pantalla de verificación y no se pudo leer su contenido. No es una corrección nueva de esta revisión y no se ha determinado la primera versión distribuida que la incluye.
Qué comprobar: Haga inventario de las copias de libgsf incluidas en los procesos de análisis y conversión de documentos, y compruebe qué distribuciones contienen la corrección. Restrinja el entorno de procesamiento y los permisos al tratar documentos OLE2 no confiables.
Fuentes primarias y referencias: CVE-2026-116124 / GNOME公式mirrorの修正
21:17 JST (incorporación a NVD)
Qt: interrupción causada por un destino HTTP/2 malicioso
CVE-2026-96432 es un problema por el que QNetworkAccessManager deja de funcionar al procesar secuencias de respuestas de un servidor HTTP/2 malicioso o comprometido. La tabla oficial señala como afectadas las versiones 6.8.0 a 6.8.9 y 6.9.0 a 6.11.2. No confirma ejecución de código desde las aplicaciones que lo utilizan ni un compromiso de todos los productos Qt.
Qué comprobar: Compruebe las ramas aplicables, como Qt 6.8.10 / 6.11.3, y actualice las aplicaciones o las bibliotecas incorporadas. Revise también el control de los destinos de conexión y la supervisión de reinicios.
Fuentes primarias y referencias: Qt公式脆弱性一覧 / Qt修正
19:16 JST (incorporación a NVD)
BRAIN2: credenciales de servicio en los registros de instalación
CVE-2026-112250 es un problema de BRAIN2 3.09 y versiones anteriores: al combinar SQL Server Integrated Security con la especificación de una cuenta de servicio de Windows, la contraseña queda en texto sin cifrar en el registro de instalación. El registro suele estar en el directorio temporal del administrador que realizó la instalación; no se describe como accesible incondicionalmente para usuarios estándar.
Qué comprobar: Actualice a 3.10 o posterior y compruebe la eliminación segura de los registros de instalación afectados y sus permisos de acceso. Cambie las credenciales de las cuentas de servicio cuya exposición se sospeche.
Fuentes primarias y referencias: Bizerba公式勧告PDF
21:17 JST (incorporación a NVD)
Carga de imágenes: archivos temporales y permisos de eliminación
PictShare CVE-2026-116263 presenta una condición de carrera por nombres predecibles de archivos temporales que permite sustituir el contenido después de su comprobación. Se confirmaron las correcciones del 10/18 y la etiqueta v3.7.2, pero la API de versiones de GitHub devolvió 404. EasyImage CVE-2026-116223 presenta un problema de permisos de eliminación; se confirmaron commits de refuerzo relacionados del 10/24. Las condiciones de ambos productos son distintas.
Qué comprobar: Para PictShare, compruebe la etiqueta equivalente a 3.7.2 y la inclusión de las correcciones; para EasyImage, las correcciones correspondientes y la configuración de autenticación y almacenamiento. No deduzca un número arbitrario como nueva versión mínima corregida.
Fuentes primarias y referencias: PictShare修正 / PictShare v3.7.2タグ / EasyImage関連修正
16:17 JST (incorporación a NVD)
agent-teams-ai: límites del servicio HTTP local
CVE-2026-116228 es un registro de la CNA sobre autenticación insuficiente en Local HTTP Service hasta 2.17.10. En el código oficial se comprobó el tratamiento predeterminado del origen localhost, las condiciones CORS que pueden ampliarse mediante configuración y la escucha en el host indicado. No se ha verificado que una página web externa pueda comprometerlo incondicionalmente con cualquier configuración.
Qué comprobar: Revise la dirección de escucha del servicio HTTP local, CORS_ORIGIN y los permisos del usuario que lo ejecuta y de los usuarios locales. No se ha determinado la primera versión corregida.
Fuentes primarias y referencias: CVE-2026-116228 / 公式HTTPコード
17:17 JST (incorporación a NVD)
Herramientas auxiliares de juegos y escritorio: procesamiento de entradas externas
FFXIV Teamcraft CVE-2026-116229 afecta al IPC del portapapeles en el renderer; Plague Inc Evolved CVE-2026-116230, a la deserialización de escenarios de Workshop. Teamcraft 11.4.32 se publicó el 10/13, por lo que no es una corrección nueva de esta noche. Evite generalizarlo a todo el juego o a la mera navegación habitual.
Qué comprobar: Contraste las indicaciones de corrección, como las de Teamcraft 11.4.32 y Plague Inc Evolved 1.24.0.4, con su entorno, y restrinja los escenarios y las entradas del renderer no confiables.
Fuentes primarias y referencias: Teamcraft公式release / Plague Inc公式更新 / CVE-2026-116230
16:25 / 18:00 JST (feeds oficiales)
JPCERT/CC: actualización sobre PHP y aviso japonés sobre Brotli
El 16:25 JST, JPCERT/CC añadió información sobre la demostración de PHP, las condiciones dependientes del entorno y la mitigación mediante upload progress, y publicó un aviso sobre Brotli. JVN también incluyó Brotli el 18:00. Se trata de una actualización de las explicaciones para Japón, no de nuevos CVE distintos de PHP o Brotli.
Qué comprobar: Para PHP, continúe con la actualización a versiones corregidas y la investigación de posibles compromisos, y compruebe la aplicación de session.upload_progress.enabled=0 a CVE-2026-115560 y el reinicio de todos los workers. Para Brotli, contraste las correcciones por rama 1.0.10 / 1.1.1 / 1.2.1 y las indicaciones de los productos que lo incorporan.
Fuentes primarias y referencias: JPCERT PHP / JPCERT Brotli / JVN Brotli
17:17 a 19:16 JST (incorporación a NVD)
Oray X5 Pro: saltos de línea y procesamiento de archivos desde valores de configuración
CVE-2026-116231 a 116237 son registros de la CNA sobre el procesamiento de configuraciones de Ser2net, SNMP, Dnsmasq, IPsec, L2TP, PPPoE y otros componentes en Pugongying X5 Pro 7.6.1. No generalice la inyección de saltos de línea y la carga de archivos como intrusiones externas sin autenticación: es necesario comprobar además el acceso a las operaciones administrativas y las condiciones de permisos.
Qué comprobar: Revise el modelo y el firmware, el alcance de exposición de la interfaz de administración y el historial de cambios de configuración. Como no se ha determinado la primera versión corregida, consulte las indicaciones del proveedor y las restricciones de acceso administrativo innecesario.
Fuentes primarias y referencias: CNA/NVD / CNA/NVD
21:17 JST (incorporación a NVD)
Logsign SIEM / Liman MYS: vías de administración de cada producto
La CNA registra por separado un recorrido de rutas en Logsign SIEM desde 6.4.120 hasta versiones anteriores a 6.4.122, y un problema de recuperación de contraseñas en Liman MYS desde 2.3.4-1124 hasta versiones anteriores a 2.3.5-1131. No se pudo obtener el texto de la notificación original del organismo nacional por su visualización dinámica, por lo que en esta revisión no se confirmaron de forma independiente las condiciones ni la explotación real.
Qué comprobar: Contraste las indicaciones de los distribuidores, como las de Logsign 6.4.122 y Liman 2.3.5-1131, con la rama utilizada, y revise la exposición de las vías administrativas, los procedimientos de recuperación y los registros relacionados.
Fuentes primarias y referencias: Logsign CNA/NVD / Liman CNA/NVD / トルコ当局・本文取得制限
21:00 JST (hora de referencia del comunicado 6)
GMO: además de todas las sesiones, revise los servicios vinculados y la sincronización del navegador
Se recomienda cerrar las sesiones de todos los dispositivos desde otro equipo seguro, cambiar las contraseñas de FX, valores, correo, Google y otros servicios, y activar MFA. Se añade la eliminación de aplicaciones vinculadas, reglas de reenvío, extensiones y dispositivos registrados que no se reconozcan, así como mantener desactivada la sincronización del navegador hasta terminar la revisión. No se ha confirmado la infección de todos los dispositivos conectados.
Qué comprobar: Confirme las indicaciones por los canales oficiales y revise la revocación de todas las sesiones y los métodos de autenticación y vínculos añadidos. Realice un análisis completo y una copia de seguridad desconectada; para la investigación opcional del PC, compruebe el alcance del documento de confirmación previa.
Fuentes primarias y referencias: GMO第6報
17:00 JST (actualización indicada por el operador)
Blastmail: se añaden 345 contratos; la hora de reanudación sigue sin determinarse
La investigación externa confirmó nuevas filtraciones de información distinta de los datos de los contratantes en 1 contratos. Se indica un total de 345 contratos y que se completó el contacto individual con 345 contratos. No significa que se hayan filtrado datos de 345 personas ni de todos los destinatarios. El panel de administración, la API y los envíos siguen suspendidos; el próximo informe está previsto para el 10/27 hacia las 12:00.
Qué comprobar: Contraste la información afectada de cada contrato con el aviso más reciente y mantenga las alternativas de envío, la atención de consultas y la precaución ante correos falsos. No interprete la finalización de las notificaciones como el fin de la investigación ni como autorización para reanudar el servicio.
Fuentes primarias y referencias: 運営元17:00更新
15:37:47 JST (metadatos de actualización de la página)
Hotel Tavinos: precaución también con enlaces de pago enviados por alguien que conoce su reserva
Se detectaron mensajes sospechosos en algunas reservas de 3 establecimientos de Hamamatsucho, Asakusa y Kioto que cumplen ambas condiciones: haberse formalizado hasta el 9/21 y tener fecha de estancia a partir del 9/21. Se explica la posibilidad de que se haya consultado y obtenido información de reservas a través de TEMAIRAZU. No se confirma la filtración de todas las reservas ni una nueva intrusión a esta hora.
Qué comprobar: Aunque quien contacte conozca los detalles de la reserva, no introduzca datos ni envíe dinero mediante las URL del mensaje; verifíquelo por los canales oficiales del establecimiento o del sitio de reservas. Si ya introdujo datos de tarjeta, consulte con su entidad emisora.
Fuentes primarias y referencias: ホテル公式続報
Ampliación de medidas y condiciones de casos existentes · 12
14:32 JST (aviso del desarrollador), 17:17 JST (incorporación a NVD)
Ash: límites entre inquilinos en upsert
El aviso del desarrollador sobre CVE-2026-96581 se publicó el 14:32 JST, antes del punto de corte anterior. Describe las condiciones que permiten actualizar u obtener registros de otros inquilinos mediante una acción create con upsert que acepta claves primarias u otros atributos, cuando se utiliza multitenencia por atributos. No todas las acciones create ni todas las aplicaciones Ash tienen esa configuración.
Qué comprobar: Compruebe Ash 3.37.2 o posterior y revise los upsert entre inquilinos y el historial de traslado de registros. Tenga también en cuenta la excepción de que la medida provisional upsert_condition no funciona con Mnesia.
Fuentes primarias y referencias: 開発元勧告
Publicación el 10/22, incorporación a NVD el 10/26
Apache Camel: Docling sigue necesitando configuración tras actualizar
Se ha complementado la información de 5 avisos publicados el 10/22 con motivo de su incorporación a NVD. Las rutas de entrada y salida de Docling, la caducidad de los resultados de introspección de Keycloak, la evaluación de expresiones en nombres de objetos de AWS2-S3 y la divulgación de información de errores en CoAP tienen condiciones diferentes. El problema de Keycloak requiere activar la introspección de tokens, que no está habilitada de forma predeterminada.
Qué comprobar: Actualice a 4.18.5 / 4.22.2 / 4.23.0, entre otras versiones aplicables. En las rutas que permiten especificar el destino de salida de Docling mediante entradas externas, configure outputBaseDirectory incluso después de actualizar. Revise el tratamiento de la cabecera S3 y de los tokens caducados.
Fuentes primarias y referencias: Docling出力先 / Docling引数 / Keycloak期限 / S3式評価 / CoAPエラー
Avisos del 9/21, incorporación a NVD el 10/26
SOEM: respuestas de dispositivos en la misma red EtherCAT
La documentación de RT-Labs del 9/21 describe 6 problemas en SOEM 2.0.0 y versiones anteriores. Requieren que un dispositivo EtherCAT malicioso o comprometido envíe respuestas inválidas al maestro. La validación insuficiente de longitudes, cantidades acumuladas e índices de matrices, entre otros valores, puede causar corrupción de memoria, divulgación de información o interrupciones. El mero acceso desde Internet no basta para que se produzcan.
Qué comprobar: Confirme con el proveedor del producto la integración de SOEM 2.0.1 o posterior. Revise la incorporación de dispositivos al segmento EtherCAT, las conexiones de mantenimiento y los privilegios del maestro, y actualice siguiendo los procedimientos de parada de las instalaciones y el plan de validación.
Fuentes primarias y referencias: RT-Labs原勧告PDF
Publicación de los informes originales el 10/23, 16:17 JST (incorporación a NVD)
Integraciones de pago de WooCommerce: notificaciones de cobro y estado de los pedidos
Se ha complementado la información de 6 casos publicados el 10/23 con motivo de su incorporación a NVD. En los plugins individuales de CCAvenue, nexi Alpha Bank, Eurobank, iKhokha, OPay y Mintpay, los problemas de autenticidad de las notificaciones o el secreto vacío predeterminado permiten cambiar estados a pagado, cancelado u otros. No se trata de un compromiso de los propios bancos ni de WooCommerce.
Qué comprobar: Para iKhokha, compruebe la versión 3.0.4 o posterior. Para los otros 5 casos, las fuentes originales indican que no se conoce una versión corregida, por lo que conviene valorar suspender o sustituir las integraciones afectadas y conciliar los cobros con los registros del proveedor de pagos.
Fuentes primarias y referencias: CCAvenue原報告 / nexi Alpha Bank原報告 / Eurobank原報告 / iKhokha原報告 / OPay原報告 / Mintpay原報告
Publicación del desarrollador el 10/23, incorporación a NVD el 10/26
Pleasanter: nueva comprobación del problema ya comunicado de autenticación LDAP
Con motivo de la incorporación de CVE-2026-113438 a NVD, se revisaron las explicaciones del desarrollador del 10/23. Afecta a configuraciones de autenticación LDAP que combinan Linux/Docker o el proveedor Novell de Windows con AD o un LDAP que permite bind anónimo. No es una omisión de autenticación para todos los usuarios, incluidos los de autenticación local, SAML o claves de acceso.
Qué comprobar: En las configuraciones afectadas, actualice a 1.5.9.1 o posterior. Compruebe que 1.5.9.0 no incluye la corrección y que, en LDAP+Local, los afectados son los usuarios de LDAP.
Fuentes primarias y referencias: 開発元説明
13:00 JST (información de JVN ya comunicada), 16:17 JST (incorporación a NVD)
V-SFT: incorporación a NVD de 7 casos ya comunicados
CVE-2026-107894 a 107900 corresponden a 7 casos ya incluidos anteriormente como información de JVN. Su incorporación ahora a NVD no significa que haya nuevos incidentes de 7 ni 7 nuevos casos de explotación real. Sigue siendo necesario abrir un archivo manipulado de formato V7 en el equipo de diseño.
Qué comprobar: Revise el uso de 6.2.11.0 y versiones anteriores y el manejo de archivos de diseño externos, y consulte la información de mejoras y los parches de 6.2.12.0.
Fuentes primarias y referencias: JVN一次勧告 / CVE-2026-107894
Observación y primera publicación el 10/24; última adición el 10/26 a las 11:28:31 JST
PHP2Shell: investigación primaria que observó ejecución en un honeypot limitado
El investigador correlacionó solicitudes HTTP con 35 ejecuciones de shell desde procesos hijos de Apache en 3 objetivos con PHP8.4.26, Apache mod_php de un solo worker y 128 MiB. La ejecución se produjo con UID33; no representa 35 víctimas ni obtención de root. Este artículo no realizó un nuevo análisis independiente de todos los PCAP ni ejecutó una PoC. Se mantiene por separado la retirada de la vinculación con la intrusión en organismos gubernamentales de Unit42.
Qué comprobar: Además de actualizar, investigue los procesos hijos, las comunicaciones y la creación de archivos sospechosos desde workers de PHP, junto con los registros HTTP anteriores y posteriores. No utilice únicamente errores 500 o cookies enormes para determinar si hubo éxito del ataque o ausencia de daños.
Fuentes primarias y referencias: 研究者一次報告 / 公開履歴 / 証拠索引と限界 / Unit42現行訂正
PR de reenvío SSH fusionado el 10/26 a las 12:08:59 JST. Cambio anterior o correspondiente a la revisión previa
Tailworm: distinga las correcciones del código de las versiones distribuidas y detenga los reenvíos innecesarios
El PR oficial 21942 cambia el reenvío en Unix para procesarlo con las credenciales del usuario local autenticado. El PR 21931 de Serve también está fusionado, pero las versiones estables más recientes son 1.104.2 y headscale0.29.6; en esta revisión sigue sin determinarse la primera versión que corrige Tailworm en su conjunto. El PR 21944 sobre políticas de conexión sigue abierto. No equipare una fusión en main con una corrección ya distribuida.
Qué comprobar: Para los reenvíos innecesarios, tras comprobar una vía alternativa de administración, consulte la medida provisional de configurar TS_SSH_DISABLE_FORWARDING=1 en el entorno del servicio tailscaled y reiniciarlo. No considere que check mode o esta opción por sí solos corrigen todos los aspectos de la investigación.
Fuentes primarias y referencias: ベンダー責任者の案内 / 公式転送PR21942 / 1.104.2公式flag実装 / 最新公式release一覧
Investigación primaria publicada el 10/22 a las 22:00 JST. Observaciones del 7/14 al 9/22
Microsoft 365: revise también MFA y los dispositivos registrados, además de las sesiones
Huntress informa de 497 inicios de sesión satisfactorios en 79 organizaciones, al menos 48 registros no autorizados de dispositivos Entra, sustitución de métodos MFA y reglas de bandeja de entrada. Distinga la reutilización de sesiones robadas de la persistencia posterior. Esta fuente no confirma 79 intrusiones de hoy ni una causa común con ConnectWise.
Qué comprobar: Además de revocar sesiones y cambiar contraseñas, investigue los dispositivos registrados, los métodos MFA, las reglas de bandeja de entrada y las nuevas aplicaciones empresariales y sus consentimientos, y elimine los elementos no autorizados. No determine la prioridad de respuesta únicamente por el número de intentos fallidos.
Fuentes primarias y referencias: Huntress一次研究
Investigación primaria publicada el 10/26 a las 02:55:33 JST. Observaciones desde el 9/15
Gheist: extracción de secretos mediante registros de GitHub
Wiz informa de más de 850 cuentas y más de 13,500 ramas sospechosas mediante tokens robados. El workflow escribe secretos en los registros y, tras recuperarlos mediante la API de GitHub, elimina la ejecución. Las ejecuciones públicas examinadas quedaron bloqueadas a la espera de aprobación, pero en entornos privados y Enterprise se observaron ejecuciones y operaciones posteriores. El número de ramas no equivale al de organizaciones afectadas.
Qué comprobar: Busque ramas ci-sync-, workflows sync-check, ejecuciones eliminadas en poco tiempo y asunción de roles en la nube. En los repositorios donde se ejecutaron, revoque y sustituya los tokens y los secretos accesibles, e investigue también los runners autohospedados y sus permisos. No apruebe workflows sospechosos pendientes.
Fuentes primarias y referencias: Wiz一次研究 / GitHubの承認hold案内
Investigación primaria publicada el 10/21 a las 23:57:50 JST
uCreator: investigación sobre capacidades de vigilancia mediante APK y contenedores modificados
Se analizaron APK modificados de Telegram, WeChat y otras aplicaciones, así como hooks dentro del contenedor Onion Box. Se muestran capacidades para obtener información de 2FA, sesiones y otros datos, pero no se ha determinado un número fiable de víctimas. Tampoco se ha demostrado que toda la cadena funcionara en Android17 ni que actualizar el sistema operativo baste para impedir todos los casos.
Qué comprobar: Revise el distribuidor, la firma y la procedencia de las aplicaciones. Si encuentra versiones modificadas sospechosas, investigue las sesiones y los métodos de autenticación desde un equipo seguro. No confirme una infección solo por archivos residuales de LSPatch ni sume las infecciones del año anterior a este caso.
Fuentes primarias y referencias: 研究者Oviの一次分析 / 前年のDoctor Web原報告・件数は別
18:10:22 JST (edición del Summary del aviso oficial)
Neat: confirme por separado la finalización del despliegue en dispositivos y en la nube
La actualización elimina del aviso la antigua explicación de que el firmware estaba en preparación. NeatOS26.5.4 sigue en despliegue gradual; Pulse se distribuye por organización y la OTA para dispositivos sin Pulse tiene como objetivo el 10/28. La corrección en la nube se gestiona por separado, con una previsión de unas 2 semanas. Esta actualización de la explicación no demuestra que todos los despliegues hayan terminado.
Qué comprobar: Revise el Roadmap de Pulse y la versión instalada en los dispositivos, y trate la renovación necesaria de credenciales de webhook por separado de la confirmación de que la corrección en la nube ha finalizado. No considere todos los dispositivos corregidos solo por una fecha o una edición del aviso.
Fuentes primarias y referencias: 公式セキュリティ勧告 / 26.5.4配信案内