Edición del 21 al 24 de octubre de 2026
Capcom expone 11,7 millones de correos, CISA confirma ataques a Plex y Perú alerta por PHP2Shell
10 min de lecturaEsta edición cubre del 21 al 24 de octubre y no trae alertas críticas nuevas para el usuario común, pero sí varias que conviene atender hoy. Capcom confirmó el robo de más de 11,7 millones de correos de jugadores, Quest Diagnostics reconoció un acceso a registros de pacientes y Signal corrigió un fallo que podía mantener abierta una llamada. La agencia estadounidense CISA confirmó oficialmente los ataques a servidores Plex que adelantamos en la edición anterior. En casa, el Centro Nacional de Seguridad Digital alertó por PHP2Shell, las dos fallas que obligaron a parchar servidores web en medio mundo.
Si solo tienes 30 segundos
- Actualiza tu servidor Plex a la versión 1.43.3.10861 o posterior.
- Actualiza Signal en todos tus dispositivos.
- No pegues en tu computadora comandos que te pida una web, aunque parezca un captcha.
- Si tienes cuenta CAPCOM ID, desconfía de correos a nombre de Capcom con enlaces o adjuntos.
- Si te llega la confirmación de una compra que no hiciste, no llames al número del correo.
Alertas críticas y vulnerabilidades activas
Alta Confirmado
CISA confirma los ataques a servidores Plex y pide actualizar ya
Ilustración: Benxsus
Afecta a: personas con un servidor Plex Media Server propio, en casa o en la nube, con una versión anterior a la 1.43.3.10861 y accesible desde internet · Identificador: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656
Actualización: en la edición anterior contamos los primeros ataques contra servidores Plex, detectados por investigadores. Lo nuevo es que la agencia de ciberseguridad de Estados Unidos (CISA) incluyó el 20 de octubre los cuatro fallos de la cadena Plex2Shell en su catálogo de vulnerabilidades explotadas, la confirmación oficial de que se usan en ataques reales. Encadenados, permiten que alguien sin cuenta obtenga el token de administrador del dueño y ejecute código en el equipo. Plex publicó la corrección en agosto (versión 1.43.3.10861) y avisó a sus usuarios el 1 de septiembre, pero muchos servidores siguen sin actualizar. Los ataques registrados desde el 17 de octubre instalaron mineros de criptomonedas, programas que usan tu equipo para generar dinero a terceros. CISA dio a las agencias federales hasta el 23 de octubre para corregir. Mantenemos la severidad en ALTA porque solo afecta a quien tiene su propio servidor expuesto.
Qué hacer
- Abre la configuración de Plex Media Server y confirma que tienes la versión 1.43.3.10861 o posterior; en un NAS o en Docker puede que debas instalarla a mano.
- Si no necesitas ver tu contenido fuera de casa, quita la redirección de puertos del router hacia el servidor.
Fuente: BleepingComputer · Publicado el 21/10/2026
Brechas y filtraciones de datos
Alta Confirmado
Quest Diagnostics confirma acceso indebido a registros de pacientes
Ilustración: Benxsus
Afecta a: pacientes en Estados Unidos cuyos análisis pasaron por Quanum, la plataforma de Quest para médicos y hospitales; la empresa aún no precisa cuántos ni qué datos · Identificador: no aplica
Quest Diagnostics, uno de los laboratorios clínicos más grandes de Estados Unidos (dice atender cada año a uno de cada tres adultos del país), informó al regulador bursátil que el 21 de octubre detectó un acceso no autorizado a Quanum LSM, el sistema con el que médicos y hospitales piden análisis y consultan resultados. La compañía cree que parte de los registros de pacientes quedó expuesta, pero todavía no determina qué tipo de datos ni cuántas personas están afectadas. Apagó el sistema, pausó por precaución otras dos herramientas y trabaja con expertos externos y con la policía. Según la empresa, la atención directa a los pacientes no se interrumpió. Al cierre de esta edición ningún grupo había reclamado el ataque. Para lectores de la región el impacto directo es limitado, pero los datos de salud son de los más usados en estafas dirigidas, porque dan credibilidad a un mensaje falso.
Qué hacer
- Si te hiciste análisis con Quest, desconfía de llamadas o correos que mencionen tus resultados y pidan pagos o datos.
- Espera la notificación oficial de la empresa antes de entregar cualquier información.
Fuente: BleepingComputer · Publicado el 23/10/2026
Alta Confirmado
Capcom confirma el robo de más de 11,7 millones de correos de cuentas CAPCOM ID
Ilustración: Benxsus
Afecta a: jugadores con cuenta CAPCOM ID, la cuenta común de los servicios y juegos en línea de Capcom · Identificador: no aplica
Capcom, la editora japonesa de Resident Evil y Street Fighter, detectó el 19 de octubre un acceso no autorizado a CAPCOM ID, la cuenta que comparten sus servicios y juegos en línea, y lo hizo público el 22. Los atacantes se llevaron 11 774 247 direcciones de correo junto con datos de uso de la cuenta, como fecha de creación, último inicio de sesión y la dirección IP de ese último acceso. En 43 casos también obtuvieron fecha de nacimiento, género, país y apodo. Además, cambiaron la contraseña de 196 cuentas, que la empresa ya restableció. Capcom asegura que no se filtraron contraseñas, informó a las autoridades y está contactando a los afectados. El riesgo inmediato son los correos falsos a nombre de Capcom, que ahora pueden incluir datos reales de tu cuenta para parecer legítimos.
Qué hacer
- Desconfía de correos a nombre de Capcom con enlaces o adjuntos, aunque mencionen datos reales de tu cuenta.
- Si usas la misma contraseña de CAPCOM ID en otros servicios, cámbiala allí y activa la verificación en dos pasos donde exista.
Fuente: SecurityWeek · Publicado el 23/10/2026
Estafas, phishing y fraude digital
Media Confirmado
Correos auténticos de Dell y Staples llegaron con números de soporte falsos
Ilustración: Benxsus
Afecta a: cualquier persona que reciba confirmaciones de compra, avisos de registro o correos rebotados; sobre todo compradores en línea · Identificador: no aplica
Cisco Talos, el equipo de investigación de Cisco, documentó cómo los estafadores usan plataformas legítimas como mensajeros. En dos campañas que sumaron unos 1400 mensajes, abusaron del sistema de pedidos de Dell y Staples: registraron compras costosas con datos falsos y pusieron un número de «soporte» en los campos de envío o facturación. La tienda envió entonces una confirmación real, desde su propio dominio y con su plantilla, por una compra que la víctima nunca hizo. El objetivo es que llames a ese número; del otro lado, un falso agente intenta sacarte datos, dinero o acceso remoto a tu equipo. Talos detectó el abuso de más de 25 servicios legítimos en el último año, también con avisos de registro y correos rebotados. Como el mensaje es genuino, pasa los controles de autenticación del correo y llega a la bandeja de entrada sin alertas.
Qué hacer
- Si recibes la confirmación de una compra que no hiciste, no llames al número del correo: entra a tu cuenta escribiendo tú la dirección de la tienda.
- Desconfía de cualquier teléfono que aparezca en campos de dirección o facturación de un correo.
Fuente: Help Net Security · Publicado el 22/10/2026
Malware y apps maliciosas
Alta Confirmado
Un anuncio falso de Amazon en Google llevaba a un ladrón de contraseñas
Ilustración: Benxsus
Afecta a: usuarios de Windows y Mac que buscan servicios conocidos en Google y hacen clic en resultados patrocinados · Identificador: no aplica
Huntress, empresa de respuesta a incidentes, investigó varias infecciones que empezaron con una búsqueda de «amazon business» en Google. El primer resultado era un anuncio pagado que llevaba a una página de inicio de sesión de Amazon falsa. Tras escribir el correo, aparecía un supuesto captcha que copiaba un comando al portapapeles y pedía pegarlo en el cuadro Ejecutar de Windows; es la técnica conocida como ClickFix, que engaña a la persona para que ella misma ejecute el ataque. Ese paso descargaba varias piezas de malware, entre ellas una versión de Lumma Stealer, que busca datos de navegadores, billeteras de criptomonedas y gestores de contraseñas, y una herramienta de control remoto. A quienes entraban desde una Mac se les daban instrucciones para la Terminal. Google retiró el anuncio, pero la infraestructura de los atacantes seguía activa cuando se publicó el informe.
Qué hacer
- Ningún captcha legítimo te pedirá pegar texto en Ejecutar, PowerShell o la Terminal: si lo ves, cierra la página.
- Para entrar a tiendas o bancos, escribe tú la dirección en vez de usar resultados patrocinados.
- Si ya seguiste esos pasos, desconecta el equipo de internet y cambia tus contraseñas desde otro dispositivo.
Fuente: Huntress · Publicado el 21/10/2026
Parches y actualizaciones de seguridad
Alta Confirmado
Signal corrige un fallo que podía dejar abierta una llamada después de colgar
Ilustración: Benxsus
Afecta a: usuarios de Signal en teléfono o computadora que no han actualizado la app · Identificador: CVE-2026-113380
Signal corrigió una vulnerabilidad en RingRTC, la librería que maneja sus llamadas de voz y video. El problema estaba en el proceso que termina la llamada: otro participante podía saturar una cola interna de eventos y estorbar los pasos que deben desconectarla. El riesgo principal es que alguien siga escuchando cuando crees que ya colgaste, lo que podría exponer conversaciones privadas o ruidos de fondo. El fallo tiene una puntuación de 9,3 sobre 10, pero no afecta el cifrado, las contraseñas ni el historial de mensajes, y Malwarebytes no tiene registro de ataques reales que lo aprovechen. La corrección está en RingRTC 2.72.0; Signal no ha precisado qué versión de la app la incluye, aunque el autor del reporte vio en Google Play la versión 8.32.2 para Android.
Qué hacer
- Actualiza Signal en todos tus dispositivos desde la tienda oficial.
- Después de una llamada delicada, confirma en pantalla que la llamada terminó.
Fuente: Malwarebytes · Publicado el 21/10/2026
Privacidad y datos personales
Media Confirmado
Un juez ordena a Meta pagar 25 000 millones de dólares por engañar sobre la privacidad en Facebook
Ilustración: Benxsus
Afecta a: usuarios de Facebook; la sanción rige en Nuevo México (Estados Unidos), pero el caso marca precedente sobre lo que las plataformas prometen acerca de tus datos · Identificador: no aplica
El juez Francis Mathew, de un tribunal de Santa Fe, fijó el 21 de octubre una sanción de 25 000 millones de dólares contra Meta, luego de que un jurado concluyera en septiembre que la empresa engañó a los usuarios de Facebook sobre quién podía acceder a sus datos y sobre su moderación de contenidos. El caso nace del escándalo de Cambridge Analytica: el jurado contó más de 43 millones de infracciones a la ley estatal de protección al consumidor. El juez calculó un máximo de más de 219 000 millones y lo redujo. Nuevo México fue uno de los dos estados que no se sumaron al acuerdo de unos 18 000 millones que Meta firmó con otros 48 en agosto. Meta anunció que apelará, así que la cifra todavía puede cambiar. Para el usuario no cambia nada de inmediato, pero confirma que las promesas de privacidad tienen consecuencias legales.
Qué hacer
- Revisa en Facebook qué apps y sitios tienen acceso a tu cuenta y quita los que ya no uses.
Fuente: Al Jazeera · Publicado el 21/10/2026
Perú y LATAM
Alta Confirmado
Seguridad Digital de la PCM alerta por PHP2Shell, dos fallas críticas en servidores web
Ilustración: Benxsus
Afecta a: entidades públicas y empresas con sitios o aplicaciones en PHP sin actualizar; a los usuarios, de forma indirecta, a través de las webs que visitan · Identificador: CVE-2026-109618 y CVE-2026-109619
El Centro Nacional de Seguridad Digital de la Presidencia del Consejo de Ministros advirtió en un informe del 21 de octubre sobre PHP2Shell, dos vulnerabilidades críticas en PHP, el lenguaje con el que funciona buena parte de los sitios web. Permiten que un atacante sin cuenta ejecute código en el servidor con una petición web manipulada. Los detalles se filtraron antes de la publicación coordinada y el Centro alertó que ya había intentos de explotación; Amazon reportó ataques desde cuatro días antes de que salieran los parches. PHP publicó las correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35; las ramas 8.1 y anteriores ya no reciben arreglos. En Europa varios gobiernos desconectaron sus portales por precaución, y en Colombia el Colcert emitió su propia alerta. Para el usuario, el riesgo es visitar un sitio comprometido sin saberlo.
Qué hacer
- Si administras un sitio en PHP o lo tienes en un hosting, confirma con tu proveedor que ya instaló una versión corregida.
- Como visitante, desconfía si una web conocida te redirige, te pide descargar algo o vuelve a pedirte la contraseña sin motivo.
Fuente: La República · Publicado el 22/10/2026