Edición del 6 al 8 de noviembre de 2026
WordPress bajo ataque, el parche de Paint que Windows Update no instala y fraudes con pagos falsos en la región
6 min de lecturaCerramos la semana con cinco alertas y ninguna de severidad crítica para el usuario común, pero con tareas concretas. Un fallo de WordPress ya explotado obliga a quienes administran un sitio a actualizar con cuidado, y Microsoft corrigió un fallo grave de Paint que solo llega por la Microsoft Store. En la región, el Banco Central del Paraguay advirtió sobre enlaces falsos dirigidos a ahorristas, y en Perú un caso judicial recordó que una captura de Yape no es prueba de pago.
Si solo tienes 30 segundos
- Si tienes un sitio WordPress, actualízalo a la versión 7.1.4 con la carpeta de actualizaciones bloqueada.
- Actualiza Paint desde la Microsoft Store: Windows Update no lo hará por ti.
- En Paraguay, no abras enlaces que ofrezcan devoluciones o cuentas del BCP.
- Si vendes por Yape o Plin, confirma cada pago en tu propia app antes de entregar el producto.
Alertas críticas y vulnerabilidades activas
Alta Confirmado
Actualizar WordPress deja una última ventana abierta a un fallo ya explotado
Ilustración: Benxsus
Afecta a: dueños y administradores de sitios con WordPress entre las versiones 4.7 y 7.1.3 · Identificador: CVE-2026-119977
La CISA (agencia de ciberseguridad de EE. UU.) incluyó este fallo del núcleo de WordPress en su catálogo de vulnerabilidades explotadas, según The Hacker News. El problema aparece durante la propia actualización del núcleo: mientras el sistema descomprime la nueva versión en una carpeta temporal, un atacante sin cuenta podría ejecutar código en el servidor si llega a tiempo. La firma Wordfence registró intentos de ataque nueve minutos después de publicar su regla de protección. WordPress publicó la versión 7.1.4 y correcciones para las ramas anteriores hasta la 4.7. Las versiones 4.6 y previas no recibirán parche. No afecta a quien solo visita páginas.
Qué hacer
- Pide a tu proveedor de hosting (o configura tú mismo) el bloqueo del acceso web a la carpeta wp-content/upgrade antes de actualizar.
- Actualiza a WordPress 7.1.4 o a la versión corregida de tu rama.
- Revisa si aparecieron administradores o plugins que no reconoces.
Fuente: The Hacker News · Publicado el 06/11/2026
Malware y apps maliciosas
Media Confirmado
Una extensión maliciosa podría usar Claude Dispatch para ejecutar programas en la computadora
Ilustración: Benxsus
Afecta a: usuarios de Claude Desktop con la función Dispatch activada y extensiones de navegador con permisos sobre claude.ai · Identificador: no aplica
Investigadores de Forever Security demostraron que una extensión de navegador capaz de ejecutar código en claude.ai puede enviar instrucciones a Claude Desktop mediante Dispatch, la función que permite mandar tareas a la computadora desde otro dispositivo. En su prueba lograron que el asistente instalara software en el equipo; con ese acceso, dicen, se podrían robar archivos. Es una prueba de concepto en una sola máquina: no hay reportes de ataques reales. Según los investigadores, Anthropic anunció que retiraría Dispatch hacia fines de octubre. Su página de ayuda indica que la función ya no acepta nuevos usuarios, pero quienes la tenían pueden seguir usándola.
Qué hacer
- Desactiva Dispatch si no lo usas.
- Revisa qué extensiones tienen permiso para leer y modificar claude.ai y elimina las que no reconozcas.
Fuente: The Hacker News · Publicado el 06/11/2026
Parches y actualizaciones de seguridad
Alta Confirmado
El parche de Paint existe, pero no llega por Windows Update
Ilustración: Benxsus
Afecta a: usuarios de Windows con Paint en una versión anterior a la 11.2609.401.0 · Identificador: CVE-2026-83844
Microsoft clasificó como importante (CVSS 8.1 de 10) un fallo de lectura fuera de límites en Paint que permitiría ejecutar código a distancia, sin que la víctima inicie sesión ni haga clic; la empresa advierte que explotarlo exige conocer a fondo el equipo. No se conoce explotación activa. El detalle práctico es la vía de entrega: la corrección llega solo por la Microsoft Store, no por Windows Update. El 6 de noviembre, The Hacker News confirmó que la versión corregida ya figuraba en la Store de diez países. Hay además una discrepancia sin aclarar: el registro público del CVE indica como corregida una versión anterior.
Qué hacer
- Abre la Microsoft Store, entra a Biblioteca y pulsa «Obtener actualizaciones».
- Comprueba la versión en Paint, desde su menú de Configuración; debe ser 11.2609.401.0 o posterior.
Fuente: The Hacker News · Publicado el 06/11/2026
Perú y LATAM
Alta Confirmado
Paraguay: enlaces falsos del Banco Central buscan a los ahorristas de ueno
Ilustración: Benxsus
Afecta a: ahorristas de ueno bank en Paraguay que esperan la devolución del Fondo de Garantía de Depósitos, y público en general · Identificador: no aplica
El Banco Central del Paraguay (BCP) advirtió el 8 de noviembre que circulan mensajes falsos que ofrecen abrir una supuesta «Cuenta de Ahorros BCP» y que recogen datos personales mediante enlaces sospechosos. La campaña aprovecha la ansiedad de los ahorristas de ueno por el calendario de devoluciones del Fondo de Garantía de Depósitos. Días antes, el jefe del departamento de investigación de cibercrimen de la policía informó que habían recibido cuatro denuncias en pocas horas por SMS y enlaces que suplantaban al BCP. El enlace oficial solo informa a qué banco se asignó la cuenta del ahorrista y no pide claves. Usar un reembolso real como gancho es un patrón que se repite en toda la región.
Qué hacer
- No abras ni reenvíes enlaces que ofrezcan cuentas o devoluciones del BCP.
- Consulta tu devolución solo en el portal oficial FGD Pagos, con tu número de cédula.
- Recuerda que el BCP no llama para pedir contraseñas ni envía enlaces por WhatsApp.
Fuente: 1000 Noticias · Publicado el 08/11/2026
Media Confirmado
Huancavelica: condena por pagar con un comprobante de Yape falsificado con IA
Ilustración: Benxsus
Afecta a: comercios y emprendedores en Perú que aceptan pagos por Yape o Plin mostrando una captura de pantalla · Identificador: no aplica
El Poder Judicial condenó por estafa agravada a un joven que usó herramientas de inteligencia artificial para fabricar un comprobante falso de Yape y pagar S/111 en una licorería de Huancavelica, el 15 de octubre. El personal del local detectó el engaño porque ya había visto operaciones parecidas, avisó a la policía. La pena fue de tres años, ocho meses y 26 días de prisión suspendida, más una reparación civil de S/4,500 para el negocio. El caso confirma que las capturas falsas ya se producen con IA y que la única verificación confiable es el ingreso registrado en la propia cuenta.
Qué hacer
- Confirma cada pago en tu app o en la notificación de tu banco antes de entregar el producto.
- No aceptes una captura de pantalla como prueba de pago.
Fuente: La República · Publicado el 06/11/2026