PHP2Shell (CVE-2026-109618 y 109619). Use-after-free en el session upload progress, que viene prendido por default y corre aunque tu app nunca llame session_start(). Pre-auth. Un multipart revienta memory_limit, el apagado de emergencia se salta la limpieza y el worker de mod_php se queda con punteros a memoria ya liberada. El siguiente request la rellena con una estructura falsa y PHP termina llamando system(). El otro CVE filtra memoria del proceso en la cookie PHPSESSID, o sea te regala el bypass de ASLR. Hay intentos de explotación desde días antes del parche, según AWS, aunque que yo vea todavía no hay compromisos confirmados. securitylabs.datadoghq.com/a…

Semana de RCEs y yo ya voy en la tercera chela. PHP, GitLab, Oracle EBS, Aruba, Collabora y VeloCloud, todos con fallas críticas en 7 días. Y lo bonito no es la cantidad, es que casi todas tienen el mismo pecado: código viejo, panel de admin pegado a internet y parche que nadie instala. Les cuento bug por bug, con la causa raíz, porque "actualiza" no es análisis 🧵🍺

Averrrr 👀

🚨 Hoy en ciberseguridad México: 🔴 PHP2Shell versión mexicana: según la columna de Ignacio Gómez Villaseñor en Milenio hay al menos 8,600 servicios en México con un PHP que ya nunca va a recibir parche. Un sistema de la SEP corre PHP 4.3 (de 2004) y uno de Gobernación PHP 5.2 (de 2007). De 20 servicios gob.mx que revisaron, 19 vulnerables. Y PHP ya sacó otro CVE (2026-115560) sin parche, nomás con mitigación. Pero tranquilos, seguro el de la SEP "así jala". 🔴 Grupo Euro (SLP, los de Gasomax, Importadora Euro y franquicias de Burger King): Krybit lo subió hoy a su sitio de filtraciones. Ransomware.live le cuenta 331 contraseñas expuestas, 70 críticas, y Hudson Rock ve un empleado y 4 usuarios con infostealer. Con ese tiradero de credenciales a lo mejor ni exploit ocupaban. 🔴 Argentina: un actor soltó muestras de SINIDE, el sistema del Ministerio de Educación, con unos 172 mil alumnos (DNI, domicilio, datos socioeconómicos) y 21 cuentas de consultores. Dice que los datos estaban accesibles sin autenticación. Datos de menores en un endpoint abierto, qué podría salir mal. Parchen, roten credenciales y dejen de cuidar su PHP 5 como si fuera reliquia de la abuela 🍺 milenio.com/opinion/ignacio-… ransomware.live/id/Z3J1cG9ld… xitter.cf/DailyDarkWeb/status/21…

🚨 Hoy en ciberseguridad México: 🔴 Aeroméxico, otra vez: "Eternal", el mismo del desmadre de Salesforce de 2025, ahora dice tener 6.1 millones de viajeros internacionales con pasaporte, teléfono y número de Club Premier, y soltó un Excel de 4 mil de muestra. Un año después y tus datos siguen de gira, ellos sí viajan seguido. 🔴 Policía de Chihuahua: publicaron bases de policías y aspirantes de la SSPE, 2016 a 2026, con tipo de sangre y contactos de emergencia. En Chihuahua. Eso no es dato personal, es lista de objetivos. Sin confirmar, pero qué miedo. 🔴 SEPIVER: Qilin metió a la empresa de seguridad privada a su sitio de filtraciones. Cuarta víctima mexicana de Qilin en octubre. Te venden vigilancia 24/7 y no vieron entrar al ransomware. Nadie ha confirmado nada que yo vea, como siempre. Salud. 🍺

🍺 Semanita de RCEs, sírvanse: PHP2Shell (CVE-2026-109618 y 109619): RCE sin autenticación y en mod_php el request truena antes de que corra tu código. AWS ya veía explotación el 17 de octubre, cuatro días antes del aviso, y ya hay PoC con bypass de ASLR. A la 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Oracle E-Business Suite (CVE-2026-101767, 9.8): SQL injection sin credenciales en /OA_HTML/AppsTCFServer, un servlet que el firewall de URLs de EBS deja pasar por default. De ahí brincas a ejecutar comandos en el server. Nómina, finanzas, RH, compras, todo lo que ve el usuario APPS. Horizon3 se lo reportó a Oracle en julio y el parche salió hasta el CPU del 20 de octubre. Suerte con tu ventana de mantenimiento trimestral. Keycloak: aquí no hay RCE, pero tampoco te emociones. CVE-2026-18963 (9.1): con nomás el usuario o el correo le pones contraseña nueva a la cuenta que quieras, sin login ni token. Ya hay PoC pública. Tu SSO, la puerta de todo lo demás. 26.7.2, 26.6.6 o 26.4.15 mínimo. PHP, el ERP y el login, todo en la misma semana. Y luego el parche se queda en "lo vemos en el siguiente sprint". horizon3.ai/attack-research/…

🚨 Hoy en ciberseguridad México: 🔴 CyberCartel: según Straiker, la banda disfrazada de "Hexagon Security Labs Mexico" armó un enjambre de agentes de IA para pegarle a más de 400 bancos y fintechs de LATAM. Traían 903 CLABEs, llaves de SPEI de una fintech y 20 llaves para firmar JWT. El pentest más caro es el que no pagaste. 🔴 PHP2Shell: AWS vio intentos de explotación desde el 17 de octubre, cuatro días antes del aviso, y ya hay PoC pública con bypass de ASLR. Si revisas logs nomás desde que parchaste, estás buscando al ratero después de que ya se llevó la tele. 🔴 Aguascalientes: Olympus_group dice tener ~35 mil registros de una bolsa de empleo del gobierno. Nombre, CURP, dirección, teléfono. Buscabas chamba y te tocó ser dataset. Parchen, roten llaves y dejen de guardar secretos en texto plano, que no cuesta. straiker.ai/blog/inside-carl…

🍺 PHP2Shell, explicación para vibe coders : Imagínate un mesero que, cuando se le acaba la charola, avienta todo y se va corriendo. Luego llega el de limpieza y recoge lo que encuentre, aunque sea basura a medio servir. Eso hace PHP. Cuando se queda sin memoria brinca fuera del request con longjmp() y deja la memoria a medio inicializar. Después el shutdown agarra ese cochinero y trabaja con él. De ahí sale el use after free y de ahí sale el RCE. ¿Cómo lo dejas sin memoria sin pasarte de post_max_size? Con un multipart bien cerdo: un part con cientos de headers, campos anidados, inputs de archivo vacíos que ni cuentan como upload. Lo peor es mod_php: el body se parsea antes de que corra tu código. Tu framework y tus validaciones ni se enteran. Ya hay RCE demostrado así, con la config default. Cloudflare ya veía ataques antes del parche. 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Hoy. bleepingcomputer.com/news/se…

🚨 Hoy en ciberseguridad México: 🔴 PHP2Shell: PHP sacó parche de emergencia para dos RCE sin autenticación (CVE-2026-109618 y 109619). Cloudflare ya veía ataques antes del parche. Si tu servidor sigue en PHP 7 porque "así jala", ni release oficial te toca, nomás un backport de lástima. A la 8.2.35 o más, hoy. 🔴 Servicio Geológico Mexicano: CartelCorp × BLACKNET-00 dice que se metió a su correo y lo borró. Lo bueno es que según iQBlack mucho de lo que enseñan es de 2018. O hackeo viejo reciclado o buzones que nadie ha tocado en 8 años, escoge tu decepción. 🔴 Víctimas Chihuahua y Guerrero: Hackero$ soltó un v.txt con folios, estatus de casos y relatos de desapariciones. Lo más delicado que tiene el Estado, en un .txt. Sin confirmar, pero qué miedo. Ninguna dependencia ha dicho nada que yo vea, como siempre. bleepingcomputer.com/news/se…

🚨 Hoy en ciberseguridad México: 🔴 Salauno: Qilin metió a la red de clínicas de los ojos a su sitio de filtraciones. En octubre ya van MCM Telecom, COMAPA Victoria y ahora una cadena de salud. Y justo Unit 42 dice que Qilin anda explotando un bypass de GlobalProtect que tiene parche desde mayo. No digo que fue eso, digo que parchen, carajo. 🔴 Ahorra Seguros, segunda vuelta: "Eternal", el mismo de la base de Aeroméxico, pide un millón de pesos para no soltar los expedientes y de paso los vende en 50 mil. Lo bonito: cambiabas un ID en la URL y veías el INE, comprobante de domicilio y constancia del SAT de otro cliente. Una póliza de la mañana ya la estaban viendo en la tarde. IDOR de primer semestre. lado.mx/noticia/22102660/ 🔴 Colima ~720K y Yucatán 7 GB: otra vez bases "nuevas" de gobiernos estatales. Según Villaseñor son pedazos que llevan más de una década circulando. Refrito con etiqueta nueva, el foro también tiene su tianguis. xitter.cf/ivillasenor/status/211… Unos reciclan datos de hace 10 años y otros dejan los nuevos colgados en una URL. Salud. 🍺 xitter.cf/DailyDarkWeb/status/21…