El patrón, por si no se notó: SQL injections en Oracle, Aruba y VeloCloud, command injections en Aruba y Collabora, parsers viejos de C que nadie audita y paneles de admin que nunca debieron ver internet. Ninguno de estos bugs es magia, son errores de hace 20 años con CVE nuevo. Lo que mata no es el día cero, es el día 90 con el parche en la carpeta de descargas. Parchen este fin, revisen logs y saquen sus consolas de internet, no me hagan escribir otro hilo 🍺

Los dos que sí están explotados. Collabora CODE para Nextcloud (CVE-2026-110447) es command injection en proxy.php, sin auth, y solo funciona mientras el server CODE está abajo, o sea en un reinicio o un crash. Ya está en el KEV de CISA con fecha límite del 26 y hay reportes de webshells shx*.php desde septiembre. Deshabilitar la app no sirve, hay que actualizar a 26.4.303 o quitarla. Y VeloCloud Orchestrator (CVE-2026-114625) que, ojo, no es RCE: es una SQL injection donde cualquier usuario, hasta el de solo lectura más básico, se convierte en "superuser operator". Arista dice que se explota activamente. Keycloak tampoco es RCE, es toma de cuentas, no lo vendan como lo que no es. cisa.gov/news-events/alerts/… arista.com/en/support/adviso…

HPE Aruba AOS: 72 CVEs, 8 con CVSS 10. En AOS-8 hay command injection sin auth, dos SQL injection sin auth que terminan en RCE y un bypass de autenticación que acaba en root. En AOS-10, buffer overflows sin auth. SQL injection en 2026 en el sistema operativo de tus controladoras WiFi, carnal. La mitigación oficial es meter la interfaz de administración en su propia VLAN, o sea lo que debió estar así desde el día uno. Parche: 8.13.3.1, 8.10.0.24 o los 10.x que corresponden. bleepingcomputer.com/news/se…

Oracle EBS CVE-2026-101767, 9.8. Ya lo había mencionado, pero la causa raíz es de risa: SQL injection sin auth en el servlet /OA_HTML/AppsTCFServer, que la lista blanca del URL firewall de EBS deja pasar por default. Ejecutas SQL como APPS y lo encadenas a comandos del sistema con la cuenta de la aplicación. Nómina, finanzas, RH. Horizon3 lo reportó el 24 de julio y el parche llegó en el CPU del 20 de octubre. Casi 3 meses. Mitigación: sacar ese servlet de la allowlist y no exponer el web tier. horizon3.ai/attack-research/…

GitLab CVE-2026-110264, CVSS 10. Integer overflow al compilar una regex armada a mano, y de ahí ejecución de código sin autenticarse. Afecta desde la 7.0, o sea años de versiones. GitLab hasta publicó reglas de detección y una apunta al renderizador de archivos .org. Un parser de markup de nicho que te da shell en el server donde vive todo tu código y tus secretos de CI. Si tienes GitLab self-managed sin actualizar a 19.5.1 o los backports, felicidades, tu repo es de todos. docs.gitlab.com/releases/pat…

Y la versión mexicana está peor. Según la columna de Ignacio Gómez Villaseñor en Milenio, de 39,661 servicios con PHP en México al menos 8,600 corren versiones que ya nunca van a recibir parche. De 20 servicios gob.mx revisados, 19 vulnerables. Colombia sacó alerta de su CERT, aquí según la columna no hay registro de una alerta equivalente. Ah, y el 23 salió otro RCE de PHP, CVE-2026-115560, sin parche, nomás con mitigación: session.upload_progress.enabled=0. Si ya lo apagaron por PHP2Shell, déjenlo así. milenio.com/opinion/ignacio-… bleepingcomputer.com/news/se…

PHP2Shell (CVE-2026-109618 y 109619). Use-after-free en el session upload progress, que viene prendido por default y corre aunque tu app nunca llame session_start(). Pre-auth. Un multipart revienta memory_limit, el apagado de emergencia se salta la limpieza y el worker de mod_php se queda con punteros a memoria ya liberada. El siguiente request la rellena con una estructura falsa y PHP termina llamando system(). El otro CVE filtra memoria del proceso en la cookie PHPSESSID, o sea te regala el bypass de ASLR. Hay intentos de explotación desde días antes del parche, según AWS, aunque que yo vea todavía no hay compromisos confirmados. securitylabs.datadoghq.com/a…

Semana de RCEs y yo ya voy en la tercera chela. PHP, GitLab, Oracle EBS, Aruba, Collabora y VeloCloud, todos con fallas críticas en 7 días. Y lo bonito no es la cantidad, es que casi todas tienen el mismo pecado: código viejo, panel de admin pegado a internet y parche que nadie instala. Les cuento bug por bug, con la causa raíz, porque "actualiza" no es análisis 🧵🍺

Averrrr 👀

🚨 Hoy en ciberseguridad México: 🔴 PHP2Shell versión mexicana: según la columna de Ignacio Gómez Villaseñor en Milenio hay al menos 8,600 servicios en México con un PHP que ya nunca va a recibir parche. Un sistema de la SEP corre PHP 4.3 (de 2004) y uno de Gobernación PHP 5.2 (de 2007). De 20 servicios gob.mx que revisaron, 19 vulnerables. Y PHP ya sacó otro CVE (2026-115560) sin parche, nomás con mitigación. Pero tranquilos, seguro el de la SEP "así jala". 🔴 Grupo Euro (SLP, los de Gasomax, Importadora Euro y franquicias de Burger King): Krybit lo subió hoy a su sitio de filtraciones. Ransomware.live le cuenta 331 contraseñas expuestas, 70 críticas, y Hudson Rock ve un empleado y 4 usuarios con infostealer. Con ese tiradero de credenciales a lo mejor ni exploit ocupaban. 🔴 Argentina: un actor soltó muestras de SINIDE, el sistema del Ministerio de Educación, con unos 172 mil alumnos (DNI, domicilio, datos socioeconómicos) y 21 cuentas de consultores. Dice que los datos estaban accesibles sin autenticación. Datos de menores en un endpoint abierto, qué podría salir mal. Parchen, roten credenciales y dejen de cuidar su PHP 5 como si fuera reliquia de la abuela 🍺 milenio.com/opinion/ignacio-… ransomware.live/id/Z3J1cG9ld… xitter.cf/DailyDarkWeb/status/21…

🚨 Hoy en ciberseguridad México: 🔴 Aeroméxico, otra vez: "Eternal", el mismo del desmadre de Salesforce de 2025, ahora dice tener 6.1 millones de viajeros internacionales con pasaporte, teléfono y número de Club Premier, y soltó un Excel de 4 mil de muestra. Un año después y tus datos siguen de gira, ellos sí viajan seguido. 🔴 Policía de Chihuahua: publicaron bases de policías y aspirantes de la SSPE, 2016 a 2026, con tipo de sangre y contactos de emergencia. En Chihuahua. Eso no es dato personal, es lista de objetivos. Sin confirmar, pero qué miedo. 🔴 SEPIVER: Qilin metió a la empresa de seguridad privada a su sitio de filtraciones. Cuarta víctima mexicana de Qilin en octubre. Te venden vigilancia 24/7 y no vieron entrar al ransomware. Nadie ha confirmado nada que yo vea, como siempre. Salud. 🍺

🍺 Semanita de RCEs, sírvanse: PHP2Shell (CVE-2026-109618 y 109619): RCE sin autenticación y en mod_php el request truena antes de que corra tu código. AWS ya veía explotación el 17 de octubre, cuatro días antes del aviso, y ya hay PoC con bypass de ASLR. A la 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Oracle E-Business Suite (CVE-2026-101767, 9.8): SQL injection sin credenciales en /OA_HTML/AppsTCFServer, un servlet que el firewall de URLs de EBS deja pasar por default. De ahí brincas a ejecutar comandos en el server. Nómina, finanzas, RH, compras, todo lo que ve el usuario APPS. Horizon3 se lo reportó a Oracle en julio y el parche salió hasta el CPU del 20 de octubre. Suerte con tu ventana de mantenimiento trimestral. Keycloak: aquí no hay RCE, pero tampoco te emociones. CVE-2026-18963 (9.1): con nomás el usuario o el correo le pones contraseña nueva a la cuenta que quieras, sin login ni token. Ya hay PoC pública. Tu SSO, la puerta de todo lo demás. 26.7.2, 26.6.6 o 26.4.15 mínimo. PHP, el ERP y el login, todo en la misma semana. Y luego el parche se queda en "lo vemos en el siguiente sprint". horizon3.ai/attack-research/…

🚨 Hoy en ciberseguridad México: 🔴 CyberCartel: según Straiker, la banda disfrazada de "Hexagon Security Labs Mexico" armó un enjambre de agentes de IA para pegarle a más de 400 bancos y fintechs de LATAM. Traían 903 CLABEs, llaves de SPEI de una fintech y 20 llaves para firmar JWT. El pentest más caro es el que no pagaste. 🔴 PHP2Shell: AWS vio intentos de explotación desde el 17 de octubre, cuatro días antes del aviso, y ya hay PoC pública con bypass de ASLR. Si revisas logs nomás desde que parchaste, estás buscando al ratero después de que ya se llevó la tele. 🔴 Aguascalientes: Olympus_group dice tener ~35 mil registros de una bolsa de empleo del gobierno. Nombre, CURP, dirección, teléfono. Buscabas chamba y te tocó ser dataset. Parchen, roten llaves y dejen de guardar secretos en texto plano, que no cuesta. straiker.ai/blog/inside-carl…

🍺 PHP2Shell, explicación para vibe coders : Imagínate un mesero que, cuando se le acaba la charola, avienta todo y se va corriendo. Luego llega el de limpieza y recoge lo que encuentre, aunque sea basura a medio servir. Eso hace PHP. Cuando se queda sin memoria brinca fuera del request con longjmp() y deja la memoria a medio inicializar. Después el shutdown agarra ese cochinero y trabaja con él. De ahí sale el use after free y de ahí sale el RCE. ¿Cómo lo dejas sin memoria sin pasarte de post_max_size? Con un multipart bien cerdo: un part con cientos de headers, campos anidados, inputs de archivo vacíos que ni cuentan como upload. Lo peor es mod_php: el body se parsea antes de que corra tu código. Tu framework y tus validaciones ni se enteran. Ya hay RCE demostrado así, con la config default. Cloudflare ya veía ataques antes del parche. 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Hoy. bleepingcomputer.com/news/se…

pero la gente si lo hace, la gente inútil lo hace, y normalmente esta gente es luego jefa de áreas de seguridad..