La primera semana de octubre de 2026 se vio marcada por varios acontecimientos significativos: un tercer arresto en el caso de ShinyHunters, la confiscación de las herramientas del grupo Flax Typhoon, la publicación masiva de parches críticos por parte de Atlassian, Fortinet y decenas de otros proveedores, así como la aparición de una nueva clase de técnicas: la inserción de instrucciones en lenguaje natural en malware para engañar a los analizadores basados en IA. A continuación, analizamos los acontecimientos más relevantes, con una evaluación de su impacto y recomendaciones.
Vulnerabilidades críticas de la semana
Atlassian: acceso arbitrario a archivos (CVE-2026-21589)
La vulnerabilidad CVE-2026-21589 (CVSS 9.3) afecta a numerosos productos Atlassian Data Center: Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible y Fisheye. La vulnerabilidad permite obtener acceso arbitrario a archivos en el servidor. Según el aviso de seguridad de Atlassian, para explotarla el atacante debe conocer de antemano el nombre exacto y la ruta del archivo objetivo; no es posible enumerar directorios.
Un detalle importante a tener en cuenta al evaluar los riesgos: los productos en la nube de Atlassian ya han recibido el parche, y el proveedor declara que no hay indicios de explotación en el entorno cloud. Por lo tanto, las acciones urgentes solo son necesarias para las organizaciones que utilizan instalaciones autogestionadas (Data Center). Esta es una distinción clave que define la prioridad de respuesta.
Según The Hacker News, la explotación de la vulnerabilidad en redes honeypot comenzó apenas dos horas después de que los investigadores de watchTowr publicaran los detalles técnicos. Sin embargo, no se ha encontrado confirmación independiente de una explotación activa en fuentes primarias disponibles para su verificación.
Fortinet FortiPAM: bypass de autenticación en la extensión de Chrome
Fortinet ha publicado el aviso FG-IR-26-168 con una puntuación CVSSv3 de 9.6, donde describe una vulnerabilidad de bypass de autenticación (CWE-287). Llama la atención una discrepancia: el encabezado del aviso menciona «FortiPAM Server», mientras que el cuerpo describe la vulnerabilidad específicamente en Fortinet Privileged Access Agent Chrome Extension. La vulnerabilidad permite que un atacante remoto no autenticado redirija el tráfico del navegador del usuario a través de servidores bajo su control cuando este visite un sitio malicioso.
Zammad: dos zero-day explotadas en estado salvaje
Dos vulnerabilidades en el sistema de tickets Zammad — CVE-2026-102489 (ejecución remota de código, versiones 6.3.0–6.5.4) y CVE-2026-102490 (escalada de privilegios, todas las versiones de la 1.5.0 a la 7.1.0-alpha)— se utilizaron como zero-day en el compromiso del Instituto Holandés de Divulgación de Vulnerabilidades (DIVD). CISA incluyó ambas vulnerabilidades en su catálogo Known Exploited Vulnerabilities el 2 de octubre, con fecha límite de corrección el 5 de octubre de 2026.
Operaciones de las fuerzas del orden
Tercer arresto en el caso ShinyHunters
El FBI anunció un tercer arresto en el marco de la investigación sobre la actividad del grupo ShinyHunters, vinculado con el incidente en la plataforma FBIjobs.gov. Según los documentos judiciales y periodistas independientes, el detenido es Edward Dubrovsky, un directivo e inversor canadiense de ciberseguridad de 54 años, residente en Toronto. Está acusado de conspiración para extorsión y de obstaculizar la actividad comercial mediante amenazas. El propio grupo declaró en su canal de Telegram que planea cesar su actividad en la plataforma debido a los arrestos.
Confiscación de las herramientas de Flax Typhoon
Según un comunicado del Departamento de Justicia de EE. UU., el FBI llevó a cabo, con autorización judicial, la confiscación de las herramientas Microscan (reconocimiento y escaneo de vulnerabilidades) y FishHub (phishing dirigido y entrega de cargas útiles), asociadas al grupo APT chino Flax Typhoon y a la empresa Integrity Technology Group. Según el DOJ, entre los objetivos de Microscan se encontraban una compañía energética en Carolina del Sur, aeropuertos en Japón y Polonia, así como infraestructuras de gas y energía en Taiwán. FishHub, según la acusación, se utilizó contra aproximadamente 20 universidades taiwanesas.
Entre los dominios confiscados relacionados con la entrega de FishHub se encuentran:
- 98aicai[.]com
- 98aicode[.]com
- outlook3650[.]com
- youtubecard[.]com
- linkedinns[.]net
Ya habíamos escrito sobre vulnerabilidades en productos Cisco, que también aparecían en el contexto de ataques contra infraestructuras críticas.
Nuevas técnicas: evasión de IA en malware
Según un estudio de Cisco Talos, los autores de malware han comenzado a incrustar instrucciones en lenguaje natural directamente en el código con el fin de influir en los resultados del análisis automatizado basado en IA. La técnica, denominada AI-Analysis Evasion (A3), se ha identificado en cuatro familias de malware: FRUITSHELL, PLOTSAFE, HOLLOWCLAD y MANTLEMAZE. En total se analizaron 84 muestras en el período comprendido entre enero de 2025 y julio de 2026.
Los métodos van desde comentarios anti-análisis en el código fuente hasta instrucciones genéricas que imitan advertencias sobre un entorno honeypot. Según Talos, en el mejor de los casos estas técnicas inclinaban el resultado del análisis basado en IA a favor del atacante en alrededor del 35 % de los ejecuciones de prueba. Al mismo tiempo, los investigadores señalan que la necesidad de almacenar las instrucciones en texto claro crea una superficie de detección estable: las organizaciones que utilizan herramientas basadas en IA para el análisis de malware pueden construir reglas de detección precisamente a partir de estos patrones de texto.
Akira: cadena de ataque típica
La investigación de Huntress sobre un ataque de septiembre del grupo de Akira ransomware reveló una secuencia de acciones característica: acceso inicial vía RDP, desactivación del antivirus, despliegue de Rclone para la exfiltración de datos, instalación de un túnel GOST (probablemente para garantizar acceso persistente) y, por último, despliegue del cifrador. Entre los indicadores de compromiso destaca la dirección IP del servidor C2 del túnel GOST: 64.227.4.134. Este indicador es específico de un incidente concreto y requiere validación contextual antes de su bloqueo.
Otros acontecimientos relevantes
De acuerdo con OpenAI, se neutralizaron dos operaciones de influencia —una rusa (Dark Clark) y otra iraní (Bogus Bylines)— que utilizaban ChatGPT para crear identidades falsas de periodistas y centros de análisis. La operación iraní logró publicar casi 100 artículos en distintos medios, algunos de los cuales tenían una audiencia de 2 millones de seguidores en Facebook. OpenAI señala que no fue posible identificar a un actor específico detrás de la operación iraní.
Las estadísticas de Comparitech para el tercer trimestre de 2026 registran un récord de 2.627 incidentes de ransomware, lo que supone un aumento del 29 % respecto al trimestre anterior y del 61 % frente al tercer trimestre de 2025. La demanda de rescate mediana fue de 150.000 dólares, y la media, de 602.400 dólares.
Recomendaciones
- Atlassian Data Center: actualice de inmediato todas las instalaciones autogestionadas de Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible y Fisheye a las versiones indicadas en el aviso del proveedor. Los clientes en la nube no necesitan realizar ninguna acción.
- Zammad: actualice a una versión que corrija CVE-2026-102489 y CVE-2026-102490. Las agencias federales de EE. UU. estaban obligadas a completar el parcheo antes del 5 de octubre.
- FortiPAM: compruebe si la extensión Fortinet Privileged Access Agent está instalada en los navegadores Chrome y aplique la actualización según el aviso de Fortinet.
- IOC de Flax Typhoon: revise los registros de red en busca de accesos a los dominios enumerados (98aicai[.]com, outlook3650[.]com, etc.) y bloquéelos.
- Akira: supervise el uso de Rclone y GOST en el entorno corporativo, limite el acceso por RDP y verifique la integridad de los agentes antivirus.
La semana puso de manifiesto dos tendencias paralelas: por un lado, las fuerzas del orden incrementan la presión sobre los grupos cibercriminales (ShinyHunters, Flax Typhoon, Empire Market) y, por otro, los atacantes adoptan técnicas radicalmente nuevas, desde el engaño a los analizadores basados en IA hasta la explotación de vulnerabilidades pocas horas después de su divulgación. La prioridad para los equipos de seguridad en los próximos días es el parcheo de Atlassian Data Center y Zammad, así como la revisión de la infraestructura en busca de indicadores relacionados con Flax Typhoon.
