🚨 Hoy en ciberseguridad México: 🔴 Aeroméxico, otra vez: "Eternal", el mismo del desmadre de Salesforce de 2025, ahora dice tener 6.1 millones de viajeros internacionales con pasaporte, teléfono y número de Club Premier, y soltó un Excel de 4 mil de muestra. Un año después y tus datos siguen de gira, ellos sí viajan seguido. 🔴 Policía de Chihuahua: publicaron bases de policías y aspirantes de la SSPE, 2016 a 2026, con tipo de sangre y contactos de emergencia. En Chihuahua. Eso no es dato personal, es lista de objetivos. Sin confirmar, pero qué miedo. 🔴 SEPIVER: Qilin metió a la empresa de seguridad privada a su sitio de filtraciones. Cuarta víctima mexicana de Qilin en octubre. Te venden vigilancia 24/7 y no vieron entrar al ransomware. Nadie ha confirmado nada que yo vea, como siempre. Salud. 🍺

🍺 Semanita de RCEs, sírvanse: PHP2Shell (CVE-2026-109618 y 109619): RCE sin autenticación y en mod_php el request truena antes de que corra tu código. AWS ya veía explotación el 17 de octubre, cuatro días antes del aviso, y ya hay PoC con bypass de ASLR. A la 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Oracle E-Business Suite (CVE-2026-101767, 9.8): SQL injection sin credenciales en /OA_HTML/AppsTCFServer, un servlet que el firewall de URLs de EBS deja pasar por default. De ahí brincas a ejecutar comandos en el server. Nómina, finanzas, RH, compras, todo lo que ve el usuario APPS. Horizon3 se lo reportó a Oracle en julio y el parche salió hasta el CPU del 20 de octubre. Suerte con tu ventana de mantenimiento trimestral. Keycloak: aquí no hay RCE, pero tampoco te emociones. CVE-2026-18963 (9.1): con nomás el usuario o el correo le pones contraseña nueva a la cuenta que quieras, sin login ni token. Ya hay PoC pública. Tu SSO, la puerta de todo lo demás. 26.7.2, 26.6.6 o 26.4.15 mínimo. PHP, el ERP y el login, todo en la misma semana. Y luego el parche se queda en "lo vemos en el siguiente sprint". horizon3.ai/attack-research/…

🚨 Hoy en ciberseguridad México: 🔴 CyberCartel: según Straiker, la banda disfrazada de "Hexagon Security Labs Mexico" armó un enjambre de agentes de IA para pegarle a más de 400 bancos y fintechs de LATAM. Traían 903 CLABEs, llaves de SPEI de una fintech y 20 llaves para firmar JWT. El pentest más caro es el que no pagaste. 🔴 PHP2Shell: AWS vio intentos de explotación desde el 17 de octubre, cuatro días antes del aviso, y ya hay PoC pública con bypass de ASLR. Si revisas logs nomás desde que parchaste, estás buscando al ratero después de que ya se llevó la tele. 🔴 Aguascalientes: Olympus_group dice tener ~35 mil registros de una bolsa de empleo del gobierno. Nombre, CURP, dirección, teléfono. Buscabas chamba y te tocó ser dataset. Parchen, roten llaves y dejen de guardar secretos en texto plano, que no cuesta. straiker.ai/blog/inside-carl…

🍺 PHP2Shell, explicación para vibe coders : Imagínate un mesero que, cuando se le acaba la charola, avienta todo y se va corriendo. Luego llega el de limpieza y recoge lo que encuentre, aunque sea basura a medio servir. Eso hace PHP. Cuando se queda sin memoria brinca fuera del request con longjmp() y deja la memoria a medio inicializar. Después el shutdown agarra ese cochinero y trabaja con él. De ahí sale el use after free y de ahí sale el RCE. ¿Cómo lo dejas sin memoria sin pasarte de post_max_size? Con un multipart bien cerdo: un part con cientos de headers, campos anidados, inputs de archivo vacíos que ni cuentan como upload. Lo peor es mod_php: el body se parsea antes de que corra tu código. Tu framework y tus validaciones ni se enteran. Ya hay RCE demostrado así, con la config default. Cloudflare ya veía ataques antes del parche. 8.2.35, 8.3.36, 8.4.27 u 8.5.12. Hoy. bleepingcomputer.com/news/se…

pero la gente si lo hace, la gente inútil lo hace, y normalmente esta gente es luego jefa de áreas de seguridad..

🚨 Hoy en ciberseguridad México: 🔴 PHP2Shell: PHP sacó parche de emergencia para dos RCE sin autenticación (CVE-2026-109618 y 109619). Cloudflare ya veía ataques antes del parche. Si tu servidor sigue en PHP 7 porque "así jala", ni release oficial te toca, nomás un backport de lástima. A la 8.2.35 o más, hoy. 🔴 Servicio Geológico Mexicano: CartelCorp × BLACKNET-00 dice que se metió a su correo y lo borró. Lo bueno es que según iQBlack mucho de lo que enseñan es de 2018. O hackeo viejo reciclado o buzones que nadie ha tocado en 8 años, escoge tu decepción. 🔴 Víctimas Chihuahua y Guerrero: Hackero$ soltó un v.txt con folios, estatus de casos y relatos de desapariciones. Lo más delicado que tiene el Estado, en un .txt. Sin confirmar, pero qué miedo. Ninguna dependencia ha dicho nada que yo vea, como siempre. bleepingcomputer.com/news/se…

🚨 Hoy en ciberseguridad México: 🔴 Salauno: Qilin metió a la red de clínicas de los ojos a su sitio de filtraciones. En octubre ya van MCM Telecom, COMAPA Victoria y ahora una cadena de salud. Y justo Unit 42 dice que Qilin anda explotando un bypass de GlobalProtect que tiene parche desde mayo. No digo que fue eso, digo que parchen, carajo. 🔴 Ahorra Seguros, segunda vuelta: "Eternal", el mismo de la base de Aeroméxico, pide un millón de pesos para no soltar los expedientes y de paso los vende en 50 mil. Lo bonito: cambiabas un ID en la URL y veías el INE, comprobante de domicilio y constancia del SAT de otro cliente. Una póliza de la mañana ya la estaban viendo en la tarde. IDOR de primer semestre. lado.mx/noticia/22102660/ 🔴 Colima ~720K y Yucatán 7 GB: otra vez bases "nuevas" de gobiernos estatales. Según Villaseñor son pedazos que llevan más de una década circulando. Refrito con etiqueta nueva, el foro también tiene su tianguis. xitter.cf/ivillasenor/status/211… Unos reciclan datos de hace 10 años y otros dejan los nuevos colgados en una URL. Salud. 🍺 xitter.cf/DailyDarkWeb/status/21…

No estaría mal los ultimos fueron asquerosos

Ya las nixtamalizo

estoy esperando ver el primer partido de la temporada para que le mienten su madre

🚨 Hoy en ciberseguridad México: 🔴 MCM Telecom: Qilin ya soltó más de 115 GB. En el listado salen carpetas con nombres como CFE, SAT, INE e INFONAVIT. Y no es la primera, en 2024 ya los había listado Blackout. Dos ransomwares en dos años, seguro la remediación fue cambiar el wallpaper. 🔴 SIAPA Guadalajara: stnxz, el mismo de Liga MX, dice que tiene ~415K registros. 102K son medidores con coordenadas GPS. Dónde está cada medidor de agua de la ZMG en un archivo, gracias compas. xitter.cf/DailyDarkWeb/status/21… 🔴 SEG Guerrero: ~28K registros de personal con INE, CURP, NSS, RFC, cuentas bancarias, nómina y correos oficiales con todo y contraseña. Regalado. Nómina + correo institucional, a ver cuánto tardan en salir los correos falsos de "actualiza tus datos bancarios". xitter.cf/DailyDarkWeb/status/21… Confirmación oficial: cero. El silencio institucional sí lo tienen bien parchado. xitter.cf/Arvid_Trouble/status/2…

Entonces el primer mundo ya está en América? Y el tercer mundo es Europa? O nos esperamos unos meses más para confirmar

Resumen de cantina: contraseñas en texto plano, llaves en el JavaScript, IDs consecutivos y usuarios válidos bajándose todo. Nada de esto es hackeo de película, es tarea de primer semestre que nadie hizo. Y en todos los reportes la misma frase: sin confirmar. Salud 🍺