Antes de que Microsoft publique su Patch Tuesday de noviembre (esta tarde, cerca de las 15:00 hora de Chile), ya hay cinco frentes que exigen acción: más de 30 zero-days con exploit público en N-able N-central, el octavo zero-day de Chrome del año, Barracuda ESG explotado y cuatro nuevas vulnerabilidades en el catálogo KEV de CISA.
El patrón de fondo se repite: dispositivos de borde y herramientas de administración remota como puerta de entrada, y agentes de IA que comprimen el tiempo entre un secreto expuesto y una intrusión a minutos.
N-able N-central: 30 zero-days publicados de una vez
El domingo, el investigador Sean Bales publicó en GitHub más de 30 vulnerabilidades no parchadas en N-able N-central, bajo el nombre “Able2Shell”, con prueba de concepto para cada una. Según Bales, lo hizo porque N-able no corrigió fallas que él había reportado antes en otro producto.
El impacto descrito es máximo para una herramienta RMM:
- Ejecución remota de código como el usuario “nable” o como root
- Creación de cuentas de administrador no autorizadas
- Filtración de configuraciones y credenciales
- Cuatro cadenas de explotación completas
N-able validó las fallas, apagó su servicio en la nube y pide mantener las instalaciones propias desconectadas hasta que salga el parche, previsto para hoy al mediodía. Aún no tienen CVE. N-able dice no tener evidencia de explotación, pero con exploits públicos el riesgo para instalaciones expuestas es alto.
Un RMM comprometido es acceso privilegiado a todos los equipos que administra. Para un MSP, eso significa todos sus clientes. Si se usó N-central expuesto a internet desde el domingo, conviene tratarlo como potencialmente comprometido y revisar cuentas de administrador y tareas creadas desde entonces.
Vulnerabilidades explotadas: Chrome, Barracuda y el catálogo KEV
Google corrigió CVE-2026-125350, un use-after-free en el parser XML de Chrome con explotación confirmada. Es el octavo zero-day de Chrome explotado en 2026. Versiones corregidas: 157.0.8103.50/51 en macOS y 157.0.8103.50 en Linux; en Windows ya está en el canal Stable. Los navegadores basados en Chromium (Edge, Brave, Opera) recibirán su propia actualización.
Barracuda confirmó que dos fallas de Email Security Gateway parchadas hace una semana ya se explotan contra un número reducido de organizaciones. Encadenadas, dan root a quien alcance la interfaz de administración. ESG ya fue blanco de UNC4841 en 2023, así que el producto tiene historia.
CISA agregó cuatro vulnerabilidades al catálogo KEV el 9 de noviembre, con plazo federal al 12 de noviembre. La tabla las reúne junto a Barracuda, que no figura en esa alta:
| CVE | Producto | CVSS | Qué permite | Corrección |
|---|---|---|---|---|
| CVE-2026-123218 | IBM Aspera Faspex | 9.8 | Escalar privilegios saltando la autorización (requiere usuario autenticado) | Noviembre 2026 |
| CVE-2026-116779 | SignalWire FreeSWITCH | 9.8 | Inyección de código: comandos, control de llamadas, credenciales | Octubre 2026 |
| CVE-2026-102895 | GPUStack | 9.8 | Administración sin autenticación, robo de secretos de nube y de workers | Julio 2026 |
| CVE-2026-123158 | OpenSSH en Linux con musl (SSHole) | 8.1 | Acceso sin contraseña válida | OpenSSH 10.6p2 |
| CVE-2026-116606 + CVE-2026-111560 | Barracuda ESG | 9.3 / 8.6 | Root sin autenticación desde la interfaz de administración | BNSF-40425 / BNSF-40430 |
SSHole merece atención aparte. GreyNoise confirmó post-explotación desde seis IPs en 18 cadenas de ataque: reconocimiento, consulta a servicios de metadata de nube, lectura de hashes y claves SSH de root, y persistencia vía authorized_keys. En al menos un caso, los atacantes instalaron TAC Agent, un agente de C2 en Python. Las imágenes Alpine con SSH expuesto son el blanco natural.
Inteligencia de amenazas: sabotaje, espionaje y agentes de IA
Refrigeración de supermercados: Francia culpa a Irán
La fiscalía de París y ANSSI atribuyeron a Shahid Kaveh, una unidad ligada a la Guardia Revolucionaria iraní, el ataque del 12 de octubre contra unos 700 supermercados franceses. Los atacantes forzaron los controladores de refrigeración a modo descongelamiento, con temperaturas de hasta 50 °C, pérdida de alimentos y algunos incendios. Francia convocó al embajador iraní y pedirá sanciones europeas.
La evidencia publicada es débil: uso de farsi e IPs vinculadas a Irán, ambas falsificables. Los hacktivistas prorrusos NoName057(16) y Z-Pentest se habían adjudicado la segunda ola sin pruebas. Lo verificable es otra cosa: Unit 42 encontró más de 5.000 controladores de refrigeración expuestos a internet, y el vector probable son credenciales por defecto o software desactualizado. Es OT básico sin higiene básica.
Turla y “Cereal”: espionaje dentro de Exchange
ESET documentó Cereal, un conjunto de malware .NET de Turla (FSB) para servidores Exchange, usado contra organismos de gobierno en Kazajistán y Rumania. En Rumania recolectó selectivamente correspondencia con representantes de la OTAN y la UE.
- Se inyecta en EdgeTransport.exe y lee el correo sin registrar un transport agent nuevo
- Filtra mensajes con adjuntos .doc, .docx o .pdf según remitente, destinatario o asunto
- Recibe comandos cifrados en rutas web que imitan servicios legítimos de Exchange
- No usa C2 externo: el propio servidor Exchange es el punto de control
Los IoC están en el repositorio malware-ioc de ESET en GitHub.
ARTEX: agentes de IA como herramienta ofensiva
Microsoft describió ARTEX, un framework ofensivo basado en agentes de IA, en dos usos:
- Barrido masivo de GitHub en busca de secretos filtrados. Con credenciales OAuth de aplicaciones Entra ID, los agentes entran como service principal y llegan a leer Key Vault en unos cinco minutos.
- Storm-3358, un grupo con base en Camboya, lo combina con herramientas tradicionales contra el sector financiero, sobre todo en el sudeste asiático. Explota subidas anónimas de archivos y SSRF, y deja RATs como vshell y AdaptixC2.
La lección es de tiempos: un secreto expuesto sigue vivo hasta que se rota, y el atacante ya no necesita horas para usarlo.
Qué hacer hoy, en orden
- N-central: desconectar las instalaciones propias de internet hasta aplicar el hotfix; revisar cuentas de administrador y tareas creadas desde el domingo.
- Chrome y navegadores Chromium: forzar la actualización a 157.0.8103.50 o superior.
- Barracuda ESG y productos relacionados: confirmar que el parche automático se aplicó y limitar la administración a redes internas.
- OpenSSH en Alpine o musl: actualizar a 10.6p2 y buscar cambios en authorized_keys y consultas a servicios de metadata.
- Aspera Faspex, FreeSWITCH y GPUStack: inventariar y parchar; GPUStack tiene parche desde julio, así que una instancia vulnerable hoy indica un problema de gestión de parches.
- Secretos en repositorios: activar secret scanning y push protection, rotar todo secreto expuesto (incluido el historial de git) y migrar aplicaciones a managed identities.
- OT expuesto: buscar controladores de refrigeración y HVAC accesibles desde internet y cambiar credenciales por defecto.
- Esta tarde: revisar el Patch Tuesday de Microsoft y priorizar lo que venga marcado como explotado.
Conversemos
Las noticias de hoy tienen algo en común: los atacantes ya no esperan, y las brechas se abren en lo que nadie revisó, sea un RMM expuesto, un secreto olvidado en un repositorio o un controlador con la contraseña de fábrica. En MonkeysLab acompañamos a las organizaciones en ese recorrido completo: ethical hacking y pentesting de APIs para encontrar las fallas antes que otros, red teaming para probar la detección y la respuesta, y cumplimiento con ISO 27001, PCI DSS e ITGC para que la seguridad se sostenga en el tiempo. Si alguno de estos frentes le preocupa a tu equipo, escríbenos y revisemos juntos por dónde empezar.
Fuentes
- SecurityWeek: N-able takes N-central offline as researcher drops over 30 zero-days
- BleepingComputer: Google patches eighth Chrome zero-day exploited in attacks this year
- BleepingComputer: Hackers exploit Barracuda Email Security Gateway flaws to get root access
- The Hacker News: CISA warns of active exploitation of OpenSSH, GPUStack, FreeSWITCH, and IBM flaws
- SecurityWeek: France blames Iran for a cyberattack that heated supermarket refrigerators
- Unit 42: Inside the attacks on Europe’s refrigeration systems
- BleepingComputer: Turla hackers use new Cereal malware to spy on govt Exchange servers
- Microsoft: Threat actors use agentic AI tooling to find and abuse exposed secrets
- Microsoft: ARTEX abuse expands as cybercriminals target financial sector
- CISA: Known Exploited Vulnerabilities Catalog