Publicado el por Félix Molinuevo

Guía práctica de seguridad para su empresa, noviembre 2026

Las últimas semanas trajeron una seguidilla de fallas graves e incidentes de seguridad, y es difícil seguirles el ritmo. Las buenas prácticas de siempre siguen funcionando; lo que cambió es la urgencia. Esta nota resume lo que pasó y las medidas que recomendamos para empresas sin equipo de seguridad propio.

Lo que pasó, en breve

Datos al 4 de noviembre de 2026.

  • Falla en el kernel de Linux (CVE-2026-98432). Afecta a la recepción de conexiones de red. Puede atacarse a distancia y sin contraseña. Red Hat publicó correcciones desde el 1 de noviembre y Debian también ya tiene las suyas. En Ubuntu, al 4 de noviembre, las versiones con soporte siguen figurando como vulnerables, con la corrección en preparación. [1][2][3] Más detalles en nuestra nota sobre CVE-2026-98432.
  • PHP2Shell. Dos fallas en PHP, el lenguaje de buena parte de los sitios web, que permiten a un atacante sin credenciales ejecutar código en el servidor. La agencia de ciberseguridad de Estados Unidos (CISA) incluyó CVE-2026-109618 y CVE-2026-109619 el 26 de octubre en su catálogo de vulnerabilidades explotadas en ataques reales. [4] Ver nuestras notas sobre PHP2Shell y Fragnesia, una falla del kernel de Linux que los atacantes combinaron con PHP2Shell para obtener acceso de administrador.
  • Actualización maliciosa de cPGuard. cPGuard es un programa de seguridad para servidores. El 2 de noviembre, un atacante entró al sistema de facturación del fabricante y usó su canal de actualizaciones para distribuir un script que copiaba contraseñas cifradas, claves de acceso y datos de bases de datos. Un vocero de la empresa le dijo a BleepingComputer que detectaron 2.946 servidores afectados; el aviso posterior del fabricante habla de unos 2.950. [5][6] Si el servidor instaló las versiones afectadas, hay que actualizar a la 5.88.26 o posterior y cambiar las contraseñas y claves, porque las copiadas siguen sirviendo. [6]
  • WordPress (CVE-2026-119977). Una falla del núcleo de WordPress (versiones 4.7 a 7.1.3) que, durante una actualización completa, puede permitir a un atacante sin cuenta ejecutar código en el servidor. Está corregida en la 7.1.4, publicada el 28 de octubre. CISA la agregó el 3 de noviembre, con fecha límite 6 de noviembre. [4][7][8]
  • Robo a Binance. El 29 de octubre, Binance sufrió el robo de criptoactivos por unos US$ 6.340 millones, según la propia empresa. En su informe inicial explicó que los atacantes comprometieron la computadora de un ingeniero mediante una falsa entrevista de trabajo y luego accedieron a un servicio interno de firma de billeteras. El FBI atribuyó el ataque al grupo norcoreano TraderTraitor; Corea del Norte lo negó. [9][10][11] Más allá del monto, la lección es simple: una sola computadora de trabajo comprometida no debería dar acceso a sistemas críticos.
  • Extensión maliciosa de Claude Code en Cursor. El 29 de octubre, Cursor informó que su tienda de extensiones distribuyó durante unas 11 horas versiones adulteradas (2.1.312 y 2.1.313) de la extensión de Claude Code para macOS y Windows, que intentaban instalar un acceso remoto persistente por SSH. Cursor recomienda buscar la clave «svc-telemetry» en las claves autorizadas, ejecutar sus scripts de limpieza y cambiar las credenciales desde un equipo confiable, porque desinstalar la extensión puede no alcanzar. Según Microsoft, el incidente se limitó a la tienda de Cursor. [12][13]

Además, hubo una falla en GitLab, que CISA sumó a su catálogo de vulnerabilidades explotadas el 29 de octubre (CVE-2026-97229). [4]

Qué hacer hoy

  1. Active la verificación en dos pasos en el correo, el panel de su hosting o servidor y el banco. Prefiera una llave física o una aplicación de autenticación antes que los códigos por SMS. Las llaves de seguridad y las passkeys resisten mejor el phishing.
  2. Use una contraseña distinta para cada servicio, guardada en un gestor de contraseñas. Reutilizar contraseñas sigue siendo una de las formas más comunes de entrada.
  3. Aplique las actualizaciones pendientes. Del sistema de servidores y equipos, y de los sitios web. Si el servidor lo administra un tercero, pregúntele por escrito qué aplicó y cuándo.
  4. Revise qué servicios de su empresa están expuestos a internet. Paneles, accesos remotos, bases de datos. Todo lo que se ve desde afuera debe estar actualizado, protegido o cerrado. Conviene suponer que cualquier sistema público ya está siendo atacado, y que los atacantes usan modelos de inteligencia artificial para encontrar fallas más rápido.
  5. Saque contraseñas y claves de las computadoras y de los chats. Las claves en archivos, planillas o conversaciones quedan expuestas si alguien entra a una laptop o una cuenta. Páselas al gestor y cambie las que circularon. El caso de cPGuard muestra que una clave copiada sigue sirviendo hasta que se cambia. [6]

Qué hacer en los próximos 30 días

  1. Copias de seguridad probadas y fuera del servidor. Una copia guardada en el mismo servidor puede perderse junto con él. Guárdela en otro lugar y pruebe, al menos una vez, que se puede recuperar.
  2. Inventario de herramientas y extensiones con acceso. Haga una lista de las aplicaciones, extensiones del navegador y servicios conectados que tienen acceso a su correo, sus archivos o sus sistemas. Quite lo que nadie usa. El caso de la extensión de Cursor muestra que una herramienta de confianza puede actualizarse sola con código malicioso.
  3. Si su equipo desarrolla software: un plazo mínimo antes de usar paquetes nuevos. Conviene esperar al menos 7 días antes de instalar versiones recién publicadas de librerías, porque las versiones maliciosas suelen detectarse y retirarse en ese plazo.
  4. Registros que un atacante no pueda borrar, y alertas. Guarde los registros de accesos y cambios en un lugar separado de los sistemas que vigilan. Configure avisos ante cuentas de administrador nuevas, cambios en la verificación en dos pasos, accesos desde lugares o equipos nuevos y descargas grandes de datos.
  5. Un plan de respuesta con nombres y teléfonos. Defina a quién llamar si algo pasa: quien administra los servidores, el hosting, el banco y un asesor legal. Anote qué cuentas cambiar primero.

Ninguna de estas medidas garantiza protección total, pero juntas cierran los caminos más usados por los atacantes.

En AXR Global instalamos, configuramos y mantenemos servidores Linux, con soporte para Apache, PHP, MySQL y PostgreSQL. Si necesita revisar sus servidores, puede consultarnos.

Fuentes (todas abiertas el 4/11/2026)

  1. Red Hat, RHSB-2026-016 (estado Ongoing, actualizado el 4/11/2026): https://access.redhat.com/security/vulnerabilities/RHSB-2026-016 ; fechas de las correcciones: https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2026-98432.json
  2. Debian Security Tracker, CVE-2026-98432: https://security-tracker.debian.org/tracker/CVE-2026-98432
  3. Ubuntu, CVE-2026-98432: https://ubuntu.com/security/CVE-2026-98432
  4. CISA, catálogo KEV (versión 2026.11.03): https://www.cisa.gov/known-exploited-vulnerabilities-catalog (JSON: https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json)
  5. BleepingComputer, «Hackers hijack cPGuard autoupdate to deploy backdoor, steal data» (3/11/2026): https://www.bleepingcomputer.com/news/security/hackers-hijack-cpguard-autoupdate-to-deploy-backdoor-steal-data/
  6. OPSSHIELD, «Security Incident Disclosure: manage.opsshield.com» (3/11/2026): https://opsshield.com/notice/security-incident-disclosure-servermanage.html
  7. CISA, «CISA Adds One Known Exploited Vulnerability to Catalog» (3/11/2026): https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog
  8. WordPress.org, «WordPress 7.1.4» (28/10/2026): https://wordpress.org/news/2026/10/wordpress-7-1-4/
  9. Binance, «Initial Findings and Response Update» (3/11/2026): https://www.binance.com/en/blog/community/3229153443759566763
  10. FBI, alerta sobre el ataque a Binance (31/10/2026): https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack
  11. WIRED en español, sobre la falsa entrevista de trabajo: https://es.wired.com/articulos/como-una-entrevista-de-trabajo-falsa-facilito-el-historico-hackeo-cripto-a-binance
  12. Cursor, aviso de seguridad sobre la extensión de Claude Code (29/10/2026): https://cursor.com/blog/claude-code-extension-security-notice
  13. Microsoft Security Blog (30/10/2026): https://www.microsoft.com/en-us/security/blog/2026/10/30/inside-malicious-claude-code-branded-cursor-extension-persistent-ssh-backdoor/