-
CyberStrikeAI: 44 agentes se reparten el trabajo de atacar 19 organizaciones, 16 de ellas en Japón (27/10)
El informe es de TrendAI, la división empresarial de Trend Micro, y lo firman Bakuei Matsukawa y Joseph C. Chen, que analizaron tres entornos de servidor expuestos con herramientas, listas de objetivos, resultados, logs e historiales de comandos. El primer caso es el que da el título: usaron CyberStrikeAI, una herramienta open-source de pentesting ya vista contra equipos FortiGate de Fortinet, que parte el trabajo entre 44 agentes cubriendo reconocimiento, descubrimiento y validación de vulnerabilidades, explotación, command-and-control, persistencia, exfiltración y reporte automático, y que además generó formularios y páginas de login falsas en japonés. Al menos 19 organizaciones, 16 en Japón, en una ventana corta de octubre de 2026, cada una con un reporte en el mismo formato y con índice de evidencias, lo que para TrendAI indica proceso corrido por plataforma y no notas de operador. Los otros dos casos bajan el nivel de automatización: en el segundo un humano usó un LLM para acelerar planificación y desarrollo de herramientas, apuntó también a plataformas de workflow de IA y servicios de inferencia aparentemente para conseguir capacidad barata a escala, y entró a un servidor GIS con credenciales por default del que sacó registros catastrales y comerciales, credenciales de Windows y correo, en una campaña de 24 días entre agosto y septiembre; en el tercero la IA solo armó herramientas y scripts, contra equipos de borde de Cisco, Citrix, F5 y Yamaha usando vulnerabilidades publicadas, interfaces de administración o credenciales encontradas en archivos de configuración. Las salvedades: no hay evidencia que ate los tres incidentes a un mismo operador, no se sabe si hubo otras regiones ni qué modelos usaron. La lectura de TrendAI es la que conviene quedarse: la IA amplía la capacidad del atacante pero no cambió las debilidades que explota; lo nuevo es intentar miles de ataques a la vez, adaptarse al idioma local y no cansarse. The Hacker News
-
Fortinet avisó que hay un 0-day de FortiMail explotado activamente y todavía sin parche: CVE-2026-104286, puntaje 9,8 (02/10)
Es un salto de directorio combinado con neutralización incorrecta de bytes NULL, y permite a un atacante sin autenticar escribir archivos arbitrarios en el sistema con pedidos HTTP o HTTPS armados. Las versiones afectadas son FortiMail 8.0.0 a 8.0.1, 7.6.0 a 7.6.6, 7.4.0 a 7.4.8 y 7.2.0 a 7.2.9; hay que ir a 8.0.2+, 7.6.7+ o 7.4.9+, y las ramas 7.2.x tienen que migrar a 7.4+. El problema es que los parches están anunciados pero no publicados para todos, así que la mitigación por ahora es deshabilitar la función IBE y restringir la interfaz de administración a redes de confianza. Las dos IPs maliciosas a bloquear: 79.141.169[.]187 y 45.129.0[.]192. CISA lo metió al catálogo KEV el 1 de octubre y el plazo para agencias federales vence el 4. The Hacker News · The Register
-
Una falla crítica de ejecución remota sin autenticar en Orkes Conductor está bajo explotación activa (19/09)
CVE-2026-58138 tiene 9,8 en CVSS v3.1 y 9,3 en v4, y afecta a Orkes Conductor desde 3.21.21 hasta antes de 3.30.2. El problema es que el endpoint de la API de workflows acepta definiciones inline antes de autenticar, y esas definiciones pueden traer expresiones en JavaScript o Python que se evalúan con evaluadores GraalVM sin sandbox, configurados con HostAccess.ALL o allowAllAccess(true). Desde ahí, vía reflection de Java o llamadas directas a subprocesos, se ejecutan comandos arbitrarios del sistema operativo. Los tipos de tarea afectados son INLINE, LAMBDA, DO_WHILE y SWITCH. Fortinet emitió una alerta de brote esta semana. The Hacker News · NVD
-
Evooo1Bot: la botnet Linux que convierte routers de borde en nodos de relay SOCKS5 (15/08)
Fortinet detalló una botnet modular basada en el código filtrado de Mirai que desde al menos julio ataca equipos de Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare y D-Link explotando vulnerabilidades ya conocidas. Va mucho más allá del DDoS heredado: C2 cifrado por el puerto 443, fuerza bruta SSH con 150 combinaciones orientadas a cuentas empresariales, un sniffer que monitorea /proc/net/tcp para capturar encabezados HTTP Basic Auth y Cookie, y un módulo SOCKS5 con modo directo e inverso que permite ocultar tráfico, saltear restricciones geográficas o entrar a redes internas a través de equipos comprometidos. Trae 12 builds según arquitectura, persistencia por systemd, SysV init, perfiles de shell y rc.local, un cron que redescarga el payload cada 5 minutos, y chequeos anti-debugger, anti-sandbox, anti-VM y anti-honeypot. Fortinet aclara que varios de los exploits nuevos están mal implementados y fallan. La mitigación es la de siempre y sigue sin hacerse: firmware al día, credenciales por defecto fuera, paneles de administración remota apagados. BleepingComputer · Fortinet
-
Citrix NetScaler bajo explotación masiva (CVE-2026-3055)
El equipo de inteligencia de amenazas de Fortinet confirmó explotación a gran escala de esta vulnerabilidad crítica (CVSS 9.8) de lectura fuera de límites en NetScaler ADC/Gateway, que permite ejecución remota de código sin autenticación cuando el equipo actúa como SAML IDP. Importa por la enorme superficie de exposición de los NetScaler en internet y la criticidad del acceso que otorga. Cybersecurity Dive · NVD
-
FortiBleed: más de 86.000 firewalls Fortinet comprometidos
Una campaña a gran escala extrajo archivos de configuración de dispositivos FortiGate expuestos a internet y crackeó offline (con infraestructura de 45 GPUs) los hashes SHA-256 débiles que quedan tras upgrades de FortiOS, obteniendo credenciales de administrador y VPN válidas en más de 86.000 equipos de 194 países —cerca del 50% de los FortiGate accesibles. CISA pidió endurecer la configuración de inmediato. The Hacker News · CISA · SecurityWeek
-
FortiBleed: 30.000–75.000 credenciales de FortiGate en riesgo
Una campaña activa identificada a mediados de junio extrae archivos de configuración de firewalls FortiGate expuestos a internet y crackea los hashes de credenciales almacenados, obteniendo credenciales de administrador válidas para entre 30.000 y 75.000 dispositivos en 194 países. Conviene rotar credenciales y revisar exposición de los FortiGate. Arctic Wolf
-
FortiBleed y otras brechas activas
CISA alertó sobre una campaña ("FortiBleed") que comprometió ~86.644 appliances FortiGate al 19/06. Salesforce desactivó la integración de la app "Klue Battlecards" el 11/06 tras detectar actividad anómala con posible acceso no autorizado a datos de clientes. Sigue el coletazo del robo por ShinyHunters de ~275M de registros de estudiantes y personal educativo (8.809 distritos/universidades). TechCrunch · Breachsense