Brechas de datos de octubre de 2026: todos los grandes hackeos

Octubre de 2026 fue un mes de ataques a la cadena de suministro y basados en credenciales mucho más que de intrusiones de red clásicas. Fallas críticas en el propio PHP, una versión envenenada de LiteLLM, el compromiso de una plataforma de copias de seguridad y una serie de grandes brechas de datos en gobierno, educación y hosting llegaron en pocas semanas. Este es un resumen independiente y atribuido: cada cifra tiene fuente y cada caso está marcado como confirmado, afirmado o rumor, con una conclusión defensiva. PlayCISO es independiente y no está afiliado a ninguna organización mencionada; esto es información general, no un comentario sobre la conducta de ninguna parte concreta.

Método y una nota sobre las puntuaciones de severidad

Contrastamos cada caso con informaciones primarias y declaraciones de los proveedores, corregimos cifras cuando las fuentes no coincidían y descartamos o señalamos lo que no pudimos sostener. Dejamos fuera un caso muy difundido —una supuesta brecha de Capcom de ~11,7 millones de cuentas— porque no encontramos informaciones de octubre de 2026 al respecto; el único registro público que coincide es el incidente de Capcom de 2020, que no tiene relación, así que trata esa cifra como no verificada.

La severidad editorial junto a cada caso es una lectura subjetiva de PlayCISO sobre diez: cuánto creemos que debería importarle a un líder de seguridad, según la escala, la sensibilidad y qué tan accionable es la corrección. No es CVSS, ni EPSS, ni ningún estándar reconocido; úsala solo como una señal relativa rápida. Ten en cuenta también que varias de las cifras más llamativas de este mes son afirmaciones no verificadas de actores de amenazas, no hechos confirmados.

Confirmado: fallas críticas y compromisos de la cadena de suministro

Patch Tuesday de octubre de Microsoft: un récord de ~1.413 CVE, incluido un zero-day explotado. Estado: Confirmado. Severidad editorial: 7/10. La actualización de octubre de 2026 de Microsoft fue la mayor de su historia en volumen e incluyó CVE-2026-96951, una falla de omisión de una función de seguridad de Windows Shell explotada activamente, además de un problema de .NET divulgado públicamente (CVE-2026-108398). Conclusión: no intentes tragarte más de 1.400 correcciones a la vez; ordena por «explotado activamente / prueba de concepto pública» y parchea primero el zero-day.

• PHP2Shell (CVE-2026-109618 / CVE-2026-109619). El equipo de seguridad de PHP parcheó de urgencia el 21 de octubre dos fallas de ejecución remota de código sin autenticación en el núcleo de PHP, después de que se filtraran los detalles; afectan prácticamente a toda instalación de PHP expuesta a la web. PHP las califica con CVSS 9.2 (el «10.0» que circuló era una suposición de quien lo filtró), dice que no hay una mitigación completa y se ha informado de explotación activa. Estado: Confirmado. Severidad editorial: 9/10. Conclusión: actualiza ya a PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 y busca todas las instalaciones de PHP, no solo las obvias.
• Versión envenenada de LiteLLM 1.107.0. Una versión maliciosa del popular gateway de LLM estuvo publicada en PyPI y en las imágenes oficiales de Docker durante unas dos horas el 21 de octubre, con un ladrón de credenciales que se ejecutaba al iniciar Python y una puerta trasera de acceso remoto; LiteLLM lo atribuye al abuso de tokens de GitHub de sus ingenieros. Estado: Confirmado. Severidad editorial: 7/10. Conclusión: si algún sistema descargó la 1.107.0 en esa ventana, asume el compromiso, reconstruye desde imágenes limpias y rota todas las credenciales a su alcance. Nuestro chequeo de exposición a LiteLLM te ayuda a saberlo rápido.
• ConnectWise Cloud Backup (antes SkyKick). ConnectWise suspendió su servicio Cloud Backup después de que los atacantes abusaran de identidades de aplicación para llegar a tenants de Microsoft 365 desde el 15 de octubre; Huntress contó primero al menos 162 tenants comprometidos en su propio entorno y, para el 17 de octubre, veía inicios de sesión desde la IP del atacante en casi 1.000 tenants de Entra, con más de 300 exitosos. Estado: Confirmado (la intrusión). Nota: las afirmaciones de que un actor vinculado a China usó agentes de IA no estaban respaldadas por las fuentes primarias que revisamos; trata ese planteamiento como no verificado. Severidad editorial: 9/10. Conclusión: revisa de forma independiente tus tenants de M365 y los de tus clientes; revoca y vuelve a autorizar los permisos OAuth de apps de terceros. Consulta nuestro análisis completo de ConnectWise.
• Claves de certificado débiles de eMudhra. Unos investigadores informaron el 17 de octubre de que las claves privadas de ocho certificados de CA intermedias de eMudhra podían recuperarse a partir de los certificados públicos; Chrome, Firefox, Apple y Microsoft las bloquearon en días, y Chrome planea retirar la raíz superior el 27 de octubre. Estado: Confirmado. Severidad editorial: 8/10. Conclusión: inventaría los certificados que encadenan a las raíces afectadas antes de que la retirada rompa sitios legítimos.
• Zero-day de Arista VeloCloud Orchestrator. Arista parcheó una falla de severidad máxima y explotada activamente en VeloCloud Orchestrator (CVE-2026-93952), añadida al catálogo KEV de CISA. Estado: Confirmado, pero con matiz de fecha: se divulgó a finales de septiembre de 2026, no en octubre, y se arrastró al mes. Severidad editorial: 7/10. Conclusión: si usas VCO on-prem, confirma que estás parcheado y busca indicios de explotación previa.

Confirmado: grandes brechas de datos

Oracle Health (Cerner): unos 20 millones de pacientes. Estado: Confirmado. Severidad editorial: 8/10. Las notificaciones presentadas ante fiscales generales estatales entre principios y mediados de octubre de 2026 (Texas informó de unos 2,99 millones de residentes, Oregón de unos 1,98 millones y Carolina del Sur de unos 0,28 millones) apuntan a una brecha en la infraestructura heredada de Cerner de Oracle Health que afecta a unos 20 millones de personas en decenas de sistemas hospitalarios de EE. UU. Las informaciones rastrean la intrusión hasta credenciales de clientes comprometidas usadas contra sistemas heredados en 2025, con las notificaciones masivas llegando en octubre de 2026; Oracle ha declinado comentar el número de víctimas. Conclusión: las intrusiones «antiguas» aparecen como el incidente de este año a través del goteo lento de las notificaciones de brechas; sigue los portales de los fiscales estatales, no solo el federal, y trata la infraestructura adquirida o heredada como parte del alcance.

IDC Frontier (proveedor de nube japonés): caída por ransomware reportada. Estado: Reportado (los detalles siguen apareciendo). Severidad editorial: 7/10. Rastreadores de amenazas regionales informaron de un ataque de ransomware contra el proveedor de nube japonés que dejó fuera de servicio a un gran número de organizaciones clientes, y el grupo afirma haber cifrado un volumen muy grande de datos; los detalles aún se estaban concretando al momento de escribir, así que trata las cifras como no confirmadas. Conclusión: un ransomware del lado del proveedor es riesgo de concentración; conoce tus dependencias de hosting y nube y tu plan alternativo si una se apaga.

• Educational Testing Service (ETS): estudiantes de California. El Departamento de Educación de California informó el 16 de octubre de que un inicio de sesión comprometido permitió a un intruso copiar archivos de estudiantes entre mayo y septiembre; las informaciones sitúan la escala en unos 5,7 a 7 millones de estudiantes (nombres, fechas de nacimiento, direcciones, situación de discapacidad, resultados de pruebas; las autoridades dicen que no hay números de seguro social ni datos financieros). Estado: Confirmado. Severidad editorial: 8/10. Conclusión: los registros de menores conllevan un riesgo de identidad a largo plazo; exige MFA en los sistemas de transferencia de datos.
• Registro central de población de Dinamarca (CPR). Las autoridades danesas informaron el 5 de octubre de que los atacantes llegaron al registro nacional vulnerando a una empresa con acceso legítimo y probando por fuerza bruta números CPR, lo que afecta a unos 8,8 millones de personas, aproximadamente el 80 % de la población. Estado: Confirmado. Severidad editorial: 8/10. Conclusión: el acceso de tus terceros a tus datos más valiosos es tu riesgo; vigílalo y limita su ritmo.
• Zeabur (hosting). La plataforma informó de que un atacante usó credenciales internas filtradas —incluido un token de administrador que no caducaba— para leer su base de datos y 3.218.965 registros de variables de entorno de 321.810 cuentas entre el 14 y el 15 de octubre. Zeabur cerrará antes del 31 de diciembre de 2026. Estado: Confirmado. Severidad editorial: 8/10. Conclusión: si alguna vez usaste Zeabur, trata todas las variables como filtradas y rótalas ya.
• Railway (hosting). Railway informó el 21 de octubre de que una parte no autorizada pudo acceder a variables de entorno de clientes, algunas descifradas —que pueden contener claves de API y credenciales de bases de datos o registros—, y lo vinculó a una campaña más amplia contra proveedores de plataformas y de inferencia de IA. Estado: Confirmado (alcance según Railway, limitado a un subconjunto). Severidad editorial: 7/10. Conclusión: rota todas las variables de entorno y credenciales de registros y revisa los logs.
• Burger King Japón. El operador BK Japan confirmó hacia el 13 de octubre que un acceso no autorizado entre el 2 y el 7 de octubre expuso unos 11,18 millones de registros de miembros de la app (ID, correos, teléfonos, fechas de nacimiento, género, prefectura); dice que en el servidor afectado no se guardaban números de tarjeta. Estado: Confirmado. Severidad editorial: 6/10. Conclusión: espera phishing y smishing contra los clientes afectados; prepara la comunicación.
• GMO Onamae Desktop Cloud (Japón). GMO Internet anunció el 21 de octubre que los atacantes instalaron malware en servidores de clientes, con un impacto potencial en unos 26.739 servidores; está apagando servidores de forma escalonada y pide cambiar credenciales. No había fuga de datos confirmada al momento del anuncio. Estado: Confirmado. Severidad editorial: 6/10. Conclusión: rota cualquier credencial guardada en escritorios virtuales alojados.
• Nikkei. El grupo de medios japonés informó de una brecha de unos 1,83 millones de registros mediante credenciales robadas de un servicio de desarrollo en la nube (unos 150.000 registros contenían identificadores), descrita como su tercera brecha en aproximadamente un mes. Estado: Confirmado (lo de «la tercera en un mes» se apoya sobre todo en un medio). Severidad editorial: 5/10. Conclusión: los incidentes repetidos apuntan a una brecha sistémica de identidad o de monitoreo, no a la mala suerte.
• Legal Aid Agency del Reino Unido: registros de 1978. Una actualización forense de octubre de 2026 sobre la brecha de abril de 2025 de la agencia confirmó que unos 250.000 registros son anteriores a 2007, y los más antiguos datan de 1978; los datos robados incluyen datos de contacto de los solicitantes, antecedentes penales e información financiera. Estado: Confirmado (una brecha de 2025, divulgada en octubre de 2026). Severidad editorial: 6/10. Conclusión: la retención es una decisión sobre la superficie de brechas; no puedes perder datos que ya no tienes.

Afirmado y no verificado: trátalo como marketing de los atacantes

• PwC / Everest (afirmación de 590 GB). El grupo Everest publicó a PwC el 22 de octubre afirmando tener ~590,69 GB; PwC solo confirmó un incidente acotado en un proveedor externo que aloja registros de formación de empleados, sin datos de clientes ni datos sensibles en el sitio afectado y sin muestras publicadas. Estado: Incidente confirmado; volumen de 590 GB afirmado (no verificado). Severidad editorial: 6/10. Conclusión: consulta nuestro análisis de PwC / Everest para la separación entre lo confirmado y lo afirmado, y la cronología de brechas de datos de PwC con todos sus incidentes desde 2014.
• Condado de Anne Arundel, Maryland / Rhysida (afirmación de 2,6 TB). El condado confirmó que un actor no autorizado copió archivos tras detectar actividad el 28 de agosto; Rhysida afirma tener 2,6 TB en 814.500 archivos a 25 bitcoins y dice que incluyen números de seguro social, licencias de conducir y datos bancarios. Estado: Brecha confirmada; volumen de 2,6 TB y contenido afirmados (no verificados). Severidad editorial: 7/10. Conclusión: no confirmes en tus propias comunicaciones las cifras de alcance de un atacante hasta haberlas verificado.

En desarrollo / rumores

• Ciudad de Columbia, Carolina del Sur. La State Law Enforcement Division investiga actividad sospechosa en la red de la ciudad; algunas aplicaciones y servicios se vieron afectados, mientras que los sistemas de seguridad pública y de servicios básicos siguieron funcionando, según se informa. El alcance y la causa aún no son públicos. Estado: Investigación confirmada, pocos detalles. Severidad editorial: 5/10.
• White House Military Office (rumor de phishing). No pudimos verificar ningún incidente de octubre de 2026; el único registro público que coincide es un episodio de spear phishing de 2015 sin relación. Estado: Rumor / no confirmado; no se encontraron fuentes creíbles de octubre de 2026 ni pérdida de datos confirmada. Severidad editorial: 4/10. Lo incluimos solo para marcarlo como no fundamentado.

¿De verdad la IA ya hace el hackeo?

La frase está en todas partes, así que conviene ser precisos. El hito claramente documentado es el informe de Anthropic de noviembre de 2025 según el cual un grupo vinculado a China usó su herramienta Claude Code para llevar a cabo una campaña de espionaje en gran parte automatizada contra unos 30 objetivos, con el modelo realizando aproximadamente el 80-90 % de las operaciones tácticas, aunque también alucinó datos y exageró sus éxitos, así que las personas tuvieron que validar.

En cambio, dos afirmaciones concretas que circularon este octubre no se sostuvieron frente a las fuentes primarias: que agentes de IA dirigieron la campaña de ConnectWise y que un grupo chino hacía unos 3.000 intentos de inicio de sesión por minuto; los propios informes de Microsoft sobre esa botnet describen un patrón deliberadamente lento y discreto, a menudo un intento por cuenta al día. Lo que sí es inequívoco es que los atacantes están automatizando a escala y cada vez más apuntan a la propia cadena de herramientas de IA: la versión envenenada de LiteLLM y la campaña de Railway contra proveedores de inferencia de IA son la prueba de este mes. En cualquier caso, la lección defensiva se mantiene: asume ataques más rápidos y de mayor volumen y prioriza los controles de identidad y de cadena de suministro. Sobre el riesgo de modelos sin gobernar en tu propio stack, consulta nuestra introducción a los modelos abliterados.

Por otro lado, informaciones regionales —de una sola fuente al momento de escribir, así que trátalas como no verificadas— afirmaron que se usó IA en intrusiones en 16 instituciones financieras de Corea del Sur. La lectura honesta de todo esto: la IA claramente está acelerando y escalando partes de los ataques (reconocimiento, phishing, ataques a credenciales, triaje), pero los titulares de «la IA hizo todo el hackeo» han ido por delante de la evidencia una y otra vez este año. Da más peso a las divulgaciones confirmadas que a las afirmaciones de atacantes o de segunda mano.

Qué hacer esta semana

• Parchea PHP2Shell en todas partes —no hay mitigación parcial— y busca LiteLLM 1.107.0, reconstruyendo y rotando todo lo que haya tocado.
• Rota los secretos guardados en cualquier plataforma de hosting afectada (Zeabur, Railway) y revisa los logs de acceso por si hubo abusos.
• Asegura las identidades de aplicación y los tokens OAuth —el punto de entrada recurrente este mes— con mínimo privilegio, caducidad y reautorización periódica.
• Trata el SaaS como riesgo de proveedor dentro del alcance. Inventaría las plataformas de formación, RR. HH., copias de seguridad y desarrollo y qué datos guarda cada una; puntúalas con nuestro Vendor Risk Scorecard.
• Construye por capas para que una credencial comprometida no sea el fin del juego —consulta defensa en profundidad— y pon una cifra defendible a la exposición con la calculadora de coste de brechas.

Preguntas frecuentes

¿Los mayores ataques de octubre de 2026? Las fallas de RCE PHP2Shell, el paquete envenenado LiteLLM 1.107.0 y el compromiso de ConnectWise Cloud Backup; además de las brechas en ETS, el registro de población de Dinamarca, Zeabur, Railway, Burger King Japón, GMO Onamae y Nikkei.

¿Cómo se decidieron las puntuaciones de severidad? Son una lectura subjetiva de PlayCISO sobre diez, no CVSS ni ningún estándar. Úsalas solo como una señal relativa.

¿La IA ya ataca por su cuenta? El caso documentado es el informe de Anthropic de noviembre de 2025 sobre una campaña de espionaje dirigida en gran parte por IA. Varias afirmaciones concretas de octubre sobre agentes de IA e inicios de sesión a ritmo extremo no estaban respaldadas por fuentes primarias.

¿Eran reales las cifras de las bandas de ransomware? Trátalas como marketing no verificado: los 590 GB de Everest sobre PwC y los 2,6 TB de Rhysida sobre Anne Arundel son afirmaciones que las organizaciones no confirmaron.

¿Qué hacer primero? Parchear PHP2Shell, buscar LiteLLM 1.107.0, rotar los secretos de las plataformas de hosting, asegurar las identidades de apps OAuth y tratar el SaaS como riesgo de proveedor dentro del alcance.

Seguimientos de finales de octubre

• Brecha de datos de Quest Diagnostics: acceso no autorizado a registros de pacientes en Quanum Lab Services Manager, confirmado en un formulario 8-K (21 de octubre).
• Ivanti Connect Secure CVE-2026-111357: CISA añadió al KEV dos fallas más de la cadena de zero-days de UTA0576 (30 de octubre).
• Brecha de datos de Revolve: pueden haberse llevado números de tarjetas de pago guardadas y sus fechas de vencimiento, según un 8-K (29 de octubre).
• Supuesta fuga de datos de AU Small Finance Bank: el banco investiga una posible fuga en una plataforma alojada en Salesforce después de que ScarlettGroup afirmara tener datos KYC (30 de octubre).