Brechas de datos y ciberataques de septiembre de 2026: resumen

Septiembre de 2026 se apoyó sobre todo en zero-days en dispositivos de borde y grandes brechas de datos ligadas a la identidad, más que en intrusiones de red ruidosas. Fallos explotados activamente en Citrix NetScaler, Arista VeloCloud y Apple llegaron junto a brechas en el Defense Manpower Data Center de EE. UU., Gyazo, CenterPoint Energy y la japonesa Keio, además de una sonora afirmación, todavía sin demostrar, de ShinyHunters contra el portal de empleo del FBI. Este es un resumen independiente y atribuido: cada cifra tiene fuente, cada caso está marcado como confirmado, afirmado, reportado o rumor, con una conclusión defensiva. PlayCISO es independiente y no está afiliado a ninguna organización mencionada; esto es información general, no un comentario sobre la conducta de ninguna parte concreta.

Método, y una nota sobre las puntuaciones de severidad

Contrastamos cada caso con la cobertura primaria y con las declaraciones de fabricantes o reguladores, y señalamos cuándo una cifra es una afirmación no verificada de un actor de amenazas o se basa en un único agregador de brechas. La severidad editorial junto a cada entrada es una lectura subjetiva de PlayCISO sobre diez: cuánto creemos que debería importarle a un líder de seguridad, según la escala, la sensibilidad y lo accionable que sea la corrección. No es CVSS, ni EPSS, ni ningún estándar reconocido; úsala solo como señal relativa. Varias de las cifras más grandes de este mes son afirmaciones, no hechos confirmados, y lo decimos cada vez.

Confirmado: zero-days explotados activamente

• Citrix NetScaler ADC y Gateway (CVE-2026-88771 / CVE-2026-88772). Citrix divulgó ocho fallos de NetScaler el 27 de septiembre, entre ellos dos fallos críticos de ejecución remota de código con CVSSv4 9.5 explotados como zero-days antes de la divulgación; CVE-2026-88771 es un fallo de ejecución de comandos sin autenticación que afecta a las configuraciones por defecto. Los atacantes instalaron webshells; CISA añadió ambos a su catálogo Known Exploited Vulnerabilities el 27 de septiembre, y los investigadores reportaron que los ataques se ampliaron a una explotación masiva e indiscriminada («spray and pray») en cuanto circuló una prueba de concepto. Estado: confirmado. Severidad editorial: 9/10. Conclusión: parchea ya a las versiones corregidas de NetScaler y, si un dispositivo estaba expuesto a internet y sin parchear, busca webshells y trátalo como potencialmente comprometido, no solo como vulnerable.
• Arista VeloCloud Orchestrator (CVE-2026-93952). Arista pidió parchear de inmediato un fallo de máxima severidad en VeloCloud Orchestrator on-premises explotado como zero-day; tiene CVSS 3.1 de 10.0 (CVSS 4.0 de 9.5) y CISA lo añadió al catálogo KEV el 22 de septiembre. Puede permitir a un atacante remoto llegar sin credenciales a funciones internas privilegiadas del VCO en los despliegues afectados. Se reportó como el tercer zero-day de Arista explotado activamente en 2026. Estado: confirmado. Severidad editorial: 8/10. Conclusión: si usas VeloCloud Orchestrator on-premises, confirma que estás en una versión corregida, conserva los logs antes de remediar y busca indicios de explotación previa.
• Apple CoreGraphics (CVE-2026-86950). Apple corrigió una escritura fuera de límites en CoreGraphics (reportada por Meta Product Security) que, según dice, puede haberse usado en un ataque «extremadamente sofisticado» contra personas concretas seleccionadas. Las correcciones llegaron hacia el 28 de septiembre en iOS 26.7.1, iPadOS 26.7.1 y las actualizaciones correspondientes de macOS. Estado: confirmado. Severidad editorial: 7/10. Conclusión: distribuye las actualizaciones móviles y de escritorio con un plazo corto, sobre todo a las personas de alto riesgo; la explotación dirigida de iOS suele empezar por un grupo pequeño y elegido a propósito.

La cobertura agregada atribuyó también explotación en septiembre a otros productos: Cisco Secure Email Gateway (CVE-2026-76461), un fallo de omisión de autenticación de Cisco ISE, los appliances SonicWall SMA 1000, un zero-day de V8 en Google Chrome (CVE-2026-11645) y un fallo de Oracle PeopleSoft (CVE-2026-35273). No confirmamos cada uno de forma independiente contra el aviso del fabricante, así que toma la lista como un recordatorio para el triaje de parches: revisa tu exposición y confirma las versiones corregidas con el fabricante.

Confirmado: grandes brechas de datos

Defense Manpower Data Center de EE. UU. (Pentágono). Estado: confirmado (fuentes oficiales). Severidad editorial: 8/10. Los responsables de Defensa cifraron la exposición en unos 2,76 millones de personas vivas y 294.000 fallecidas después de que usuarios no autorizados accedieran a archivos almacenados sin cifrar; los datos incluían números de la Seguridad Social y datos laborales, y el acceso habría durado desde octubre de 2025 hasta que se detectó el fallo en julio de 2026. Las cartas de notificación se enviaron el 18 de septiembre y la noticia se hizo pública hacia el 24; los responsables dicen que todavía no hay evidencia de uso indebido. Conclusión: datos personales sin cifrar más una ventana de acceso de meses es la peor combinación: cifra en reposo los registros sensibles y alerta ante lecturas masivas anómalas, no solo ante los inicios de sesión.

• Gyazo (Helpfeel). El servicio de capturas de imágenes confirmó que un atacante explotó un fallo en su servidor de subidas el 11 de septiembre y robó unos 23,62 millones de registros de usuarios (nombres, direcciones de correo, hashes de contraseñas, identificadores de dispositivo y de sesión) más metadatos de unos 490 millones de imágenes; Helpfeel confirmó el robo el 14 de septiembre y advirtió que no podía descartar que se vieran algunas imágenes privadas. Subrayó que el recuento de registros incluye cuentas anónimas y no equivale al número de personas identificables. Estado: confirmado. Severidad editorial: 7/10. Conclusión: si usabas Gyazo, rota cualquier contraseña reutilizada y revoca los tokens de SSO o de apps vinculados; el robo de identificadores de sesión permite tomar cuentas sin la contraseña.
• Keio Corporation (Japón). El operador de transporte y hostelería confirmó un ataque de ransomware que empezó el 26 de septiembre y paralizó su red; la parte de hostelería (incluidos los sistemas de pago del Keio Plaza Hotel) fue la más afectada, mientras que los trenes funcionaron con normalidad. Keio seguía evaluando la exposición de datos de clientes y socios y no había encontrado evidencia de filtración en el momento del reporte; Tokyo Metro divulgó un incidente distinto ese mismo fin de semana. Estado: confirmado. Severidad editorial: 6/10. Conclusión: un ransomware que entra en la IT corporativa puede paralizar los pagos y los servicios a clientes aunque las operaciones críticas para la seguridad estén segmentadas: comprueba que tu segmentación realmente aguanta.
• CenterPoint Energy. La eléctrica texana confirmó en una presentación ante la SEC del 14 de septiembre que un tercero no autorizado obtuvo información personal de una parte de sus clientes a través de un sistema expuesto al exterior; los servicios de electricidad y gas no se vieron afectados. Las afirmaciones del atacante (unos 7,49 millones de registros extraídos iterando identificadores en una API pública sin limitación de solicitudes, incluidos SSN parciales) no las ha confirmado la empresa. Estado: brecha confirmada; volumen de 7,49 M y método por API afirmados (sin verificar). Severidad editorial: 7/10. Conclusión: las API públicas que devuelven datos personales por registro necesitan limitación de solicitudes, un WAF y comprobaciones de autorización; identificadores enumerables sin limitación son un scraping masivo esperando a ocurrir. Nuestra página de API de seguridad cubre el lado defensivo de exponer datos de forma programática.

Afirmado y sin verificar: trátalo como marketing de los actores de amenazas

• Portal de empleo del FBI / ShinyHunters. El grupo afirmó públicamente haber vulnerado los sistemas de empleo y RR. HH. del FBI usando un supuesto fallo de ejecución remota de código sin autenticación en Oracle PeopleSoft y haber robado de 2 a 3 terabytes de datos sobre agentes, candidatos y familiares, presentándolo como represalia por un aviso del FBI de mayo y exigiendo que se retire ese aviso en lugar de un rescate en dinero. El FBI confirmó que está investigando y el portal quedó fuera de línea; periodistas de 404 Media y Reuters consideraron auténtica una muestra de 5.000 registros, y según se informa el FBI pidió a su personal que diera por hecho que sus datos fueron robados. Estado: investigación confirmada; alcance de varios terabytes y vector de entrada por PeopleSoft afirmados (sin verificar por el FBI, Oracle ni AWS). Severidad editorial: 6/10. Conclusión: una muestra autenticada demuestra una intrusión, no todo el botín afirmado; no repitas como un hecho en tus propias comunicaciones la cifra de alcance de un atacante.
• Conde Nast (anuncio en un foro). Una base de datos que supuestamente contiene unos 32,8 millones de cuentas se habría ofrecido por unos 15.000 dólares en un foro de ciberdelincuencia en ruso, con una muestra que parte de la cobertura relacionó con datos reales de 2025. Estado: afirmado (no confirmado por la empresa); anuncio de una sola fuente. Severidad editorial: 5/10. Conclusión: un anuncio de venta es una pista, no una divulgación, pero es un buen motivo para forzar la rotación de credenciales y vigilar el credential stuffing contra tus propios inicios de sesión.

Reportado / todavía en desarrollo

Varios incidentes grandes circularon este mes sobre todo a través de agregadores de brechas; los marcamos como reportados y recomendamos confirmarlos con la organización o con su presentación regulatoria antes de fiarte de las cifras. Entre ellos, brechas sanitarias en Aesto Health (reportada en unos 9,5 millones de personas mediante un acceso no autorizado a AWS que data de diciembre de 2025) y en AdaptHealth (reportada en unos 4,1 millones), y un ataque de ransomware al proveedor cloud japonés IDC Frontier que, según se informa, afectó a clientes públicos y empresariales. Estado: reportado (agregado), cifras no confirmadas por nosotros. Severidad editorial: 6/10 para los casos sanitarios, dada la sensibilidad de los datos médicos. Conclusión: las brechas sanitarias y de alojamiento en la nube conllevan una exposición de cola larga y difícil de rotar (historial médico, credenciales almacenadas); si eres cliente, asume la exposición y rota lo que puedas.

¿De verdad la IA está haciendo el hackeo?

El discurso de «la IA ejecuta los ataques» volvió a sonar fuerte en septiembre, así que conviene ser preciso. Circularon unos cuantos casos (una cepa de malware impulsada por IA que, según se informó, usaba modelos para elegir acciones y exfiltrar credenciales; un reporte sin verificar de un agente de IA que manipuló registros en la autoridad de protección de datos de España; y un caso reportado de un agente de navegación con IA que llegó a un sitio del gobierno australiano), pero cada uno se basaba en una cobertura escasa o de una sola fuente al momento de escribir, y no pudimos sostenerlos frente a fuentes primarias. La investigación anterior de 2025 sobre malware habilitado por IA, como los análisis MalTerminal de SentinelOne y JadePuffer de Sysdig, describe herramientas de prueba de concepto o en fase temprana, no campañas masivas en el mundo real.

El hito claramente documentado sigue siendo el informe de Anthropic de noviembre de 2025 según el cual un grupo vinculado a China usó su herramienta Claude Code para ejecutar una campaña de espionaje en gran medida automatizada, en la que el modelo realizó aproximadamente entre el 80 y el 90 % de las operaciones tácticas contra unos 30 objetivos, aunque también alucinó datos y exageró su éxito, de modo que los humanos aún tuvieron que validarlo. La lectura honesta: la IA está acelerando claramente partes de los ataques (reconocimiento, phishing, trabajo con credenciales), pero los titulares de «la IA hizo todo el hackeo» siguen yendo por delante de la evidencia. Da más peso a las divulgaciones confirmadas que a las afirmaciones y modela las amenazas para el caso realista (ataques más rápidos, de mayor volumen y más baratos) y no para el cinematográfico. Nuestra herramienta de modelado de amenazas es un punto de partida.

Qué hacer esta semana

• Parchea primero los zero-days de borde explotados (Citrix NetScaler, Arista VeloCloud Orchestrator y Apple CoreGraphics) y busca indicios de compromiso previo (webshells, sesiones de administración anómalas) en todo lo que estuviera expuesto a internet y sin parchear.
• Cierra las API públicas y las identidades de aplicación (el punto de entrada recurrente este mes, desde el sistema externo de CenterPoint hasta las credenciales robadas de proveedores) con limitación de solicitudes, un WAF, mínimo privilegio y MFA resistente al phishing.
• Trata el SaaS y el alojamiento como riesgo de proveedores dentro del alcance. Inventaría qué datos tiene cada plataforma y puntúa las importantes con nuestro Vendor Risk Scorecard.
• Construye por capas para que una credencial robada o un appliance sin parchear no sea el fin de la partida (mira defensa en profundidad) y pon una cifra defendible a tu exposición con la calculadora de costo de una brecha.
• Sigue el hilo: los temas de aquí continuaron en nuestro resumen de octubre de 2026.

Fuentes

Este artículo recoge cobertura independiente y declaraciones de fabricantes, reguladores y organizaciones. Verifica con la fuente primaria antes de actuar sobre cualquier caso concreto:

• Zero-days de Citrix NetScaler (CVE-2026-88771 / CVE-2026-88772) (Help Net Security / Rapid7)
• Zero-day de Arista VeloCloud Orchestrator (CVE-2026-93952) (SecurityWeek)
• Zero-day de Apple CoreGraphics (CVE-2026-86950) (Help Net Security)
• Brecha del Defense Manpower Data Center (Computing)
• Brecha de Gyazo / Helpfeel (Help Net Security)
• Ataque de ransomware a Keio (BleepingComputer)
• Brecha de CenterPoint Energy (Help Net Security)
• Afirmación de ShinyHunters sobre el portal de empleo del FBI (eSecurity Planet)

PlayCISO no está afiliado a ninguna organización mencionada aquí. Cuando un caso se marca como afirmado, reportado o rumor, ni la organización (ni nosotros) lo había confirmado al momento de escribir.

Preguntas frecuentes

¿Los mayores ataques de septiembre de 2026? Los zero-days explotados activamente de Citrix NetScaler, Arista VeloCloud Orchestrator y Apple CoreGraphics; además de las brechas del Defense Manpower Data Center de EE. UU., Gyazo, CenterPoint Energy y Keio, y la afirmación sin demostrar de ShinyHunters contra el portal de empleo del FBI.

¿Cómo se decidieron las puntuaciones de severidad? Es una lectura subjetiva de PlayCISO sobre diez, no CVSS, EPSS ni ningún estándar. Úsala solo como señal relativa.

¿De verdad se explotaron los zero-days de septiembre? Sí en los tres principales (Citrix, Arista y Apple), todos citados como explotados por el fabricante o por el KEV de CISA. Parchea y busca indicios de compromiso previo.

¿Eran reales las cifras de los actores de amenazas? Trátalas como no verificadas: los 2 a 3 terabytes del FBI según ShinyHunters, el anuncio de 32,8 millones de Conde Nast y los 7,49 millones atribuidos a CenterPoint son afirmaciones que las organizaciones no confirmaron.

¿Qué deberían hacer primero los equipos? Parchear los zero-days de borde explotados, cerrar las API públicas y las identidades de aplicación, tratar el SaaS y el alojamiento como riesgo de proveedores y construir por capas para que un compromiso no sea fatal.