SRE que deployea los viernes y reza después. Tech en español sin filtro. Gamer. Beer tester. @SecHackLabs
In Some Virtual Machine
Joined September 2011
- Tweets12.2K
- Following2.7K
- Followers74.1K
- Likes13.7K
Resumen semanal de ciberseguridad en México, o sea otra semana viendo cómo nadie parcha nada. Una aerolínea, un banco, una aseguradora, un gobierno estatal y medio gob.mx corriendo PHP de museo. Va hilo 🧵
🔴 PHP2Shell versión gob.mx: según Ignacio Gómez Villaseñor en Milenio, al menos 8,600 servicios en México corren un PHP que ya nunca va a recibir parche. De 20 servicios de gobierno revisados, 19 vulnerables. La SEP en PHP 4.3 (2004), Gobernación en 5.2 (2007). Arqueología pura.
🚨 Hoy en ciberseguridad México:
🔴 Coahuila: MortemTeam presume 2.6 millones de registros del gobierno estatal y ya los aventó a un foro. Sin muestra de campos y, que yo vea, sin que el gobierno diga ni pío. Ya ni sé si llevar la cuenta de estados hackeados o de los que faltan.
🔴 Banco Azteca: en Telegram un tal MagoSpeak dice vender 546,681 registros de clientes con crédito y Tarjeta Azteca. Y de pilón otro, Cibercholo, ofrece fotos, firmas y huellas de unos 3 millones de personas. La contraseña la cambias, la huella no, compa.
🔴 INTER.mx: según Víctor Ruiz, en Telegram ofrecen más de 970 mil registros de clientes y prospectos del broker de seguros. Cotizaste un seguro una vez y ahora andas de chismoso en Telegram.
Nada confirmado, que yo vea, porque aquí el plan de respuesta a incidentes es hacerse wey.
xitter.cf/DailyDarkWeb/status/21…
🇲🇽 🚨 THREAT ACTOR CLAIMS BREACH OF COAHUILA STATE GOVERNMENT DATABASE, 2.6M RECORDS (UNVERIFIED)
A threat actor calling itself MortemTeam claims it breached a database belonging to the government of Coahuila, the Mexican state on the US border.
The actor claims:
* About 2.6 million records taken from a Coahuila state government (coahuila.gob.mx) database
* The data has been posted on a cybercrime forum
The claim was made on October 25, 2026. No sample fields, data dates or price were given, and it has not been independently verified. The Coahuila state government has not publicly confirmed an incident.
⚠️ Analyst Note:
Mexican government databases are a frequent target of leak claims, and record counts are often inflated or recycled from older dumps. If genuine, records like these could fuel identity fraud and phishing that impersonates state agencies. Residents should be wary of unexpected messages that claim to come from the state government. We assess this as an unverified threat-actor claim.
#DDW #DarkWeb #DataBreach #Mexico #Coahuila #Government #MortemTeam #ThreatIntelligence
Oracle EBS CVE-2026-101767, 9.8. Ya lo había mencionado, pero la causa raíz es de risa: SQL injection sin auth en el servlet /OA_HTML/AppsTCFServer, que la lista blanca del URL firewall de EBS deja pasar por default. Ejecutas SQL como APPS y lo encadenas a comandos del sistema con la cuenta de la aplicación. Nómina, finanzas, RH. Horizon3 lo reportó el 24 de julio y el parche llegó en el CPU del 20 de octubre. Casi 3 meses. Mitigación: sacar ese servlet de la allowlist y no exponer el web tier.
horizon3.ai/attack-research/…
Los dos que sí están explotados. Collabora CODE para Nextcloud (CVE-2026-110447) es command injection en proxy.php, sin auth, y solo funciona mientras el server CODE está abajo, o sea en un reinicio o un crash. Ya está en el KEV de CISA con fecha límite del 26 y hay reportes de webshells shx*.php desde septiembre. Deshabilitar la app no sirve, hay que actualizar a 26.4.303 o quitarla. Y VeloCloud Orchestrator (CVE-2026-114625) que, ojo, no es RCE: es una SQL injection donde cualquier usuario, hasta el de solo lectura más básico, se convierte en "superuser operator". Arista dice que se explota activamente. Keycloak tampoco es RCE, es toma de cuentas, no lo vendan como lo que no es.
cisa.gov/news-events/alerts/…
arista.com/en/support/adviso…
El patrón, por si no se notó: SQL injections en Oracle, Aruba y VeloCloud, command injections en Aruba y Collabora, parsers viejos de C que nadie audita y paneles de admin que nunca debieron ver internet. Ninguno de estos bugs es magia, son errores de hace 20 años con CVE nuevo. Lo que mata no es el día cero, es el día 90 con el parche en la carpeta de descargas. Parchen este fin, revisen logs y saquen sus consolas de internet, no me hagan escribir otro hilo 🍺
Y la versión mexicana está peor. Según la columna de Ignacio Gómez Villaseñor en Milenio, de 39,661 servicios con PHP en México al menos 8,600 corren versiones que ya nunca van a recibir parche. De 20 servicios gob.mx revisados, 19 vulnerables. Colombia sacó alerta de su CERT, aquí según la columna no hay registro de una alerta equivalente. Ah, y el 23 salió otro RCE de PHP, CVE-2026-115560, sin parche, nomás con mitigación: session.upload_progress.enabled=0. Si ya lo apagaron por PHP2Shell, déjenlo así.
milenio.com/opinion/ignacio-…
bleepingcomputer.com/news/se…
GitLab CVE-2026-110264, CVSS 10. Integer overflow al compilar una regex armada a mano, y de ahí ejecución de código sin autenticarse. Afecta desde la 7.0, o sea años de versiones. GitLab hasta publicó reglas de detección y una apunta al renderizador de archivos .org. Un parser de markup de nicho que te da shell en el server donde vive todo tu código y tus secretos de CI. Si tienes GitLab self-managed sin actualizar a 19.5.1 o los backports, felicidades, tu repo es de todos.
docs.gitlab.com/releases/pat…
PHP2Shell (CVE-2026-109618 y 109619). Use-after-free en el session upload progress, que viene prendido por default y corre aunque tu app nunca llame session_start(). Pre-auth. Un multipart revienta memory_limit, el apagado de emergencia se salta la limpieza y el worker de mod_php se queda con punteros a memoria ya liberada. El siguiente request la rellena con una estructura falsa y PHP termina llamando system(). El otro CVE filtra memoria del proceso en la cookie PHPSESSID, o sea te regala el bypass de ASLR. Hay intentos de explotación desde días antes del parche, según AWS, aunque que yo vea todavía no hay compromisos confirmados.
securitylabs.datadoghq.com/a…
Semana de RCEs y yo ya voy en la tercera chela. PHP, GitLab, Oracle EBS, Aruba, Collabora y VeloCloud, todos con fallas críticas en 7 días. Y lo bonito no es la cantidad, es que casi todas tienen el mismo pecado: código viejo, panel de admin pegado a internet y parche que nadie instala. Les cuento bug por bug, con la causa raíz, porque "actualiza" no es análisis 🧵🍺
🚨 Hoy en ciberseguridad México:
🔴 PHP2Shell versión mexicana: según la columna de Ignacio Gómez Villaseñor en Milenio hay al menos 8,600 servicios en México con un PHP que ya nunca va a recibir parche. Un sistema de la SEP corre PHP 4.3 (de 2004) y uno de Gobernación PHP 5.2 (de 2007). De 20 servicios gob.mx que revisaron, 19 vulnerables. Y PHP ya sacó otro CVE (2026-115560) sin parche, nomás con mitigación. Pero tranquilos, seguro el de la SEP "así jala".
🔴 Grupo Euro (SLP, los de Gasomax, Importadora Euro y franquicias de Burger King): Krybit lo subió hoy a su sitio de filtraciones. Ransomware.live le cuenta 331 contraseñas expuestas, 70 críticas, y Hudson Rock ve un empleado y 4 usuarios con infostealer. Con ese tiradero de credenciales a lo mejor ni exploit ocupaban.
🔴 Argentina: un actor soltó muestras de SINIDE, el sistema del Ministerio de Educación, con unos 172 mil alumnos (DNI, domicilio, datos socioeconómicos) y 21 cuentas de consultores. Dice que los datos estaban accesibles sin autenticación. Datos de menores en un endpoint abierto, qué podría salir mal.
Parchen, roten credenciales y dejen de cuidar su PHP 5 como si fuera reliquia de la abuela 🍺
milenio.com/opinion/ignacio-…
ransomware.live/id/Z3J1cG9ld…
xitter.cf/DailyDarkWeb/status/21…
🇦🇷 🚨 ARGENTINA: MINISTRY OF EDUCATION SINIDE PLATFORM DATA ALLEGEDLY LEAKED, ~172K STUDENTS
A threat actor on a dark web forum has published samples of a database it says comes from SINIDE, the national digital education information system run by Argentina's Ministry of Education.
The actor claims:
* Records of about 172,000 students, with 80+ fields each
* Names, national ID (DNI) numbers and residential details
* School, academic performance and socioeconomic data
* Data on about 1,100 schools and 953 school principals
* Credentials for 21 consultant accounts
* The data was reachable without authentication
⚠️ Analyst Note:
Most of the affected people are likely minors, which makes this exposure especially serious. National IDs plus home and school details can feed identity fraud and targeted scams against families. The exposed staff credentials should be rotated now. This comes hours after a separate claim against the ministry's Moodle platform. The ministry had not commented at the time of writing.
This is an unverified threat-actor claim, NOT confirmation that the ministry was breached.
#DDW #DarkWeb #Argentina #DataLeak #Education #ThreatIntelligence
