Noticias mensuales de ciberseguridad: agosto de 2026

Resumen mensual de noticias de ciberseguridad de agosto de 2026 — icono de burbuja de diálogo azul con gráfico de rayo

Las noticias de ciberseguridad de agosto tuvieron un hilo conductor común: los atacantes encontraron formas de eludir el inicio de sesión en lugar de atacarlo directamente. Las elusiones de autenticación, los tokens falsificados, las sesiones robadas, las claves API expuestas y las credenciales de máquinas filtradas proporcionaron repetidamente acceso sin requerir que los atacantes descifren una contraseña o derroten el MFA.

Se encontraron más de 9.300 claves de acceso de AWS activas en repositorios públicos, registros de compilación e imágenes de contenedores. Entre las claves corporativas había 526 claves root y 242 claves IAM con permisos completos de AdministratorAccess.
El incidente de cadena de suministro de LiteLLM de marzo puede haber expuesto a más de 2.500 organizaciones y 434.000 pipelines de CI/CD, según una evaluación de impacto publicada en agosto.
Los investigadores encontraron 4.576 tokens de API de n8n en repositorios públicos de GitHub; entre las instancias accesibles probadas, el 36% aceptó al menos una clave filtrada.
Mirage2FA apuntó a 9.426 direcciones de correo electrónico de Microsoft 365 y comprometió hasta 4.532 de ellas robando sesiones autenticadas después del MFA.

El mismo patrón apareció en cuatro vulnerabilidades divulgadas: N-able N-central, Citrix NetScaler, Keycloak y SharePoint revelaron fallos capaces de eludir la autenticación o los controles de identidad. Por separado, la actividad de password spraying aumentó 155 veces mientras los atacantes buscaban brechas en la aplicación del MFA.

Los incidentes a continuación muestran cómo la autenticación se está expandiendo más allá de las contraseñas y las pantallas de inicio de sesión — y dónde los equipos de TI y seguridad necesitan ajustar sus controles.

Explotación activa de una elusión crítica de autenticación en la plataforma de gestión remota N-able N-central (CVE-2026-18577)

Qué sucedió: La vulnerabilidad CVE-2026-18577 (CVSS 8.1) permite a un atacante remoto no autenticado eludir completamente la autenticación y obtener acceso administrativo a los servidores N-central. El fallo proviene de una corrección incompleta de una vulnerabilidad anterior, CVE-2026-18556. Se ha registrado explotación activa en entornos reales desde el 1 de agosto de 2026, con atacantes utilizando la función legítima Take Control para alcanzar los endpoints de los clientes después del compromiso y desplegando un túnel cloudflared para acceso remoto persistente.

Por qué es importante: Las plataformas de monitorización y gestión remotas (RMM) poseen el nivel de privilegio más alto en toda la infraestructura de una organización y sus clientes conectados. Una elusión de autenticación en este tipo de software crea inmediatamente un riesgo de exposición de cadena de suministro en toda la base de clientes.

La conclusión defensiva: Los equipos de TI deben verificar urgentemente la versión de su plataforma y confirmar que el hotfix de N-able 2026.3.1.10 (2026.3.1 Hotfix 2) está instalado. También es crítica una revisión de las sesiones privilegiadas activas.

Fuente: Rapid7 – 4 de agosto de 2026

Elusión de autenticación remota sin interacción en Citrix NetScaler Gateway (CVE-2026-19490)

Qué sucedió: Citrix parcheó una vulnerabilidad crítica de autenticación por ruta alternativa, CVE-2026-19490 (puntuación CVSS 9.3), en NetScaler ADC y NetScaler Gateway. Un atacante remoto no autenticado puede explotar el fallo en configuraciones de gateway afectadas sin ninguna interacción del usuario. Las precondiciones varían según la versión: las compilaciones afectadas más recientes requieren una configuración SAML además de una configuración de Gateway o AAA, por lo que no todos los despliegues de NetScaler están expuestos de la misma manera.

Por qué es importante: Los gateways de acceso remoto sirven como la defensa perimetral principal para las redes corporativas. Una elusión de autenticación exitosa en esta capa anula completamente el valor de las credenciales corporativas de los empleados y las políticas de MFA.

La conclusión defensiva: Dado que estos dispositivos están directamente expuestos a Internet, los equipos de TI deben realizar una actualización de emergencia a las compilaciones parcheadas proporcionadas por Citrix (14.1-73.32 o 13.1-63.21 y posteriores).

Fuente: SecurityWeek – 20 de agosto de 2026

Passwork añade una capa gestionada centralmente y auditada para las credenciales y secretos detrás de sus gateways y herramientas RMM. Vea cómo funciona el control de acceso de Passwork.

Vulnerabilidad crítica de restablecimiento de contraseña en Keycloak (CVE-2026-18963) que conduce a la toma de control remota de cuentas

Qué sucedió: Se encontró una vulnerabilidad crítica, CVE-2026-18963 (puntuación CVSS 9.1 según Red Hat), en el flujo de recuperación de contraseña (reset-credentials) de Keycloak. Debido a una validación de estado inadecuada, un atacante remoto no autenticado puede restablecer la contraseña de cualquier usuario, incluidos los administradores. Se han publicado correcciones en Keycloak 26.7.2, así como en Red Hat build of Keycloak 26.4.15 y 26.6.6.

Por qué es importante: Los fallos de validación en los flujos de recuperación de cuentas socavan cualquier requisito estricto de complejidad de contraseñas o MFA inicial, dando a los atacantes una ruta directa para comprometer el proveedor de identidad (IdP).

La conclusión defensiva: Los equipos de TI deben priorizar el parcheo de los servidores Keycloak y probar los flujos de restablecimiento de contraseña y recuperación de cuentas con el mismo rigor aplicado a los métodos de autenticación principales.

Fuente: The Hacker News – 24 de agosto de 2026

Vulnerabilidad crítica de ejecución remota de código CVE-2026-69836 (CVSS 10.0) corregida en el directorio en la nube de Microsoft Entra ID

Qué sucedió: Microsoft corrigió una vulnerabilidad crítica de ejecución remota de código, CVE-2026-69836, en el servicio en la nube de Entra ID, relacionada con la deserialización de datos no confiables. A diferencia de los otros fallos en este resumen, esta es una vulnerabilidad de ejecución remota de código en infraestructura en la nube, no una elusión de credenciales o autenticación. Microsoft resolvió el problema del lado del servidor, sin requerir ninguna acción por parte de los clientes. El fallo fue inicialmente marcado como explotado en ataques reales, pero Microsoft revisó posteriormente el estado a «no explotado».

Por qué es importante: Entra ID es el centro principal para el control de acceso y la autorización de miles de empresas. Las vulnerabilidades de máxima gravedad en la infraestructura en la nube de los proveedores de identidad crean riesgos globales en todo el ecosistema de confianza.

La conclusión defensiva: A pesar del parche automático aplicado por el proveedor, los equipos de seguridad deben monitorizar anomalías en los registros de identidad en la nube y revisar las suposiciones de riesgo sobre el acceso durante incidentes que afecten a proveedores de servicios clave.

Fuente: SecurityWeek / heise online – 21-24 de agosto de 2026

La exposición masiva de claves de AWS activas amenaza con la toma de control total de cuentas corporativas

Qué sucedió: La investigación de Truffle Security identificó más de 9.300 claves de acceso de AWS filtradas en repositorios públicos, registros de compilación e imágenes de contenedores — claves que permanecieron válidas y activas durante años. De estas, 817 pertenecían a empresas, incluyendo 526 claves root y 242 claves IAM con permisos completos de AdministratorAccess, otorgando control total sobre la infraestructura en la nube.

Por qué es importante: Las claves de acceso de larga duración filtradas, especialmente aquellas con derechos de administrador, dan a los atacantes acceso sin impedimentos a los recursos en la nube, evitando los portales de autorización estándar y el MFA por completo.

La conclusión defensiva: Los equipos de TI deben prohibir el uso de cuentas root de AWS en procesos rutinarios, configurar el escaneo continuo de fuentes públicas en busca de secretos expuestos y revocar y rotar inmediatamente cualquier clave comprometida, siguiendo las mejores prácticas de usuario root de AWS.

Fuente: Truffle Security – 19 de agosto de 2026

El informe de CloudSEK mapea la exposición potencial del incidente de cadena de suministro de LiteLLM de marzo

Qué sucedió: El 11 de agosto, CloudSEK publicó una evaluación de impacto del compromiso del 24 de marzo que involucró las versiones maliciosas de LiteLLM 1.82.7 y 1.82.8. El informe estima que la breve exposición en PyPI (los paquetes estuvieron disponibles públicamente durante aproximadamente 40 minutos) puede haber afectado a más de 2.500 organizaciones y más de 434.000 pipelines de CI/CD en todo el mundo.

La evaluación se centra en la exposición potencial de credenciales de máquinas de alto valor disponibles en los entornos de desarrollo y compilación afectados. Las cifras de CloudSEK describen el riesgo de exposición reconstruido, no el compromiso confirmado de cada organización o pipeline mencionado.

Por qué es importante: Los entornos de desarrollo de IA y automatización de compilaciones ahora contienen la mayor concentración de secretos no humanos (de máquinas) en una organización. Comprometer las herramientas en la etapa de compilación permite a los atacantes penetrar profundamente en la infraestructura, y el retraso entre el incidente original y una estimación completa de exposición muestra cuánto tiempo ese riesgo puede permanecer sin cuantificar.

La conclusión defensiva: Las credenciales de máquinas requieren un control estricto del ciclo de vida, rotación y auditoría de derechos de acceso. Los equipos de TI necesitan implementar monitorización de seguridad para bibliotecas de terceros y proteger las variables de entorno en los pipelines de CI/CD. Las guías técnicas de Passwork cubren patrones de rotación de secretos basados en API que encajan directamente en este tipo de fortalecimiento de pipelines.

Fuente: CloudSEK – 11 de agosto de 2026

Una vulnerabilidad en la extensión de navegador N-able Passportal expone las claves maestras de la bóveda de contraseñas de los usuarios

Qué sucedió: La extensión de navegador Passportal aceptaba mensajes de sitios web de terceros y elementos iframe. Los atacantes podían enviar una solicitud y obtener tokens de acceso de la extensión que contenían claves secretas. Esto permitía la extracción de todo el contenido de la bóveda de contraseñas, incluidas las semillas para generar códigos TOTP de un solo uso. N-able lanzó un parche añadiendo verificación de origen para las solicitudes en julio de 2026; la cobertura de Dark Reading en agosto detalló el fallo y su impacto.

Por qué es importante: Los gestores de contraseñas concentran los secretos más críticos de una organización. Comprometer la extensión de navegador de un gestor de contraseñas efectivamente elude toda la arquitectura de seguridad, incluidos los factores MFA. El riesgo se agravó porque los tokens de actualización permanecían válidos durante 100 días.

La conclusión defensiva: Las organizaciones necesitan aplicar actualizaciones automáticas regulares de las extensiones de navegador en los dispositivos de los empleados, y al seleccionar soluciones IAM, evaluar si soportan cifrado de extremo a extremo de las operaciones del lado del cliente.

Fuente: Dark Reading – 20 de agosto de 2026

Una extensión de navegador es tan confiable como su arquitectura. Passwork utiliza cifrado AES-256 del lado del cliente con un modelo de conocimiento cero, por lo que los datos de la bóveda permanecen cifrados incluso en tránsito a través de la capa del navegador. Explore la arquitectura de seguridad de Passwork

La campaña de phishing Mirage2FA elude la autenticación multifactor de Microsoft 365 mediante robo de sesiones

Qué sucedió: La plataforma Mirage2FA utiliza phishing de adversario en el medio (AiTM) para interceptar tokens legítimos de autorización de sesión de Microsoft 365. La campaña comprometió hasta 4.532 direcciones de correo electrónico, aproximadamente el 48% de las 9.426 direcciones objetivo, en 3.518 dominios de organizaciones en EE. UU. y la UE.

Por qué es importante: Las cookies de sesión se convierten efectivamente en el equivalente de las credenciales de usuario una vez que la verificación MFA inicial ha pasado. El robo de sesiones elude los factores de protección estándar sin requerir que se vuelva a introducir una contraseña o código.

La conclusión defensiva: El MFA tradicional basado en SMS o códigos de aplicación ya no es suficiente para proteger los sistemas en la nube por sí solo. Las organizaciones necesitan adoptar métodos de autenticación resistentes al phishing, acortar los tiempos de vida de los tokens de sesión y configurar la monitorización de comportamiento de sesión anómalo.

Fuente: The Hacker News – 25 de agosto de 2026

La elusión de autenticación JWT en Microsoft SharePoint (CVE-2026-55040) permite la suplantación de cualquier usuario

Qué sucedió: Se descubrió una vulnerabilidad, CVE-2026-55040, en SharePoint Server Subscription Edition que permite a un atacante remoto no autenticado generar un token JWT falsificado y suplantar a cualquier usuario o administrador del portal. Microsoft parcheó el fallo en julio de 2026. El análisis técnico de Rapid7 en agosto detalló la cadena de defectos detrás de él, incluyendo un requisito de firma de token deshabilitado y una validación débil de los elementos del token, y confirmó la explotación activa.

Por qué es importante: Los errores de validación de JWT permiten a los atacantes eludir completamente la autenticación sin necesidad de robar contraseñas de usuarios.

La conclusión defensiva: Las relaciones de confianza de servicio a servicio y la validación de tokens deben ser verificadas y controladas por los equipos de TI con el mismo rigor aplicado a las contraseñas de usuarios y las sesiones MFA.

Fuente: Blog de Rapid7 – 11 de agosto de 2026

Explotación de una vulnerabilidad SSRF en MLflow (CVE-2026-64849) para la exfiltración encubierta de credenciales de entornos en la nube

Qué sucedió: Se encontró una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) con una puntuación CVSS de 9.3, CVE-2026-64849, en el registro de modelos del MLflow Tracking Server. Permite a un atacante no autenticado eludir las protecciones de webhook y alcanzar los servicios internos de metadatos en la nube para exfiltrar credenciales de corta duración. El problema afecta a todas las versiones de MLflow anteriores a 3.15.0.

Por qué es importante: Los servicios de metadatos en la nube a menudo emiten claves de acceso de corta duración que, una vez comprometidas, pueden ser utilizadas por los atacantes para un movimiento lateral rápido dentro del entorno en la nube de una empresa.

La conclusión defensiva: Los equipos que ejecutan plataformas de aprendizaje automático necesitan parchear MLflow a la versión 3.15.0 y restringir el acceso de red a los servicios de metadatos desde contenedores y herramientas de IA, siguiendo el patrón en la guía de configuración de IMDSv2 de AWS.

Fuente: SecurityWeek – 20 de agosto de 2026

Miles de tokens de API de n8n filtrados encontrados en repositorios de GitHub, amenazando el compromiso de servicios de TI conectados

Qué sucedió: Los investigadores encontraron 4.576 tokens de API de n8n únicos en repositorios públicos de GitHub, vinculados a 1.255 hosts. Las pruebas contra instancias accesibles encontraron que el 36% de ellas (321 de 896 hosts accesibles) aceptaron al menos una clave filtrada. Con un token privilegiado, los atacantes podrían ver las estructuras de flujos de trabajo de automatización, los registros de ejecución y extraer credenciales almacenadas en n8n para integraciones de bases de datos y servicios de terceros.

Por qué es importante: Las plataformas de automatización e integración actúan como centros donde se acumulan contraseñas, claves API y derechos de acceso a numerosos sistemas de TI corporativos. Un solo token de API filtrado hacia tal centro crea un riesgo masivo de compromiso en cascada en toda la infraestructura de TI, aunque la exposición en sí no se rastrea como un CVE.

La conclusión defensiva: Los departamentos de TI necesitan extender las políticas de escaneo de secretos más allá del código de aplicación principal, cubriendo también los archivos de configuración de herramientas de automatización e integración.

Fuente: The Hacker News – 5 de agosto de 2026

Aumento de 155 veces en ataques de password spraying que explotan configuraciones erróneas y excepciones de MFA

Qué sucedió: Los analistas registraron un aumento de 155 veces en la escala de ataques de password spraying en la primera mitad de 2026. El análisis de 23 empresas afectadas encontró que 8 de ellas no tenían autenticación multifactor (MFA) en absoluto. En los 15 casos restantes, el MFA estaba habilitado pero no funcionaba, porque los departamentos de TI habían configurado excepciones para «ubicaciones de confianza», limitado la aplicación de políticas a un subconjunto de aplicaciones o grupos de usuarios, o dejado el MFA funcionando en modo de solo informe (auditoría).

Por qué es importante: Implementar MFA no garantiza protección si quedan puntos ciegos en las políticas de seguridad. Los atacantes buscan activamente lagunas y aplicaciones dejadas sin protección por MFA para obtener acceso inicial a la red.

La conclusión defensiva: Los equipos de TI necesitan eliminar las excepciones de «direcciones IP de confianza», implementar cobertura completa de MFA en todos los puntos de entrada externos y auditar regularmente cómo se aplican realmente las políticas de seguridad.

Fuente: BleepingComputer – 19 de agosto de 2026

Afirmaciones no verificadas del hacker «TheHatman» sobre robo masivo de credenciales de clientes corporativos de Microsoft Entra

Qué sucedió: Entre el 1 y el 17 de agosto de 2026, un usuario de un foro de hackers que se hace llamar «TheHatman» publicó ofertas para vender datos de empleados de grandes empresas, supuestamente obtenidos de entornos en la nube de Microsoft Entra a través de credenciales comprometidas. Los investigadores de Unit 42 no pudieron confirmar un vector de entrada específico o una violación real del servicio Entra en sí, dejando la amenaza clasificada como una «violación no verificada mediante robo de credenciales de cuenta».

Por qué es importante: Aunque las afirmaciones del hacker sobre la violación de la infraestructura del proveedor permanecen sin confirmar, el incidente atrajo amplia atención e ilustró cómo los atacantes utilizan contraseñas comprometidas para comprometer los tenants en la nube. Las afirmaciones no verificadas de este tipo deben ser tratadas por los equipos de TI como una señal para verificar sus propios sistemas, no como prueba de que la plataforma en sí fue violada.

La conclusión defensiva: Los equipos de TI y seguridad necesitan configurar la monitorización regular de credenciales de empleados filtradas y estar atentos a señales de fatiga de MFA e intentos de password spraying contra directorios de identidad en la nube. Las amenazas no verificadas deben usarse para construir hipótesis de búsqueda de amenazas, no para desencadenar respuestas de pánico.

Fuente: Informe de Unit 42 – 18 de agosto de 2026

Análisis comparativo de la efectividad de respuesta del SOC basado en pruebas de red team de CISA

Qué sucedió: La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) evaluó las defensas de dos organizaciones mediante pruebas de penetración de red team. Una organización falló completamente en detectar y contener las acciones de los atacantes, mientras que la otra detectó rápidamente los intentos de compromiso inicial y aisló los hosts afectados. Las recomendaciones de CISA incluyen mantener perfiles de detección de referencia, usar políticas de acceso condicional para identidades de carga de trabajo y rotar y revocar tokens con prontitud.

Por qué es importante: Las herramientas de monitorización son inútiles sin procesos de respuesta a incidentes bien perfeccionados. La protección de entornos en la nube e híbridos depende directamente de la integración de los sistemas de gestión de identidad y acceso (IAM) con los procedimientos de guardia del equipo de seguridad.

La conclusión defensiva: Los procesos de inventario de privilegios, verificación de acceso condicional y revocación de emergencia de tokens de sesión deben practicarse regularmente mediante simulacros y simulaciones de ataques.

Fuente: Aviso de CISA – 25 de agosto de 2026

Resumen de agosto de 2026

En agosto, los atacantes eludieron la autenticación usando tokens falsificados, sesiones robadas, claves filtradas — y gran parte de esta actividad no activa las alertas en las que la mayoría de las organizaciones confían. En la práctica, esto significa que la política de contraseñas por sí sola ya no cubre la mayor parte de su superficie de ataque: las sesiones, los tokens y las credenciales de máquinas necesitan los mismos controles de ciclo de vida que las contraseñas ya tienen.

Tres prioridades para septiembre:

Parchear las cuatro elusiones de autenticación divulgadas. N-central y SharePoint tuvieron explotación confirmada en entornos reales durante este período de revisión. NetScaler y Keycloak justifican un parcheo urgente dada su gravedad, incluso sin explotación confirmada hasta la fecha.
Auditar la autenticación de extremo a extremo, no solo la pantalla de inicio de sesión. El MFA en el inicio de sesión proporciona protección limitada si la recuperación de cuentas, la validación de JWT, los tiempos de vida de sesión o la cobertura de acceso condicional tienen brechas. Tanto Mirage2FA como CaptiveCrunch eludieron el MFA robando una sesión o token después de la autenticación, no derrotándola.
Escanear repositorios y pipelines de CI/CD en busca de claves expuestas, de la manera en que GitGuardian y Truffle Security lo hicieron en agosto, e incorporar la revocación y rotación en las operaciones rutinarias en lugar de la respuesta a incidentes.

Estos tres problemas comparten una causa raíz: credenciales y secretos dispersos en repositorios, pipelines y bandejas de entrada, sin un único lugar para ver quién tiene acceso a qué. Passwork aborda esto con una bóveda cifrada para contraseñas y secretos, acceso basado en roles, registros de auditoría y rotación impulsada por API.

Solicite una demostración de Passwork y comience con un inventario de lo que su equipo ya tiene disperso en los sistemas.

Noticias mensuales de ciberseguridad: La autenticación bajo asedio