SRE que deployea los viernes y reza después. Tech en español sin filtro. Gamer. Beer tester. @SecHackLabs
In Some Virtual Machine
Joined September 2011
- Tweets12.2K
- Following2.7K
- Followers74.1K
- Likes13.7K
🚨 Hoy en ciberseguridad México:
🔴 Xcaret confirma que le sacaron correos y celulares de unos 8,300 clientes por "mecanismos de comunicación no autorizados" en su sistema de ventas. Que no hubo tarjetas, dicen. Pues ya andan llegando SMS falsos cobrando reservaciones, o sea que el phishing ya trae tu número real. elfinanciero.com.mx/empresas…
🔴 Servicio Geológico Mexicano: un actor dice que se metió al correo de una oficina regional, se llevó nóminas y datos de empleados, "borró" todo y pide rescate. Sin confirmar, pero si es cierto, el próximo correo "oficial" de gobierno que te llegue mejor ni lo abras.
🔴 Argentina: un tal Lenken ofrece 416,374 facturas de la cooperativa Cotelcam con CUIT, domicilios y saldos, y soltó una muestra de 4 mil filas. Sin confirmar. Con nombre y dirección el fraude ya viene servido.
Xcaret ya lo admitió. De los otros dos, que yo vea, ni pío.
Y así la semana: datos que salen por una URL sin control de acceso o por un servidor que nadie toca desde hace 20 años, y la respuesta oficial es hacerse wey. Parchen, roten credenciales y revisen logs para atrás, que el parche no regresa lo que ya se llevaron.
🔴 PHP2Shell versión gob.mx: según Ignacio Gómez Villaseñor en Milenio, al menos 8,600 servicios en México corren un PHP que ya nunca va a recibir parche. De 20 servicios de gobierno revisados, 19 vulnerables. La SEP en PHP 4.3 (2004), Gobernación en 5.2 (2007). Arqueología pura.
🔴 Gobierno de Coahuila: MortemTeam dice que se llevó 2.6 millones de registros y ya los aventó a un foro. Sin muestra de campos ni fechas y, que yo vea, el gobierno sin decir ni pío. Ya perdí la cuenta de estados con bases "nuevas" este mes, y no por falta de dedos.
🔴 Banco Azteca: un tal MagoSpeak dice vender 546,681 registros de clientes con Tarjeta Azteca, y otro, Cibercholo, ofrece fotos, firmas y huellas de unos 3 millones de personas. Nada verificado todavía. La contraseña la cambias, la huella no, por si alguien en el banco no sabía.
🔴 Ahorra Seguros: el mismo Eternal pide un millón de pesos para no publicar expedientes y los vende en 50 mil. Según el reporte, cambiabas un ID en la URL y veías el INE, comprobante de domicilio y constancia del SAT de otro cliente. IDOR, el bug de la primera semana de curso.
🔴 Aeroméxico: "Eternal", el mismo que ya presumía datos de la aerolínea por el desmadre de Salesforce de 2025, ahora dice tener 6.1 millones de viajeros internacionales con pasaporte, teléfono y Club Premier. Soltó un Excel de 4 mil de muestra. El señor ya es cliente frecuente.
Resumen semanal de ciberseguridad en México, o sea otra semana viendo cómo nadie parcha nada. Una aerolínea, un banco, una aseguradora, un gobierno estatal y medio gob.mx corriendo PHP de museo. Va hilo 🧵
🚨 Hoy en ciberseguridad México:
🔴 Coahuila: MortemTeam presume 2.6 millones de registros del gobierno estatal y ya los aventó a un foro. Sin muestra de campos y, que yo vea, sin que el gobierno diga ni pío. Ya ni sé si llevar la cuenta de estados hackeados o de los que faltan.
🔴 Banco Azteca: en Telegram un tal MagoSpeak dice vender 546,681 registros de clientes con crédito y Tarjeta Azteca. Y de pilón otro, Cibercholo, ofrece fotos, firmas y huellas de unos 3 millones de personas. La contraseña la cambias, la huella no, compa.
🔴 INTER.mx: según Víctor Ruiz, en Telegram ofrecen más de 970 mil registros de clientes y prospectos del broker de seguros. Cotizaste un seguro una vez y ahora andas de chismoso en Telegram.
Nada confirmado, que yo vea, porque aquí el plan de respuesta a incidentes es hacerse wey.
xitter.cf/DailyDarkWeb/status/21…
🇲🇽 🚨 THREAT ACTOR CLAIMS BREACH OF COAHUILA STATE GOVERNMENT DATABASE, 2.6M RECORDS (UNVERIFIED)
A threat actor calling itself MortemTeam claims it breached a database belonging to the government of Coahuila, the Mexican state on the US border.
The actor claims:
* About 2.6 million records taken from a Coahuila state government (coahuila.gob.mx) database
* The data has been posted on a cybercrime forum
The claim was made on October 25, 2026. No sample fields, data dates or price were given, and it has not been independently verified. The Coahuila state government has not publicly confirmed an incident.
⚠️ Analyst Note:
Mexican government databases are a frequent target of leak claims, and record counts are often inflated or recycled from older dumps. If genuine, records like these could fuel identity fraud and phishing that impersonates state agencies. Residents should be wary of unexpected messages that claim to come from the state government. We assess this as an unverified threat-actor claim.
#DDW #DarkWeb #DataBreach #Mexico #Coahuila #Government #MortemTeam #ThreatIntelligence
El patrón, por si no se notó: SQL injections en Oracle, Aruba y VeloCloud, command injections en Aruba y Collabora, parsers viejos de C que nadie audita y paneles de admin que nunca debieron ver internet. Ninguno de estos bugs es magia, son errores de hace 20 años con CVE nuevo. Lo que mata no es el día cero, es el día 90 con el parche en la carpeta de descargas. Parchen este fin, revisen logs y saquen sus consolas de internet, no me hagan escribir otro hilo 🍺
Los dos que sí están explotados. Collabora CODE para Nextcloud (CVE-2026-110447) es command injection en proxy.php, sin auth, y solo funciona mientras el server CODE está abajo, o sea en un reinicio o un crash. Ya está en el KEV de CISA con fecha límite del 26 y hay reportes de webshells shx*.php desde septiembre. Deshabilitar la app no sirve, hay que actualizar a 26.4.303 o quitarla. Y VeloCloud Orchestrator (CVE-2026-114625) que, ojo, no es RCE: es una SQL injection donde cualquier usuario, hasta el de solo lectura más básico, se convierte en "superuser operator". Arista dice que se explota activamente. Keycloak tampoco es RCE, es toma de cuentas, no lo vendan como lo que no es.
cisa.gov/news-events/alerts/…
arista.com/en/support/adviso…
HPE Aruba AOS: 72 CVEs, 8 con CVSS 10. En AOS-8 hay command injection sin auth, dos SQL injection sin auth que terminan en RCE y un bypass de autenticación que acaba en root. En AOS-10, buffer overflows sin auth. SQL injection en 2026 en el sistema operativo de tus controladoras WiFi, carnal. La mitigación oficial es meter la interfaz de administración en su propia VLAN, o sea lo que debió estar así desde el día uno. Parche: 8.13.3.1, 8.10.0.24 o los 10.x que corresponden.
bleepingcomputer.com/news/se…
Oracle EBS CVE-2026-101767, 9.8. Ya lo había mencionado, pero la causa raíz es de risa: SQL injection sin auth en el servlet /OA_HTML/AppsTCFServer, que la lista blanca del URL firewall de EBS deja pasar por default. Ejecutas SQL como APPS y lo encadenas a comandos del sistema con la cuenta de la aplicación. Nómina, finanzas, RH. Horizon3 lo reportó el 24 de julio y el parche llegó en el CPU del 20 de octubre. Casi 3 meses. Mitigación: sacar ese servlet de la allowlist y no exponer el web tier.
horizon3.ai/attack-research/…
GitLab CVE-2026-110264, CVSS 10. Integer overflow al compilar una regex armada a mano, y de ahí ejecución de código sin autenticarse. Afecta desde la 7.0, o sea años de versiones. GitLab hasta publicó reglas de detección y una apunta al renderizador de archivos .org. Un parser de markup de nicho que te da shell en el server donde vive todo tu código y tus secretos de CI. Si tienes GitLab self-managed sin actualizar a 19.5.1 o los backports, felicidades, tu repo es de todos.
docs.gitlab.com/releases/pat…