Zero-day de BeyondTrust explotado desde agosto y malware PEERSTITCH en FortiOS: qué revisar hoy en el acceso remoto y la VPN de tu empresa

El 16 de octubre de 2026 salieron dos avisos que tocan justo la puerta por donde entra el soporte a tu empresa. Según BleepingComputer, BeyondTrust parchó un zero-day que se explotaba desde agosto. Y The Hacker News reporta que hackers ligados a China lo usaron para tomar servidores de Remote Support.

Ese mismo día apareció PEERSTITCH, un malware que entra por una falla de FortiOS, el sistema de los firewalls Fortinet. Si tu empresa da soporte remoto o tu gente entra por VPN Fortinet, esto es para hoy, no para el lunes.

Qué pasó y por qué le importa a una pyme mexicana

Un zero-day es una falla que los atacantes ya usan antes de que exista parche. El detalle incómodo aquí: estuvo abierta unos dos meses.

BeyondTrust Remote Support es la herramienta con la que un técnico entra a tu PC para arreglarla. Quien controla ese servidor puede entrar a todas las computadoras que atiende. No pierdes una llave, pierdes el llavero.

Con FortiOS pasa algo parecido. La VPN (el túnel cifrado por el que el de contabilidad trabaja desde casa) es el pasillo hacia tu red. Según The Hacker News, PEERSTITCH se salta los controles en sesiones VPN etiquetadas. Traducido: alguien camina por ese pasillo como si fuera empleado.

Cómo saber si usas BeyondTrust (o si lo usa tu proveedor)

• Pregunta a tu proveedor de TI con qué herramienta entra a tus equipos. Pide la respuesta por escrito.
• Revisa los programas instalados en un par de PCs. Busca BeyondTrust o Bomgar, su nombre anterior.
• Si eres filial de una empresa extranjera, pregunta al corporativo. Es común que el soporte global lo use.

Si aparece, averigua si el servidor es propio o vive en la nube del fabricante. En nuestra experiencia, la nube suele actualizarla el fabricante y lo propio lo actualizas tú. Confírmalo en el aviso oficial, no lo supongas.

Parchar no basta si te atacaron desde agosto

El parche cierra la puerta. No saca a quien ya entró. Por eso, después de actualizar, toca revisar:

Qué revisar	Dónde	Señal de alarma
Versión y parche	Consola de BeyondTrust	Sin la actualización de octubre
Cuentas de usuario	Consola de administración	Cuentas nuevas que nadie pidió
Historial de sesiones	Registros de sesión	Conexiones de madrugada o a equipos raros
Logs del servidor	Sistema y firewall	Tráfico hacia direcciones desconocidas
Equipos atendidos	PCs y servidores	Programas o tareas programadas nuevas

FortiOS y PEERSTITCH: qué revisar en la VPN

1. Entra al firewall y anota la versión de FortiOS. Compárala con el aviso de seguridad de Fortinet.
2. Instala el parche que corresponda, en una ventana corta y avisando a los usuarios.
3. Revisa las sesiones VPN activas y el historial: usuarios a horas raras o desde países donde no tienes a nadie.
4. Rota credenciales, o sea, cambia las contraseñas de VPN y de administrador del firewall.
5. Si no tienes doble factor en la VPN, este es el momento.

De paso: Collabora en Nextcloud y NGINX

Si guardas archivos en un Nextcloud propio con Collabora para editar documentos, BleepingComputer reporta una falla explotada para dejar puertas traseras. Y NGINX, el servidor web de muchos sitios y sistemas internos, corrigió cinco fallas, una de ellas en la revisión de certificados de cliente. Si tienes alguno de los dos, actualízalo esta semana.

Cómo lo resolvemos en ProcessBi

No es la primera vez que pasa con herramientas de acceso remoto. Ya lo vimos con ScreenConnect y con TeamViewer. Nuestra opinión: el problema casi nunca es la marca, es no saber qué herramientas están instaladas.

Dentro de una póliza de soporte TI hacemos la revisión urgente del acceso remoto y del firewall, el inventario de herramientas RMM (programas de administración remota) y el monitoreo para ver sesiones raras antes de que se vuelvan problema.

Hablemos

¿Y en tu empresa?

Si no sabes con qué herramienta entra tu soporte o qué versión tiene tu firewall, empieza por ahí. Te ayudamos a revisarlo hoy mismo.

Pide tu revisión de acceso remoto y VPN — respondemos el mismo día hábil.