Falla de PAN-OS en Palo Alto explotada en ataques, nuevo zero-day en Cisco Secure Email y Drupal crítico: qué parchar hoy en tu empresa

El 14 de octubre Palo Alto Networks avisó que una falla de PAN-OS, el sistema que corre en sus firewalls, ya se usa en ataques. Es una falla de ejecución remota de código: el atacante corre sus propios comandos en tu equipo. Según BleepingComputer, ya hay parche.

Ese mismo día Cisco parchó un nuevo zero-day explotado en Secure Email Gateway. Y el 15, Drupal publicó una falla crítica en su núcleo. Si tu empresa tiene firewall Palo Alto, correo filtrado por Cisco o un sitio en Drupal o Nextcloud, esta semana te toca.

Palo Alto PAN-OS: “requiere login” no significa “tranquilo”

Palo Alto es muy común en plantas industriales y en operaciones de empresas extranjeras en México. Muchas veces lo instaló el corporativo y nadie en sitio lo toca.

Esta falla es autenticada: el atacante necesita entrar con usuario y contraseña. Suena a alivio. No lo es, por dos cosas que vemos seguido:

• Credenciales robadas o recicladas. El admin con la misma clave desde la instalación, o la cuenta de un proveedor que ya no está.
• La consola de administración abierta a internet. Si se puede abrir desde cualquier lado, cualquiera puede probar contraseñas.

Juntas, esas dos cosas convierten una falla “con login” en una puerta abierta. Y ya se está explotando.

Cisco Secure Email Gateway: otro zero-day, distinto al anterior

Hace unas semanas te contamos de otro zero-day en este mismo equipo. Este es nuevo. Cisco lo parchó el 14 de octubre y ya hay ataques, según BleepingComputer.

Secure Email Gateway es el filtro que revisa el correo antes de que llegue a tu buzón. Si lo comprometen, el atacante ve pasar correos, adjuntos y facturas. ¿Tu correo pasa por Cisco? Pregúntale a tu proveedor: a veces ni el de contabilidad sabe que existe ese filtro.

Drupal y Nextcloud: el sitio web y la nube de archivos

El 15 de octubre Drupal corrigió una falla crítica de ejecución remota en su núcleo. Lo delicado: con ciertos módulos de la comunidad instalados, se puede explotar sin iniciar sesión, según The Hacker News.

En paralelo, atacantes metieron puertas traseras en servidores Nextcloud a través de una falla crítica en CODE, la app de Collabora para editar documentos dentro de Nextcloud. Si tienen su “Dropbox propio” en la oficina, revisa si esa app está instalada y actualízala. Ya pasó algo parecido con WordPress y cPanel.

Producto	Qué es	Qué hacer hoy
Palo Alto PAN-OS	Sistema del firewall	Parche, consola fuera de internet, rotar claves
Cisco Secure Email Gateway	Filtro de correo	Parche y revisar accesos de administrador
Drupal	Gestor del sitio web	Actualizar núcleo y revisar módulos
Nextcloud con CODE	Nube de archivos propia	Actualizar la app y buscar archivos raros

Checklist para hoy, en este orden

1. Versión. Anota qué versión corre cada equipo. Sin ese dato no sabes si eres vulnerable.
2. Parche. Instala la versión corregida del fabricante. Si el firewall está en planta, agenda una ventana corta y avisa a producción.
3. Administración fuera de internet. La consola del firewall y del filtro de correo, solo desde la red interna o por VPN.
4. Rotar credenciales. Cambia claves de administrador, borra cuentas de exempleados y proveedores viejos, y activa doble factor donde se pueda.
5. Revisar logs. Busca inicios de sesión de admin a horas raras o desde países donde no operas, y cambios de configuración que nadie pidió.

Quién lo hace (y por qué no esperar a mañana)

En nuestra experiencia, el firewall es el equipo con menos dueño de la empresa. El de sistemas cree que lo ve el proveedor; el proveedor cree que lo ve el corporativo. Mientras, nadie parcha.

Hoy los ataques llegan muy poco después de publicarse una falla. Esperar a la junta del lunes ya es tarde. Si tienes muchos frentes, empieza por lo que da a internet: firewall, correo y sitio web.

Hablemos

¿Y en tu empresa?

¿Sabes qué versión corre hoy tu firewall? Si dudaste, vale la pena revisarlo esta semana.

En ProcessBi revisamos y parchamos firewalls, correo y hosting dentro de la póliza, con SLA por escrito, en sitio o remoto según haga falta.

Cuéntanos qué equipos tienes — respondemos el mismo día hábil.