Administradores IT: no terminamos con octubre y noviembre llega rabioso justo antes del Patch Tuesday

Los análisis previos al Patch Tuesday indican que no terminamos con octubre y su muy elevado volumen de vulnerabilidades corregidas por Microsoft; y noviembre llega rabioso con una catarata de correcciones relacionadas con componentes ampliamente desplegados en entornos Windows y .NET. También se reportó una vulnerabilidad explotada activamente en Windows Shell durante el ciclo anterior.

Qué tenemos que controlar?

• Servidores Windows Server pendientes de actualizaciones acumulativas.
• Servidores con .NET Framework o .NET 8/9/10.
• Aplicaciones IIS que ejecuten código .NET.
• Sistemas con certificados corporativos o infraestructuras PKI que dependan de cadenas de confianza antiguas.

PHP2Shell sigue generando preocupación

Se sigue informando sobre explotación activa de las vulnerabilidades denominadas PHP2Shell, que afectan a determinadas versiones de PHP. Según los reportes, los ataques se detectaron antes de la disponibilidad de los parches y continúan expandiéndose porque abundan las instalaciones no actualizadas y todavía vulnerables.

Si tenes:

• WordPress
• Moodle
• GLPI
• Nextcloud
• Aplicaciones PHP propias
• Sitios Linux o Windows con FastCGI PHP

Conviene verificar urgentemente:

php -v

y comparar la versión instalada con las correcciones oficiales del proveedor.

Entornos .NET: parche de emergencia

Microsoft publicó correcciones de emergencia para una vulnerabilidad asociada a bibliotecas Brotli utilizadas por .NET 8, .NET 9, .NET 10 y versiones preliminares de .NET 11. El informe destaca que existe código de prueba público.

Impacta especialmente si ejecutas:

• APIs ASP.NET
• Servicios Windows desarrollados en .NET
• Aplicaciones WPF publicadas mediante ClickOnce
• Herramientas internas desarrolladas en C#

Conviene validar que todos los runtimes estén actualizados.

Certificados eliminados del almacén de confianza de Windows

Microsoft eliminó varios certificados raíz de confianza de Windows mediante actualización de seguridad.

Posibles síntomas posteriores a la actualización:

• Errores TLS inesperados.
• Aplicaciones antiguas que dejan de validar certificados.
• Fallos en integraciones SOAP o REST antiguas.
• Problemas con software legado de organismos o proveedores externos.

Si tras aplicar actualizaciones aparecen errores de certificado, este cambio debería estar entre las primeras hipótesis de diagnóstico.

Un poco de paz: SQL Server sin vulnerabilidades críticas destacadas esta semana

No aparecen avisos relevantes específicos para SQL Server Engine durante esta semana en las fuentes consultadas. Sin embargo Microsoft ha anunciado mejoras en la protección de SQL Server dentro de Azure Government mediante Microsoft Defender. Se trata más de una mejora de seguridad y despliegue que de una vulnerabilidad crítica, pero conviene estar atentos las próximas semanas. O, mejor dicho, tambien las próximas semanas.

Recomendación práctica

Aprovechar el ciclo de mantenimiento de noviembre para verificar:

SELECT @@VERSION;

y confirmar:

• SQL Server CU instaladas.
• Estado de backups.
• Estado de CHECKDB.
• Espacio libre en volúmenes de datos y logs.
• Integridad de planes de mantenimiento.

Auge de campañas de phishing

Varias filtraciones masivas de datos y correos electrónicos han sido reportadas recientemente. Durante las próximas semanas es esperable un incremento de:

• Correos simulando alertas Microsoft.
• Falsas renovaciones de licencias.
• Falsas alertas de Microsoft 365.
• Intentos de robo de credenciales RDP y VPN.
• Requerimientos falsos de verificación de datos personales en diferentes plataformas, especialmente bancos y billeteras
• Intimaciones judiciales, deudas impositivas, multas… todo trucho.
• Ofertas laborales
• CVs no solicitados

Alertar a usuarios y operadores. Aunque repetido hasta el agotamiento, insistir: prestar atención a la confección y links en los correos, aunque esto ya no es del todo suficiente porque mediante IA se mejora constantemente la calidad de los engaños y cada vez con menos esfuerzo. Entonces… NUNCA acceder a los links incluídos en estos correos: acceder a las plataformas y sitios correspondientes directamente a través de su web o aplicación y verificar allí si es necesario realizar alguna acción.

En servidores expuestos a Internet conviene revisar:

• Eventos 4625.
• Bloqueos del firewall.
• Intentos de autenticación RDP.
• Ataques contra OWA o Microsoft 365.

Checklist rápido para esta semana

✅ Aplicar actualizaciones de noviembre en servidores piloto.

✅ Verificar runtimes .NET instalados.

✅ Comprobar versiones PHP en sitios web.

✅ Revisar errores TLS o certificados tras actualizar.

✅ Auditar eventos 4625 y accesos remotos.

✅ Confirmar backups SQL y test de restauración.

✅ Verificar espacio libre de discos de bases y logs.

✅ Revisar que Defender y firmas estén actualizados.

Para un entorno típico el foco principal esta semana lo pondría en actualizaciones Windows/.NET y revisión de servidores PHP expuestos a Internet, ya que son los elementos que muestran mayor movimiento de seguridad en este momento.