Seguro cyber: los eventos de la semana del 17 al 24 de octubre de 2026

Cinco eventos cyber de la semana del 17 al 24 de octubre de 2026, cuatro ligados a la cadena de suministro: PHP2Shell, ConnectWise, LiteLLM y Railway, n0n y Capcom. Con el impacto asegurador y las preguntas para las renovaciones.

Semana del 17 al 24 de octubre de 2026

La semana del 17 al 24 de octubre de 2026 confirma que el riesgo cyber viaja cada vez más a través de la cadena de suministro. Cuatro de los cinco eventos seleccionados no nacen de un ataque directo a la víctima, sino de un proveedor, una biblioteca o un software utilizado por miles de empresas. Para quien suscribe riesgo cyber, el análisis del asegurado individual ya no basta: cuentan las dependencias comunes de la cartera.

En resumen

PHP2Shell: dos vulnerabilidades críticas en el motor PHP, explotadas a gran escala pocas horas después del parche.
ConnectWise Cloud Backup: una aplicación multi-tenant comprometida abre el acceso a los tenants de Microsoft 365 de los clientes de los MSP. Microsoft atribuye el ataque a un actor alineado con el Estado chino.
LiteLLM y Railway: la cadena de suministro de la inteligencia artificial se convierte en un canal para el robo de credenciales.
n0n y el sector marítimo: un proveedor de TI comprometido lleva el ransomware a más de 40 empresas de 18 países.
Capcom: 11,7 millones de registros expuestos, una brecha de datos masiva pero de baja gravedad por registro.

Los ataques de la semana

1. PHP2Shell: una vulnerabilidad en el corazón de la web

Dos fallos en el motor PHP (CVE-2026-109618 y CVE-2026-109619) permiten la ejecución remota de código sin autenticación. Afectan a casi todas las versiones a partir de la 5.4 y permiten también leer la memoria del proceso, donde pueden encontrarse credenciales y claves API (SecurityWeek).

La divulgación estaba prevista para el 22 de octubre, pero los detalles se filtraron en internet el día 20. La PHP Foundation adelantó los parches un día y la explotación a gran escala empezó pocas horas después. Según AWS, algunos ataques ya estaban en curso antes de la divulgación pública (Risky Bulletin).

El perímetro es enorme: PHP funciona en alrededor del 70% de los sitios web y casi la mitad de ellos usa versiones ya sin soporte (Island). Varias agencias de seguridad aconsejaron apagar los servidores PHP hasta su actualización. La comparación con Log4Shell de 2021 es inevitable (Dark Reading).

2. ConnectWise Cloud Backup: el MSP como multiplicador

Se comprometió una credencial de aplicación de ConnectWise Cloud Backup (antes SkyKick), servicio de copia de seguridad para Microsoft 365 usado por los MSP. Desde el 15 de octubre el atacante la utilizó para entrar en los tenants de los clientes, aprovechando la confianza ya concedida a la aplicación. Las estimaciones hablan de al menos 173 tenants comprometidos (Rescana).

ConnectWise suspendió el servicio el 17 de octubre y al día siguiente también SaaS Security y Cloud Management. A 19 de octubre los clientes no podían ni hacer copias de seguridad ni restaurar datos (Help Net Security).

El 21 de octubre Microsoft atribuyó el ataque a Storm-0940, actor alineado con el Estado chino. El grupo utilizó un framework de agentes de IA, ARTEX, para intentar el acceso a más de 2.250 tenants; en algunos casos llegó a accesos privilegiados en menos de tres horas (Microsoft).

3. LiteLLM y Railway: la cadena de suministro de la inteligencia artificial

El 21 de octubre se comprometió la cadena de publicación de LiteLLM, biblioteca de Python que conecta las aplicaciones con distintos modelos de lenguaje. La versión 1.107.0 publicada en PyPI y Docker contenía un malware que roba credenciales (LiteLLM). Estuvo disponible unas dos horas, en un paquete con unos 23 millones de descargas semanales; es el segundo incidente de este tipo para LiteLLM en 2026 (Datadog).

Al día siguiente la plataforma cloud Railway comunicó que los atacantes accedieron a las variables de entorno cifradas de algunos clientes y descifraron una parte. Pidió a todos los usuarios que rotaran claves API y credenciales cloud. Según Railway, el ataque forma parte de una campaña más amplia contra los proveedores de servicios de IA (TechCrunch).

4. n0n: ransomware a través de un proveedor del sector marítimo

El grupo de ransomware n0n pasó de la red de un proveedor de TI del sector marítimo a más de 40 autoridades portuarias, navieras y operadores logísticos de 18 países. Los indicios apuntan a la surcoreana CyberLogitec, de la que la mitad de las víctimas son clientes. Las peticiones de rescate publicadas en el sitio del grupo suman en total 1.200 millones de dólares (Risky Bulletin).

El plazo de pago vencía el 19 de octubre y la mayoría de las víctimas no pagó, por lo que sus datos se publicaron. Es uno de los ataques más graves al sector marítimo desde NotPetya.

5. Capcom: la brecha de datos masiva

Capcom detectó el 19 de octubre un acceso no autorizado a los datos de las cuentas CAPCOM ID. Están expuestos 11.774.247 registros con dirección de correo y datos técnicos de la cuenta; no constan datos de pago afectados (Help Net Security). El riesgo principal para los afectados es el phishing dirigido.

Otros eventos a destacar

Quest Diagnostics (Sanidad): brecha en la aplicación de pedidos y resultados, comunicada a la SEC
Iwai Cosmo Securities (Finanzas): acceso al sistema de negociación en línea, órdenes no autorizadas en al menos 7 cuentas
Onamae Desktop Cloud (Cloud / VPS): malware instalado en más de 26.700 servidores virtuales
Richmond Public Schools (Educación): ransomware en los 53 centros del distrito
ETS / California (Educación): datos de millones de estudiantes sustraídos de un servidor SFTP del proveedor

Impacto asegurador

Los cinco eventos afectan a coberturas distintas, pero tres tienen un rasgo común: pueden generar siniestros correlacionados en muchos asegurados de la misma cartera.

PHP2Shell. Coberturas potencialmente activadas: respuesta a incidentes, brecha de datos, interrupción de la actividad, posible apagado voluntario de los sistemas. Potencial de cúmulo: alto, la misma vulnerabilidad en gran parte de la web. Cuestión contractual: definición de evento único y agregación de siniestros.
ConnectWise. Coberturas potencialmente activadas: interrupción de actividad dependiente, restauración de datos, brecha de datos; tech E&O para los MSP y el proveedor. Potencial de cúmulo: alto, una aplicación, cientos de tenants. Cuestión contractual: atribución estatal y exclusión state-backed.
LiteLLM / Railway. Coberturas potencialmente activadas: brecha de datos, robo de credenciales, siniestros de manifestación tardía; tech E&O para los proveedores. Potencial de cúmulo: medio-alto, concentrado en empresas tecnológicas y de IA. Cuestión contractual: fecha de descubrimiento y periodo de cobertura.
n0n marítimo. Coberturas potencialmente activadas: extorsión cyber, interrupción de actividad dependiente, brecha de datos. Potencial de cúmulo: medio-alto, más de 40 víctimas en el mismo sector. Cuestión contractual: coordinación entre la póliza cyber y las coberturas marítimas.
Capcom. Coberturas potencialmente activadas: notificación, gestión de crisis, responsabilidad por privacidad. Potencial de cúmulo: bajo, evento único. Cuestión contractual: coste por registro y marco regulatorio aplicable.

La atribución no basta para excluir. El caso ConnectWise reabre el debate sobre los ataques atribuibles a un Estado. Desde el 31 de marzo de 2023 Lloyd's exige en las pólizas cyber standalone una exclusión para los ataques state-backed, además de la exclusión de guerra (Lloyd's, Market Bulletin Y5381). Sin embargo, el bulletin vincula la exclusión a un umbral de impacto: el ataque debe perjudicar de forma significativa el funcionamiento o la seguridad de un Estado (Simmons & Simmons). Una operación de espionaje y robo de datos como la de Storm-0940 difícilmente alcanza ese umbral. El resultado dependerá de la cláusula LMA adoptada y del mecanismo de atribución previsto en el texto.

El proveedor como punto de cúmulo. ConnectWise, CyberLogitec y LiteLLM muestran el mismo esquema: un solo proveedor comprometido, muchas víctimas aguas abajo. Para la cobertura de interrupción de actividad dependiente cuenta cómo define la póliza al proveedor (de TI o no, nombrado o genérico) y qué sublímites aplica.

El apagado preventivo. Con PHP2Shell varias agencias recomendaron apagar los servidores no actualizados. Es el caso típico en el que conviene verificar si la póliza cubre la interrupción voluntaria decidida para contener un riesgo, incluso sin compromiso efectivo.

Qué llevar a las renovaciones

Los eventos de la semana sugieren algunas preguntas concretas para los cuestionarios y las reuniones de suscripción:

Gestión de parches críticos. ¿En cuánto tiempo aplica el asegurado un parche crítico en los sistemas expuestos a internet? ¿Existe un inventario de las versiones de PHP en uso, incluidas las que ya no tienen soporte?
Aplicaciones de terceros con privilegios. ¿Qué aplicaciones externas tienen acceso al tenant de Microsoft 365 o Google Workspace, y con qué permisos? ¿Existe una revisión periódica de los consentimientos OAuth?
Dependencia del MSP. ¿Confía el asegurado a un MSP la gestión de TI o las copias de seguridad? ¿Es la copia independiente del proveedor y está probada la restauración?
Seguridad de la cadena de publicación del software. Para las empresas tecnológicas: ¿están fijadas las versiones de las dependencias? ¿Están protegidas y se rotan las credenciales de publicación?
Gestión de secretos. ¿Se guardan las claves API y las credenciales cloud en un sistema dedicado y pueden rotarse rápidamente tras un incidente?
Proveedores críticos del sector. Para sectores como el marítimo o el logístico: ¿qué plataformas de TI compartidas usa el asegurado y cuántos otros asegurados de la cartera dependen de las mismas?

En el plano de la cartera, conviene mapear la exposición a ConnectWise, LiteLLM y los principales proveedores de TI del sector marítimo. Son los primeros indicadores para estimar un posible cúmulo antes de que lleguen los siniestros.