Óscar lee y opina

Últimos artículos

• Drupal Commerce, bajo ataque: qué hacer si tu tienda online usa este módulo

  Drupal avisa de un fallo crítico en Commerce Core que ya se está explotando. Si vendes con Drupal, toca actualizar y revisar los pedidos recientes.

• WordPress 7.1.4 corrige un fallo grave y ya se intenta explotar

  La nueva versión de WordPress arregla 22 vulnerabilidades, una de ellas crítica. Según Wordfence, ya hay intentos de ataque, así que conviene comprobar cuanto antes que tu web está al día.

• Oracle E-Business Suite: ya buscan sistemas sin el parche de octubre

  Atacantes han empezado a sondear un fallo crítico de Oracle E-Business Suite corregido hace una semana. Si usas este software, conviene comprobar hoy que el parche está aplicado.

• Un script de analítica manipulado robó datos de tarjetas en tiendas online de Brasil

  Unos atacantes modificaron una herramienta de estadísticas alojada por Convertr y copiaron datos de pago en el checkout. El caso recuerda qué riesgo tienen los scripts de terceros.

• Casi mil tiendas online infectadas con un código que esquiva a los escáneres

  Sansec detecta 953 tiendas online, la mayoría con Magento, con un pequeño código oculto en bloques CMS. La campaña lleva activa desde julio de 2025.

• PHP avisa de otro fallo de ejecución remota sin parche, pero con mitigación

  Dos días después de los parches de emergencia de PHP2Shell, PHP advierte de un nuevo riesgo de ejecución de código. No habrá parche urgente: recomienda desactivar una función.

• Node2Shell: el fallo de Node.js que ya tiene prueba de ataque y exige actualizar

  Node.js 22.23.4, 24.22.1 y 26.12.1 corrigen un fallo en el descompresor Brotli que investigadores ya han usado para ejecutar código.

• Chrome pedirá permiso antes de abrir webs sin HTTPS: así afecta a tu negocio

  Desde el 21 de octubre, Chrome detiene la visita y pide permiso a todos sus usuarios antes de entrar en una página que no use HTTPS.

• PHP2Shell: dos fallos críticos de PHP obligan a actualizar todos los servidores web

  PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 corrigen dos fallos que permiten tomar el control del servidor sin contraseña. Ya hay intentos de ataque.

• Oracle publica 1.295 parches y deja MySQL 8.0 fuera de las correcciones

  El parche trimestral de Oracle del 20 de octubre corrige MySQL, Java y WebLogic. Quien siga en MySQL 8.0 ya no recibe arreglos de seguridad.

• Claves robadas de UpdraftCentral meten puertas traseras en webs WordPress

  Con claves de gestión remota de UpdraftPlus, alguien instaló plugins maliciosos en webs WordPress el 18 y 19 de octubre. Borrar las claves es lo primero.

• Rank Math PRO distribuyó durante once horas una versión con puerta trasera

  Copias del plugin SEO Rank Math PRO 3.0.123 descargadas entre el 15 y el 16 de octubre llevaban malware. Actualizar no basta si se llegó a activar.

• BlockStrap: fallo de gravedad máxima en Magento y Adobe Commerce con parche manual

  Un fallo con nota 10 permite ejecutar código en tiendas Magento sin contraseña. Adobe ya tiene arreglo, pero no se aplica solo al actualizar como siempre.

• Microsoft desmonta la trastienda de un phishing de más de mil millones de mensajes

  Cae el mercado que vendía cuentas y webs falsas listas para usar. Es una buena noticia, pero el negocio de suplantar marcas y webs no se acaba aquí.

• Noruega multa con 92 millones de coronas a Xandr por no comprobar el consentimiento

  La autoridad noruega sanciona a la empresa publicitaria de Microsoft por usar datos sensibles de Grindr dando por bueno un consentimiento que nunca verificó.

• Anuncios en Google y una web WordPress hackeada, la ruta de un falso instalador de Claude

  Una campaña usa anuncios de Google, redirecciones de Bing y la web comprometida de una tienda para engañar a quien busca Claude para Mac. Tu web podría ser un eslabón.

• ASOS atribuye su brecha a un empleado engañado por alguien que suplantó a un contacto

  Una llamada o mensaje convincente bastó para robar credenciales y entrar en las herramientas con las que ASOS habla con sus clientes. La lección sirve a cualquier tienda online.

• Secuestran tres dominios de país y obtienen certificados válidos para webs de Google

  Atacantes alteraron el DNS de .gh, .sl y .as y lograron certificados HTTPS legítimos para dominios ajenos. El candado del navegador no basta para fiarse.

• Atacan webs WordPress con fallos de Ninja Forms y un plugin de WooCommerce

  Un atacante esconde código en formularios y pedidos para que, al abrirlos, el administrador cree sin saberlo cuentas ocultas. Hay que actualizar y, además, revisar la web.

• La UE prepara la Ley de Equidad Digital contra patrones oscuros y suscripciones trampa

  El Parlamento Europeo resume lo que se espera de la Digital Fairness Act, cuya propuesta llegará este otoño. Las tiendas online con suscripciones o diseños de presión deberían ir tomando nota.