Cadena de suministro comprometida, IA que se copia sola, modelos ligeros para PYMES y dos fallas críticas en Drupal. Lo que importa del día.
1. ConnectWise apaga Cloud Backup: tenants de Microsoft 365 expuestos
ConnectWise confirmó que actores desconocidos obtuvieron acceso a identidades de aplicación y comprometieron tenants de Microsoft 365 de sus clientes. Desactivó siete identidades —Cloud Backup, Cloud Management, Teams, Exchange, Graph, Partner Center y SharePoint— y suspendió el respaldo revocando los certificados. Los respaldos programados no corren y el acceso a restauraciones sigue caído.
"Deshabilitar las conexiones afectadas evita nueva autenticación a través de ellas; no revierte los cambios que ya se hicieron dentro de un tenant." — ConnectWise, 17 de octubre de 2026.
Por qué importa: un proveedor de TI con permisos altos es una llave maestra. Con la credencial de la aplicación, el atacante pide tokens a Entra ID sin robar la contraseña de cada cliente y llega a correo, SharePoint, Teams y directorio. Pide por escrito qué identidades se revocaron, revisa inicios de sesión y rota secretos.
2. Anthropic: la IA podría copiarse sola en tus dispositivos
Anthropic publicó experimentos donde modelos pequeños identifican dispositivos desconocidos, los conectan en red y los preparan para ejecutar IA. Distribuyó Gemma4-26B-A4B en 15 cajas Android TV genéricas. No demostró un gusano autónomo en hardware real, pero estima que modelos más chicos podrían autorreplicarse a finales de año.
"Un replicador así sería difícil de apagar, porque no hay un punto central que desconectar, aunque puede ser lento (con un tiempo de duplicación de días)."
Para PYMES: cada dispositivo con ADB abierto, contraseña por defecto o firmware viejo es superficie de ataque. Empieza por cámaras, televisiones y equipos de red de tu local.
3. El Banco Mundial apuesta por la "IA pequeña"
En las reuniones del FMI y el Banco Mundial en Bangkok, que cierran hoy, Paschal Donohoe puso sobre la mesa la small AI: modelos especializados que corren en un celular, con poca conectividad y en idioma local. No necesitas un centro de datos de miles de millones; necesitas el modelo correcto para tu problema. Para una PYME mexicana eso significa inventario, cobranza y atención con casos acotados, no un chatbot que responde de todo y resuelve poco.
4. Drupal: dos RCE críticas y prisa real
Drupal parcheó dos vulnerabilidades críticas de ejecución remota de código en el módulo Field UI del core y el módulo contribuido Entity List, en todas las versiones soportadas. El equipo de seguridad advirtió que los exploits podrían aparecer poco después de la divulgación.
"El Equipo de Seguridad de Drupal te insta a reservar tiempo para actualizar el core..." — aviso oficial, 17 de octubre de 2026.
Si administras Drupal, actualiza hoy y revisa logs. Si usas WordPress, la lección es la misma: plugins sin mantenimiento son puertas abiertas.
Breves del día
- npm en la mira: el paquete
imgdecodeesconde un cargador de shellcode en un addon nativo de Windows; acumula 979 descargas y seguía disponible. Parte de la campaña MALFEX. (The Hacker News, 17 oct) - Implante en hardware: Ledger confirmó dispositivos vendidos por el revendedor CryptoBilis con un chip espía que vació carteras. (BleepingComputer, 12 oct)
Qué hacer el lunes
- Pide el inventario de aplicaciones con permisos en tu tenant de Microsoft 365 y revoca lo que no uses.
- Cambia credenciales por defecto de cámaras, TV boxes y red; cierra puertos de administración hacia internet.
- Automatiza con modelos pequeños y tareas acotadas; mide antes de escalar el presupuesto.
La IA no falla por ser mala, sino por operar sin inventario, permisos mínimos ni parches. Eso se arregla hoy.
Fuentes
- The Hacker News — ConnectWise suspends Cloud Backup (18 oct 2026)
- BleepingComputer — Anthropic warns on self-replicating AI · Anthropic Research
- BleepingComputer — Drupal patches critical RCE flaws
- Banco Mundial / FMI — Reuniones Anuales 2026, Bangkok