Space Programmer

SRE que deployea los viernes y reza después.
Tech en español sin filtro.
Gamer. Beer tester. @SecHackLabs

[Space Programmer @Spaceprogrammer]

@dstmx

[Space Programmer @Spaceprogrammer]

🚨 Hoy en ciberseguridad México:

🔴 Xcaret confirma que le sacaron correos y celulares de unos 8,300 clientes por "mecanismos de comunicación no autorizados" en su sistema de ventas. Que no hubo tarjetas, dicen. Pues ya andan llegando SMS falsos cobrando reservaciones, o sea que el phishing ya trae tu número real. https://t.co/ruqCXuNC57

🔴 Servicio Geológico Mexicano: un actor dice que se metió al correo de una oficina regional, se llevó nóminas y datos de empleados, "borró" todo y pide rescate. Sin confirmar, pero si es cierto, el próximo correo "oficial" de gobierno que te llegue mejor ni lo abras.

🔴 Argentina: un tal Lenken ofrece 416,374 facturas de la cooperativa Cotelcam con CUIT, domicilios y saldos, y soltó una muestra de 4 mil filas. Sin confirmar. Con nombre y dirección el fraude ya viene servido.

Xcaret ya lo admitió. De los otros dos, que yo vea, ni pío.

[Space Programmer @Spaceprogrammer]

@Albert_BR_ESP Eso lo hacemos nosotros que tenemos 5 pesos de conocimientos, pero mucha gente cae.

[Space Programmer @Spaceprogrammer]

Achinga no pensé que la 3ra guerra mundial iniciara Japón vs Francia en X

[Space Programmer @Spaceprogrammer]

@Cesasol ya lo probare , ando tentado

[Space Programmer @Spaceprogrammer]

Averrrr 👀

[Kimi.ai @Kimi_Moonshot]

Meet Kimi K3.1 Pro, our most capable 3T-class model.

[Space Programmer @Spaceprogrammer]

@Cesasol Si anda gastalon ?

[Space Programmer @Spaceprogrammer]

Y así la semana: datos que salen por una URL sin control de acceso o por un servidor que nadie toca desde hace 20 años, y la respuesta oficial es hacerse wey. Parchen, roten credenciales y revisen logs para atrás, que el parche no regresa lo que ya se llevaron.

[Space Programmer @Spaceprogrammer]

Resumen semanal de ciberseguridad en México, o sea otra semana viendo cómo nadie parcha nada. Una aerolínea, un banco, una aseguradora, un gobierno estatal y medio https://t.co/T5ASHnS4Za corriendo PHP de museo. Va hilo 🧵

[Space Programmer @Spaceprogrammer]

🔴 PHP2Shell versión https://t.co/yivgzeTNRM: según Ignacio Gómez Villaseñor en Milenio, al menos 8,600 servicios en México corren un PHP que ya nunca va a recibir parche. De 20 servicios de gobierno revisados, 19 vulnerables. La SEP en PHP 4.3 (2004), Gobernación en 5.2 (2007). Arqueología pura.

[Space Programmer @Spaceprogrammer]

@LMB_memes Son nacos la neta

[Space Programmer @Spaceprogrammer]

@donsensible1978 Aver cuenta esa chisme

[Space Programmer @Spaceprogrammer]

🚨 Hoy en ciberseguridad México:

🔴 PHP2Shell versión mexicana: según la columna de Ignacio Gómez Villaseñor en Milenio hay al menos 8,600 servicios en México con un PHP que ya nunca va a recibir parche. Un sistema de la SEP corre PHP 4.3 (de 2004) y uno de Gobernación PHP 5.2 (de 2007). De 20 servicios https://t.co/yivgzeTg2e que revisaron, 19 vulnerables. Y PHP ya sacó otro CVE (2026-115560) sin parche, nomás con mitigación. Pero tranquilos, seguro el de la SEP "así jala".

🔴 Grupo Euro (SLP, los de Gasomax, Importadora Euro y franquicias de Burger King): Krybit lo subió hoy a su sitio de filtraciones. https://t.co/W3QDZvd72W le cuenta 331 contraseñas expuestas, 70 críticas, y Hudson Rock ve un empleado y 4 usuarios con infostealer. Con ese tiradero de credenciales a lo mejor ni exploit ocupaban.

🔴 Argentina: un actor soltó muestras de SINIDE, el sistema del Ministerio de Educación, con unos 172 mil alumnos (DNI, domicilio, datos socioeconómicos) y 21 cuentas de consultores. Dice que los datos estaban accesibles sin autenticación. Datos de menores en un endpoint abierto, qué podría salir mal.

Parchen, roten credenciales y dejen de cuidar su PHP 5 como si fuera reliquia de la abuela 🍺

https://t.co/ptNuFbCqe4
https://t.co/QfBH8p0Eli
https://t.co/qT9Fo1KfXu

[Dark Web Intelligence @DailyDarkWeb]

🇦🇷 🚨 ARGENTINA: MINISTRY OF EDUCATION SINIDE PLATFORM DATA ALLEGEDLY LEAKED, ~172K STUDENTS

A threat actor on a dark web forum has published samples of a database it says comes from SINIDE, the national digital education information system run by Argentina's Ministry of Education.

The actor claims:
* Records of about 172,000 students, with 80+ fields each
* Names, national ID (DNI) numbers and residential details
* School, academic performance and socioeconomic data
* Data on about 1,100 schools and 953 school principals
* Credentials for 21 consultant accounts
* The data was reachable without authentication

⚠️ Analyst Note:
Most of the affected people are likely minors, which makes this exposure especially serious. National IDs plus home and school details can feed identity fraud and targeted scams against families. The exposed staff credentials should be rotated now. This comes hours after a separate claim against the ministry's Moodle platform. The ministry had not commented at the time of writing.

This is an unverified threat-actor claim, NOT confirmation that the ministry was breached.

#DDW #DarkWeb #Argentina #DataLeak #Education #ThreatIntelligence

[Space Programmer @Spaceprogrammer]

🚨 Hoy en ciberseguridad México:

🔴 Coahuila: MortemTeam presume 2.6 millones de registros del gobierno estatal y ya los aventó a un foro. Sin muestra de campos y, que yo vea, sin que el gobierno diga ni pío. Ya ni sé si llevar la cuenta de estados hackeados o de los que faltan.

🔴 Banco Azteca: en Telegram un tal MagoSpeak dice vender 546,681 registros de clientes con crédito y Tarjeta Azteca. Y de pilón otro, Cibercholo, ofrece fotos, firmas y huellas de unos 3 millones de personas. La contraseña la cambias, la huella no, compa.

🔴 https://t.co/jrznc2B4eu: según Víctor Ruiz, en Telegram ofrecen más de 970 mil registros de clientes y prospectos del broker de seguros. Cotizaste un seguro una vez y ahora andas de chismoso en Telegram.

Nada confirmado, que yo vea, porque aquí el plan de respuesta a incidentes es hacerse wey.

https://t.co/0fk8qq1IwI

[Dark Web Intelligence @DailyDarkWeb]

🇲🇽 🚨 THREAT ACTOR CLAIMS BREACH OF COAHUILA STATE GOVERNMENT DATABASE, 2.6M RECORDS (UNVERIFIED)

A threat actor calling itself MortemTeam claims it breached a database belonging to the government of Coahuila, the Mexican state on the US border.

The actor claims:
* About 2.6 million records taken from a Coahuila state government (https://t.co/KXKfE8oVWk) database
* The data has been posted on a cybercrime forum

The claim was made on October 25, 2026. No sample fields, data dates or price were given, and it has not been independently verified. The Coahuila state government has not publicly confirmed an incident.

⚠️ Analyst Note:
Mexican government databases are a frequent target of leak claims, and record counts are often inflated or recycled from older dumps. If genuine, records like these could fuel identity fraud and phishing that impersonates state agencies. Residents should be wary of unexpected messages that claim to come from the state government. We assess this as an unverified threat-actor claim.

#DDW #DarkWeb #DataBreach #Mexico #Coahuila #Government #MortemTeam #ThreatIntelligence

[Space Programmer @Spaceprogrammer]

@dstmx

[Space Programmer @Spaceprogrammer]

Semana de RCEs y yo ya voy en la tercera chela. PHP, GitLab, Oracle EBS, Aruba, Collabora y VeloCloud, todos con fallas críticas en 7 días. Y lo bonito no es la cantidad, es que casi todas tienen el mismo pecado: código viejo, panel de admin pegado a internet y parche que nadie instala. Les cuento bug por bug, con la causa raíz, porque "actualiza" no es análisis 🧵🍺

[Space Programmer @Spaceprogrammer]

El patrón, por si no se notó: SQL injections en Oracle, Aruba y VeloCloud, command injections en Aruba y Collabora, parsers viejos de C que nadie audita y paneles de admin que nunca debieron ver internet. Ninguno de estos bugs es magia, son errores de hace 20 años con CVE nuevo. Lo que mata no es el día cero, es el día 90 con el parche en la carpeta de descargas. Parchen este fin, revisen logs y saquen sus consolas de internet, no me hagan escribir otro hilo 🍺

[Space Programmer @Spaceprogrammer]

Oracle EBS CVE-2026-101767, 9.8. Ya lo había mencionado, pero la causa raíz es de risa: SQL injection sin auth en el servlet /OA_HTML/AppsTCFServer, que la lista blanca del URL firewall de EBS deja pasar por default. Ejecutas SQL como APPS y lo encadenas a comandos del sistema con la cuenta de la aplicación. Nómina, finanzas, RH. Horizon3 lo reportó el 24 de julio y el parche llegó en el CPU del 20 de octubre. Casi 3 meses. Mitigación: sacar ese servlet de la allowlist y no exponer el web tier.
https://t.co/h6kMdOhh37

[Space Programmer @Spaceprogrammer]

Los dos que sí están explotados. Collabora CODE para Nextcloud (CVE-2026-110447) es command injection en proxy.php, sin auth, y solo funciona mientras el server CODE está abajo, o sea en un reinicio o un crash. Ya está en el KEV de CISA con fecha límite del 26 y hay reportes de webshells shx*.php desde septiembre. Deshabilitar la app no sirve, hay que actualizar a 26.4.303 o quitarla. Y VeloCloud Orchestrator (CVE-2026-114625) que, ojo, no es RCE: es una SQL injection donde cualquier usuario, hasta el de solo lectura más básico, se convierte en "superuser operator". Arista dice que se explota activamente. Keycloak tampoco es RCE, es toma de cuentas, no lo vendan como lo que no es.
https://t.co/dsgPZOOY42
https://t.co/SBaTtJDBsT