El "octubre negro" no fue una ofensiva coordinada
El 21 de octubre de 2026 se publicaron los parches de PHP2Shell, dos vulnerabilidades del núcleo de PHP con 9,2 sobre 10 en CVSS 4.0 que permiten ejecución remota de código sin autenticación. Ese mismo día, Wiz estimaba que una versión manipulada de la librería LiteLLM había acumulado unas 49.000 descargas antes de ser puesta en cuarentena. La semana previa, Microsoft había atribuido a un actor alineado con China una campaña contra ConnectWise Cloud Backup.
Esa acumulación alimentó la expresión "octubre negro". Pero no es el nombre de una campaña atribuida ni una declaración oficial de CISA, CERT-EU o el NCSC británico: se popularizó en redes al coincidir varios incidentes sin relación entre sí. Muchos de los casos incluidos en esas listas habían empezado semanas o meses antes.
La distinción no es semántica. Presentar todo como ataques de IA impide ver qué está cambiando de verdad, y hay tres episodios que lo muestran con claridad.
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 díasPHP2Shell: cuando un modelo encuentra lo que nadie encontraba
Las dos vulnerabilidades (CVE-2026-109618 y CVE-2026-109619) afectan a instalaciones de PHP que sirven peticiones web, incluidas PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Según W3Techs, PHP está presente en cerca del 69,7% de los sitios web cuyo lenguaje de servidor puede identificarse, y los fallos alcanzan a versiones publicadas durante la última década.
Lo relevante no es solo la gravedad, sino cómo aparecieron. Wiz inició en agosto una investigación con su plataforma Atlas y modelos de frontera: la compañía señala que Gemini 4 Argon y GPT-5.6 Sol participaron en el proceso que permitió localizar los fallos y desarrollar rutas prácticas de explotación. OpenAI indicó que la firma de seguridad Calif llegó por vía independiente a una vulnerabilidad crítica dentro de su programa Patch the Planet.
Según Help Net Security, los fallos subyacentes llevaban décadas presentes, pero demostrar su explotabilidad exigía una cadena de pasos tan compleja que quedaba en el límite de lo que un investigador humano podía lograr.
Ahí está el cambio estructural: existen errores antiguos que nunca se explotaron porque construir un exploit estable costaba demasiado tiempo y conocimiento. Los modelos avanzados están bajando ese costo, y la misma capacidad sirve para defender y para atacar.
La escala de los intentos posteriores lo confirma. Matthew Prince, consejero delegado de Cloudflare, describió que su compañía vio miles de intentos en las 10 horas previas a la divulgación, decenas de miles en los 45 minutos posteriores al anuncio, cientos de miles en dos horas y millones después. Millones de intentos no equivalen a millones de servidores comprometidos: un mismo sistema puede recibir cientos de peticiones y muchas van contra máquinas ya actualizadas. A 23 de octubre, las fuentes públicas no habían confirmado una ola de ejecuciones remotas exitosas comparable a ese volumen.
ARTEX y Storm-0940: el ataque a velocidad de máquina
Para ver agentes de IA atacando de verdad hay que mirar otros casos. ARTEX es un framework de pruebas de penetración que conecta modelos de lenguaje con herramientas ofensivas y coordina agentes que van del reconocimiento a la exfiltración.
CrowdStrike lo vinculó a una campaña contra entidades financieras de Corea del Sur iniciada a finales de septiembre; Reuters informó inicialmente de ataques contra al menos nueve bancos y de un atacante joven probablemente ubicado en China. Tras conocerse el abuso, su desarrollador retiró el repositorio público y pasó el proyecto a código cerrado, aunque las copias ya distribuidas siguieron circulando.
Días después llegó el caso más documentado. Microsoft atribuyó a Storm-0940 —actor alineado con China, activo desde al menos 2021 y seguido por Recorded Future bajo el nombre TAG-217— el uso de ARTEX en la campaña contra ConnectWise Cloud Backup.
Los números de Microsoft son concretos: entre el 10 y el 14 de octubre de 2026, una campaña automatizada de password spraying desde la infraestructura 144.172.64[.]99 apuntó a 327 cuentas de ocho organizaciones, con más de 151.000 inicios de sesión fallidos y un pico de 2.900 fallos por minuto el 11 de octubre. Ninguna autenticación tuvo éxito en esa fase.
El 15 de octubre los agentes accedieron a las identidades de varias aplicaciones cloud de ConnectWise y las usaron para autenticarse en entornos de clientes. Microsoft registró intentos contra más de 2.250 tenants de Microsoft 365 y, en varios casos, el intervalo entre seleccionar el objetivo y obtener privilegios elevados fue inferior a tres horas. La mayoría de los intentos no prosperó.
Huntress había confirmado brechas en 162 tenants el 16 de octubre y después identificó cerca de 1.000 tenants con intentos de inicio de sesión, de los cuales más de 300 mostraron intentos exitosos. ConnectWise desactivó siete identidades de aplicación el 17 de octubre y desconectó el servicio, que empezó a restaurarse por fases el 21 de octubre.
Cairn: 1.200 objetivos por 5.000 dólares
El tercer caso mide la economía del ataque. El investigador Snorre Fagerland, de NorForge, accedió a instalaciones expuestas de la plataforma Cairn y analizó cómo distintos operadores usaban sus agentes. Uno de ellos lanzó campañas contra más de 1.200 sitios web y consiguió acceso a más de un centenar, incluidos sitios relacionados con Deere, SharkNinja y Cummins.
El operador daba instrucciones breves y dejaba que los agentes trabajaran durante horas: exploraban infraestructura, buscaban fallos, probaban caminos alternativos y corregían el rumbo. Algunas intrusiones se prolongaron alrededor de 23 horas sin supervisión humana continua. El gasto asociado rondó los 5.000 dólares, unos 50 dólares por intrusión conseguida.
Esa cifra describe solo esa campaña y no es un precio de referencia del cibercrimen. Pero muestra lo importante: el tiempo humano por objetivo adicional deja de crecer al mismo ritmo que el número de sistemas analizados. Un escáner ejecuta una secuencia programada; un agente interpreta el resultado y decide qué hacer después. Es la diferencia entre automatización y autonomía operativa.
Los incidentes que no tienen nada que ver con la IA
Parte del ruido de octubre viene de mezclar episodios con causas distintas.
LiteLLM es el mejor ejemplo. El 21 de octubre apareció en PyPI la versión 1.107.0, manipulada con código que robaba credenciales: claves de AWS, GCP y Azure, credenciales SSH, datos de navegadores y tokens de servicios de IA. Wiz calculó unas 49.000 descargas antes de la cuarentena y observó uso de credenciales de AWS robadas pocas horas después de la extracción. La posición de LiteLLM importa: conecta aplicaciones con modelos y suele estar cerca de secretos de alto valor. Hay indicios de que un modelo participó en escribir el código malicioso, pero eso no equivale a una intrusión ejecutada por un agente autónomo.
eMudhra es otro caso separado. La compañía india generó en abril de 2025 claves privadas extremadamente débiles para autoridades de certificación intermedias. El problema pasó 18 meses sin detectarse y Reuters informó de ocho claves afectadas y de la salida de la empresa del negocio internacional de certificados SSL/TLS. No existe evidencia de relación con agentes de IA.
¿Qué significa esto para tu startup?
El riesgo inmediato no es un ejército de IA atacando por su cuenta. Es la asimetría de velocidades: el trabajo ofensivo puede ejecutarse en paralelo y durante horas, mientras la respuesta de tu equipo depende de procesos que no se aceleraron igual. Para una startup con equipo pequeño, eso es una desventaja concreta.
Cuatro cosas que puedes hacer esta semana:
- Inventaría lo que tienes, no lo que crees tener. Ante PHP2Shell, saber "usamos PHP" no sirve de nada. Necesitas saber dónde está desplegado, qué versiones corren, qué aplicaciones dependen de ellas y cuáles están expuestas a Internet. Si responder eso te lleva días, ya perdiste la ventana.
- Mide tu tiempo real de parcheo. No el teórico: cuánto tardas desde una alerta crítica hasta una decisión ejecutable. Si tu ciclo es de semanas, define una ruta de emergencia probada para componentes críticos, con responsable y ventana de despliegue asignados de antemano.
- Trata los gateways de IA como activos sensibles. Si usas LiteLLM u orquestadores similares, revisa qué tokens, claves cloud y credenciales concentran, aplica mínimo privilegio y rota todo lo que haya estado expuesto.
- Revisa los inicios de sesión de aplicaciones, no solo los de personas. Los agentes de Storm-0940 operaron con credenciales de aplicación, sin interacción humana. Si solo monitoreas logins de usuarios, ese tráfico pasa desapercibido.
La conclusión es incómoda pero útil: la IA no explica por sí sola el "octubre negro". Lo que sí hace es reducir el costo y el tiempo que separaban una debilidad de su explotación. En ese escenario, conocer tu propia infraestructura deja de ser tarea de TI y se vuelve una ventaja competitiva tan real como cualquier feature del producto.
Fuentes
- La Ecuación Digital (fuente original)
- Microsoft Security Blog: AI-driven, large-scale nation-state campaign using ARTEX
- The Hacker News: China-Linked Hackers Use ARTEX AI Agents
- The Next Web: Microsoft says China-aligned hackers used AI agents in ConnectWise attack
- Help Net Security: PHP2Shell, critical PHP vulnerabilities patched
- Hackread: PHP Releases Emergency Fixes for Critical PHP2Shell Vulnerabilities
- Infosecurity Magazine: PHP2Shell Exploitation Attempt Detected by Amazon Four Days Before Disclosure
Leíste lo que hace la IA. ¿Y en tu negocio?
En CAR, dueños de empresa arman en 7 días su primer sistema funcionando: que ningún cliente se les escape, o que el informe del lunes salga solo. Con otros emprendedores al lado.
👥 Probar 7 días
