Alertas de seguridad para pymes: qué ha pasado y qué hacer
Aquí recogemos los avisos de seguridad recientes que de verdad afectan a una pyme: el correo y los equipos con Windows, la web, el cortafuegos y las herramientas de soporte remoto. Cada aviso lleva su fecha, a quién afecta, qué hacer y el enlace a la fuente oficial. Si ya tienes un problema, ve directo a respuesta ante incidentes.
Alertas de seguridad recientes que afectan a pymes.
Actualizado el 7 de noviembre de 2026. Solo avisos comprobados en su fuente oficial.
21/10/2026 · PHP: dos fallos críticos de ejecución remota
Afecta a cualquier web o aplicación en PHP sin actualizar. Instala PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35 o posterior.
14/10/2026 · Microsoft: fallo de Windows ya explotado
Afecta a los equipos con Windows y Office sin las actualizaciones de octubre. Instala el boletín cuanto antes.
16/10/2026 · BeyondTrust Remote Support: omisión de autenticación
Afecta a las instalaciones propias hasta la versión 26.2.3. Aplica el parche BT26-05-RS.
22/06/2026 · Fortinet: credenciales filtradas de FortiGate y VPN
Afecta a quien tiene un FortiGate o una VPN SSL de Fortinet expuestos a Internet. Cambia credenciales y activa MFA.
Boletín de seguridad de Microsoft de octubre de 2026: fallo de Windows explotado.
- Fecha. 14 de octubre de 2026, aviso INCIBE-2026-736, importancia crítica.
- Qué pasa. Microsoft publicó correcciones para 1.408 vulnerabilidades, 78 de ellas críticas, en Windows, Office, Exchange Server, SharePoint Server, SQL Server y otros productos. Confirmó que una, la CVE-2026-96951, ya se está explotando: permite saltarse una función de seguridad de Windows Shell.
- A quién afecta. A cualquier empresa con equipos Windows u Office, o con Exchange o SharePoint instalados en sus propios servidores, que no haya aplicado las actualizaciones de octubre.
- Qué hacer. Instalar las actualizaciones de octubre con Windows Update, Microsoft Update o tu herramienta de gestión de parches, empezando por los equipos afectados por la CVE-2026-96951.
Vulnerabilidades críticas de PHP de octubre de 2026: actualiza la versión.
- Fecha. 21 de octubre de 2026.
- Qué pasa. El proyecto PHP corrigió dos vulnerabilidades críticas, la CVE-2026-109618 y la CVE-2026-109619, que pueden permitir ejecutar código en el servidor sin autenticarse. El fallo está en el propio PHP, así que una web con su código bien hecho también queda expuesta. Según el propio proyecto, solo actualizar lo corrige del todo.
- A quién afecta. A las webs, tiendas online, intranets y aplicaciones hechas en PHP, como las que funcionan con WordPress, en un servidor que no se haya actualizado.
- Qué hacer. Pasar a PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, o a una versión posterior. Si tu web está en un hosting, pregunta a tu proveedor qué versión tiene. Ojo con la rama 8.2: deja de recibir correcciones el 31 de diciembre de 2026.
Lo explicamos con detalle, versión por versión, en vulnerabilidades de PHP: qué versión instalar en tu web.
BeyondTrust Remote Support: vulnerabilidad crítica de octubre de 2026.
- Fecha. 16 de octubre de 2026, importancia crítica.
- Qué pasa. La CVE-2026-102764 permite a un atacante remoto saltarse la autenticación suplantando mensajes internos y hacer operaciones no autorizadas sobre los archivos del equipo.
- A quién afecta. A las instalaciones propias de BeyondTrust Remote Support hasta la versión 26.2.3. Las instancias en la nube las parcheó el fabricante el 9 de octubre.
- Qué hacer. Aplicar el parche BT26-05-RS si no tienes activadas las actualizaciones automáticas. Si tu versión es anterior a la 24.3.1, primero hay que subir a una versión entre la 24.3.1 y la 26.2.3.
Las herramientas de acceso remoto son una puerta directa a tus equipos. Si quieres revisar cómo se conectan tus técnicos y tu gente desde fuera, mira acceso remoto seguro y VPN.
Credenciales filtradas de Fortinet en 2026: qué hacer si tienes un FortiGate.
- Fecha. 22 de junio de 2026, publicación de INCIBE-CERT.
- Qué pasa. Circula un listado de credenciales de decenas de miles de equipos Fortinet expuestos a Internet, sobre todo FortiGate y VPN SSL. Según INCIBE, viene de incidentes antiguos, como la explotación de la CVE-2023-27997, y de ataques de fuerza bruta, no de un fallo nuevo. Buena parte de esas credenciales parece seguir activa.
- A quién afecta. A las empresas con un cortafuegos o una VPN de Fortinet accesible desde Internet, sobre todo si estuvo sin actualizar o con contraseñas débiles.
- Qué hacer. Cambiar todas las credenciales de administración y de VPN, activar la autenticación multifactor en todos los accesos remotos, no dejar la gestión del equipo expuesta a Internet, actualizar el firmware y revisar los registros en busca de accesos raros.
Cambiar la contraseña no basta si el equipo ya tiene una puerta trasera. Por eso INCIBE pide revisar también firmware y registros. Si no sabes qué es el MFA, te lo contamos en qué es el MFA.
Cómo reaccionar a una alerta de seguridad en una pyme.
Una alerta solo sirve si alguien sabe qué equipos tienes y los actualiza a tiempo.
Paso 1
Saber qué tienes
Un inventario de equipos, servidores, webs y versiones para saber en minutos si un aviso te toca.
Paso 2
Priorizar y actualizar
Primero lo que ya se explota y lo expuesto a Internet. Se aplica el parche, o se aísla el sistema mientras no se puede.
Paso 3
Comprobar
Revisar registros y accesos por si alguien entró antes del parche.
Gestión de vulnerabilidades
Cómo encontrar y tapar los agujeros antes que el atacante, con un método que se repite cada mes.
Actualizaciones y parches
Por qué no conviene aplazar las actualizaciones y cómo organizarlas sin parar la empresa.
Respuesta ante incidentes
Qué hacer si el aviso llegó tarde: contener, recuperar y volver a la normalidad.
Auditorías de seguridad
Una revisión de tus sistemas para saber qué está expuesto antes de que salga el próximo aviso.
Preguntas frecuentes sobre las alertas de seguridad.
INCIBE-CERT publica avisos de seguridad para empresas y ciudadanos, y el CCN-CERT para el sector público. Además, cada fabricante publica sus boletines, como Microsoft cada mes o el proyecto PHP en php.net.
Añadimos un aviso cuando hay uno que afecta a pymes y lo hemos comprobado en su fuente oficial. Cada aviso lleva su fecha para que sepas si es reciente.
Necesitas saber qué equipos, servidores, programas y versiones tienes. Con ese inventario, comparar con el aviso lleva minutos. Sin él, lleva días.
Aísla el sistema de Internet o limita quién puede llegar a él mientras preparas la actualización, y revisa los registros por si ya hubo accesos.
Sí. En la primera consultoría, gratuita y sin compromiso, vemos qué tienes expuesto y qué avisos te tocan, y te proponemos cómo resolverlo.
¿No sabes si estos avisos te afectan?
Primera consultoría gratuita y sin compromiso.
info@3lsystems.es · Primera consultoría gratuita y sin compromiso