← Volver al blog

Briefing de seguridad, 15 de abril de 2026: Patch Tuesday, extensiones maliciosas de Chrome y deriva de accesos

El briefing de seguridad de hoy sigue tres historias concretas: el Patch Tuesday de Microsoft, una campaña con más de 100 extensiones maliciosas de Chrome y fallos de gobierno de acceso en Kraken y McGraw-Hill.

---

---

1. El Patch Tuesday de Microsoft es grande, y un zero-day de SharePoint ya estaba siendo explotado

Microsoft publicó correcciones para 167 vulnerabilidades en abril de 2026, incluidas dos zero-days. Una de ellas, una vulnerabilidad de suplantación en SharePoint Server, ya estaba siendo explotada. Microsoft también corrigió fallos críticos de ejecución remota en Office y una elevación de privilegios en Defender a través de la plataforma antimalware.

• Parchea primero los sistemas SharePoint expuestos a internet y los entornos muy dependientes de Office.
• No declares cerrado el ciclo hasta reconciliar excepciones, copias de staging y nodos administrativos.
• Haz una comprobación de exposición posterior al parche en vez de confiar en el cierre del ticket.

---

2. Más de 100 extensiones de Chrome convirtieron el navegador en una superficie de robo de identidad

Investigadores de Socket vincularon más de 100 extensiones maliciosas del Chrome Web Store a una campaña coordinada. Las extensiones habrían robado tokens OAuth2 de Google, recolectado datos de cuentas, secuestrado sesiones de Telegram Web y ejecutado comandos remotos en segundo plano. No es un simple riesgo de complemento. Es abuso de identidad, sesión y confianza dentro de un entorno ya autenticado.

• Audita hoy mismo las extensiones instaladas en los dispositivos gestionados.
• Revoca sesiones y tokens cuando sospeches abuso por extensiones.
• Trata el navegador como parte del plano de control de identidad.

---

3. Kraken y McGraw-Hill muestran por qué el acceso interno y de terceros sigue rompiendo relatos demasiado limpios

Kraken dijo que un grupo de extorsión amenaza con publicar videos de sistemas internos después de que accesos indebidos por parte de empleados de soporte expusieran datos limitados de soporte de clientes que afectan a unas 2.000 cuentas. McGraw-Hill dijo por separado que atacantes accedieron a datos internos limitados mediante una mala configuración en una página alojada por Salesforce, mientras ShinyHunters afirmaba haber obtenido mucho más. El alcance exacto cambia, pero el patrón es el mismo: los flujos de soporte y los sistemas de negocio alojados suelen conservar más confianza de la que los equipos creen.

• Limita por tiempo, por defecto, el acceso de soporte y contratistas.
• Revisa páginas alojadas, herramientas de soporte y rutas de administración de proveedores durante la respuesta a incidentes.
• Asume que incluso una “exposición limitada” puede convertirse en un problema reputacional y de extorsión.

---

Qué deberían hacer hoy los equipos de seguridad

1. Prioriza primero los activos Microsoft explotados y expuestos externamente.
2. Ejecuta un barrido de extensiones y un plan de revocación de sesiones para usuarios de alto riesgo.
3. Audita accesos de soporte, proveedores y administración SaaS con responsables y fecha de expiración.
4. Usa una sola actualización ejecutiva que una parches, abuso de identidad en navegador y acceso de terceros en la misma imagen de riesgo.

---

Bottom line: Todas las historias de hoy apuntan a la misma verdad operativa. Los atacantes están ganando en la brecha entre control nominal y control verificado, entre “parcheado” y realmente corregido, entre “logueado” y realmente confiable, entre “acceso temporal” y privilegio persistente.