← Volver al blog

Informe de seguridad, 17 de abril de 2026: acción en Cisco Webex, botnet PowMix y sabotaje OT de ZionSiphon

El informe de seguridad de hoy sigue tres señales concretas: la corrección SSO de Webex de Cisco que todavía exige acción del cliente, el botnet PowMix de Talos contra trabajadores checos con un C2 sigiloso y la lógica de sabotaje OT de ZionSiphon sobre controles de cloro y presión en el sector del agua.

---

---

1. Cisco corrigió Webex, pero los clientes todavía tienen trabajo

Cisco corrigió CVE-2026-20184 en Webex Services, un fallo de validación de certificados en la integración SSO con Control Hub que podría permitir que un atacante no autenticado suplante usuarios. La corrección del servicio no basta: las organizaciones que usan SSO también deben cargar un nuevo certificado SAML para su proveedor de identidad para evitar interrupciones y cerrar de verdad la brecha.

• Identifica todos los tenants de Webex con SSO y confirma que el nuevo certificado ya esté desplegado.
• Trata los metadatos del IdP y la rotación de certificados como trabajo de seguridad, no solo higiene administrativa.
• Revisa si cuentas de colaboración de alta confianza muestran accesos o patrones de token inusuales.

---

2. PowMix demuestra cómo el phishing se mezcla cada vez mejor con el tráfico normal

Cisco Talos reveló PowMix, un botnet antes no documentado, activo al menos desde diciembre de 2025 y dirigido a la fuerza laboral en la República Checa. El malware usa intervalos aleatorios de beaconing, oculta latidos cifrados dentro de rutas URL que parecen tráfico REST API y puede actualizar su dominio C2 de forma dinámica. Talos también observó solapamientos tácticos con la actividad previa de ZipLine y con infraestructura de C2 apoyada en Heroku.

• Advierte a RR. HH., legal, reclutamiento, finanzas y logística que los cebos con tema de cumplimiento forman parte de la campaña.
• Busca persistencia por tareas programadas, cargadores PowerShell y patrones de salida ligados a Heroku.
• No dependas solo de detecciones por intervalos fijos de beaconing. PowMix fue diseñado para romper ese atajo.

---

3. ZionSiphon es un aviso serio para operadores de agua y desalación

Los investigadores dicen que la muestra actual de ZionSiphon está rota por un error de validación, pero la intención es obvia y fea. El malware busca rangos IP israelíes y software de tratamiento de agua, y luego intenta alterar dosis de cloro, estado de válvulas, estado de bombas y presión de ósmosis inversa. También incluye propagación por USB, algo relevante en entornos industriales que todavía dependen de medios extraíbles.

• Revisa ya los controles sobre medios extraíbles y la monitorización de estaciones de ingeniería OT, antes de que aparezca una variante funcional.
• Valida que cambios en cloro, presión y bombas generen alertas visibles y resistentes a manipulación.
• Asume que el malware ICS en fase temprana sigue siendo importante si la lógica de sabotaje es clara.

---

Qué deberían hacer hoy los equipos de seguridad

1. Completa la rotación del certificado Cisco Webex SSO y verifícala, no solo el estado del parche del proveedor.
2. Alinea a los equipos de correo, identidad y endpoint sobre cebos tipo PowMix y ejecución con PowerShell.
3. Para operadores OT, prueba si cambios no autorizados en cloro o presión se detectarían con suficiente rapidez.
4. Entrega a liderazgo una actualización simple que una confianza en colaboración, phishing a empleados y sabotaje industrial en un solo riesgo.

---

Bottom line: La lección más fuerte de hoy es simple: a los atacantes no les importa si la debilidad vive en identidad, flujo de trabajo del usuario o control de procesos físicos. Si transporta confianza, es un objetivo.