«Octubre negro»: qué ha pasado de verdad con los ciberataques con IA y qué tiene que ver la bolsa

El 21 de octubre de 2026, a las 13:40 UTC, el equipo de seguridad de PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos fallos críticos en el lenguaje que hay detrás de WordPress, PrestaShop, Drupal o Moodle, según la declaración conjunta de ENISA, CERT-EU y Europol. Ese mismo día, la librería de IA LiteLLM distribuyó durante unas dos horas una versión que robaba contraseñas y la plataforma Railway avisó de un acceso a las claves de sus clientes. Una semana antes, la bolsa de Seúl había caído un 7,57 % en una sesión.

Con todo eso junto, algunos analistas citados por EFE bautizaron el mes como «octubre negro». La etiqueta no es oficial: como recuerda La Ecuación Digital, no es el nombre de una campaña atribuida a un grupo ni una declaración de CISA, CERT-EU o el NCSC británico. Agrupa sucesos de origen muy distinto.

Dos «octubres negros» que conviene no mezclar

Bajo la misma expresión circulan dos historias:

• El octubre negro de la ciberseguridad: una concentración de vulnerabilidades graves, ataques a la cadena de suministro de software y campañas en las que agentes de IA hicieron buena parte del trabajo técnico.
• El octubre negro bursátil: caídas fuertes en índices y en empresas ligadas a la IA, por dudas sobre cuánto cuesta la infraestructura, cómo se financia con deuda y cuándo dará caja.

Coinciden en el calendario y en el protagonista, la IA, pero sus causas documentadas son diferentes.

Lo que está documentado en ciberseguridad

PHP2Shell: dos fallos críticos en el corazón de la web

Los fallos se llaman CVE-2026-109618 y CVE-2026-109619, el sector los ha apodado PHP2Shell y tienen una puntuación de 9,2 sobre 10. Permiten ejecutar código en un servidor sin identificarse. INCIBE-CERT publicó el aviso INCIBE-2026-762 con la máxima importancia, recomienda actualizar de inmediato y, si no se puede, aislar el sistema de las redes públicas. El riesgo es mayor en servidores con Apache y mod_php.

Dos matices que se han perdido en muchos titulares:

• No todo lo descubrió «la IA» sola ni de golpe. Según IBM, los investigadores de Wiz usaron Gemini 4 Argon, GPT-5.6 Sol y su propio agente Atlas para encadenar los fallos y construir un exploit que funcionara. TechCrunch añade que los errores se conocían desde 2024, pero no se consideraban explotables. La IA bajó la barrera para convertirlos en un ataque.
• El pánico fue mayor que el daño comprobado. Hubo apagones preventivos: Wikimedia, el Gobierno finlandés o la agencia de ciberseguridad de Países Bajos retiraron webs, según la BBC. En España, El País recogió que el Ministerio de Transformación Digital no tenía constancia de problemas en webs de ministerios ni de agencias estatales. Una semana después, Axios resumía que millones de intentos habían dado «pocos ataques con éxito» porque explotar estos fallos resultó muy difícil (traducción de IAescola).

El riesgo no ha pasado. El Centro Canadiense de Ciberseguridad informa de que CISA añadió los dos fallos a su catálogo de vulnerabilidades explotadas el 26 de octubre, y el 23 de octubre PHP publicó un tercer fallo (CVE-2026-115560) que las actualizaciones del 21 no corrigen, aunque solo afecta a configuraciones poco habituales.

LiteLLM: la librería de IA que robaba credenciales

LiteLLM es una librería de Python muy usada para conectar aplicaciones con modelos de varios proveedores; Datadog le atribuye unos 23 millones de descargas semanales. El 21 de octubre alguien comprometió su sistema de publicación y subió la versión 1.107.0, que llevaba un programa para robar credenciales y un cargador de código remoto. El propio proyecto detalla la ventana: estuvo en PyPI de 11:39 a 13:23 UTC, y en las imágenes Docker con las etiquetas `v1.107.0`, `latest`, `main-latest` y `main-stable` de 11:46 a 14:20 UTC.

Microsoft explica que el código se ejecutaba al arrancar Python, aunque la aplicación ni siquiera importara LiteLLM. Recogía claves de la nube, contraseñas del navegador, claves SSH y credenciales de herramientas de IA. La versión segura recomendada es la 1.106.2, pero actualizar no basta: hay que limpiar el entorno sin ejecutar Python y rotar todas las credenciales a las que tenía acceso esa máquina.

Railway: el objetivo eran las claves de IA

La plataforma de alojamiento Railway comunicó el 21 de octubre que un tercero pudo acceder a variables de entorno de sus clientes, que suelen contener claves de API y contraseñas de bases de datos, y en algunos casos descifrarlas. La empresa lo atribuye a «una serie de ataques dirigidos a empresas de plataforma con el objetivo de comprometer a proveedores de inferencia de IA» (traducción de IAescola). Pidió a todos sus clientes rotar sus secretos. No ha publicado cuántas cuentas se vieron afectadas.

Cairn: un atacante, muchos agentes y más de cien webs

El 19 de octubre, Reuters publicó el trabajo de Snorre Fagerland, de la empresa NorForge. Encontró unas dos docenas de instalaciones de Cairn, una plataforma de agentes de código abierto, que sus operadores habían dejado expuestas en internet. Así vio en directo cómo un atacante de habla china lanzaba agentes contra más de 1.200 tiendas online de Estados Unidos, Canadá, Australia y Japón, con instrucciones de menos de cien caracteres. Según su estimación, entró en webs de más de cien empresas, como Deere o Cummins, con unos 5.000 dólares en tokens.

Las empresas citadas describieron daños limitados y Reuters no pudo determinar cuántos datos se robaron. Lo relevante es el método: una sola persona dirigiendo durante semanas un trabajo que antes pedía un equipo.

CyberCartel y la banca latinoamericana

El 21 de octubre, The Information publicó una investigación de la empresa Straiker sobre CyberCartel, un grupo que habría automatizado ataques contra más de 400 entidades financieras de América Latina con una arquitectura de agentes basada en Claude, Grok y Kimi. Cuando un modelo rechazaba una tarea, el sistema la pasaba a otro. La Vanguardia y SBS recogen la historia, y según esta última, Anthropic investigó y bloqueó el uso de Claude por parte del grupo. No hemos podido contrastar la cifra de 400 entidades con otra fuente independiente.

Nota de transparencia: IAescola usa Claude, de Anthropic, en sus actividades. Lo decimos porque Claude aparece en este caso y en el de Cairn.

eMudhra: un fallo serio sin IA de por medio

No todo lo que se ha metido en el saco del octubre negro tiene que ver con la IA. La autoridad de certificación india eMudhra reconoció que ocho de sus certificados intermedios se generaron con claves tan débiles que cualquiera podía recuperarlas, por un error en un script de abril de 2025. Podrían haberse usado para suplantar webs, pero los navegadores los bloquearon en pocos días y, según BleepingComputer, no hay pruebas de que nadie los usara.

Agentes personales en cuentas bancarias: un riesgo, no un ataque

CBS News, a partir de Axios, contó que grandes bancos de Estados Unidos detectan agentes de IA de terceros en cuentas de clientes. Casi siempre son clientes que dieron usuario y contraseña a un asistente; en algunos casos el agente hizo cosas no pedidas, como llamar al banco para quejarse. No son ciberataques, pero la lección es clara: un agente con tus credenciales actúa en tu nombre, y un abogado estadounidense consultado por CBS advierte de que, si se pasa de lo pedido, el emisor de la tarjeta puede argumentar que tú lo autorizaste. En España dependerá de las condiciones de cada banco y de la normativa de pagos, pero el riesgo de discusión es el mismo.

La tendencia de fondo

Lo que sí es medible es el ritmo. Google Threat Intelligence contó 5.045 vulnerabilidades publicadas en enero de 2026 y 10.740 en agosto, y la media de vulnerabilidades explotadas pasó de 10,5 al mes en 2025 a 18 al mes entre enero y agosto de 2026. Pero el recuento bruto engaña: según SecurityWeek, solo el núcleo de Linux sumó unas 5.000 sin ninguna explotación observada. Más fallos publicados no equivale a más ataques con éxito.

Lo que se dice y lo que está documentado

El otro octubre negro: la bolsa

El 15 de octubre, seis días antes de PHP2Shell, el índice surcoreano KOSPI cayó un 7,57 % y activó la suspensión temporal de la negociación. Yonhap lo atribuye a dudas sobre la sostenibilidad de la inversión en IA y a un dato de inflación en Estados Unidos peor de lo esperado. En paralelo, el coste de asegurarse contra un impago de CoreWeave, empresa que ha comprado chips de Nvidia con deuda, superó los 1.000 puntos básicos, según Reuters. EFE cifra en un 17,2 % su caída en la semana que acabó el 23 de octubre.

El 22 de octubre, el Ibex 35 bajó un 2,12 %, hasta 18.913,5 puntos. EFE recoge la lectura de un analista de XTB: tres golpes a la vez, el petróleo (Brent por encima de 111 dólares), las dudas sobre la rentabilidad de la IA y la deuda francesa. Ese día Meta cayó alrededor de un 7 % tras unos resultados sólidos, según Bolsamanía, porque el mercado se fijó en el gasto previsto en IA y en cómo financiarlo.

CNN destacó un dato del mismo 22 de octubre: el S&P 500 ponderado por capitalización cayó un 1,2 % mientras la versión que pondera igual a todas las empresas subió un 0,5 %. Según Capital Economics, una divergencia así solo se había visto dos veces desde 1995, en abril de 1999 y marzo de 2000. Indica que los inversores salieron de las grandes tecnológicas, no del mercado entero. Que recuerde a la burbuja puntocom no demuestra que estemos en una.

¿Qué relación hay entre los dos?

Menos de la que sugiere la etiqueta compartida:

• El calendario no encaja. La caída del KOSPI y la crisis de crédito de CoreWeave son anteriores a PHP2Shell, LiteLLM y Railway.
• Las causas que dan los analistas son financieras. Inflación, tipos, petróleo, deuda francesa, gasto en centros de datos y deuda de empresas como CoreWeave. La crónica de EFE del 23 de octubre cita los incidentes como un factor más de desconfianza hacia las tecnológicas, pero ninguna fuente que hayamos encontrado mide ese efecto.
• Hay un punto de contacto real, aunque indirecto. Varios de los ataques (LiteLLM, Railway) iban a por las claves que conectan las empresas con los modelos de IA. Si la infraestructura de IA es también una superficie de ataque, su coste de protección sube. Esto es una interpretación nuestra, no un dato.

Lo que no se está contando

1. Muchos incidentes son de los de siempre. Credenciales expuestas, software de terceros comprometido, claves mal generadas y sistemas sin actualizar. La IA acelera y abarata, pero las puertas son conocidas.
2. Las herramientas de IA son ahora un objetivo en sí mismas. LiteLLM, Railway y, según Axios, el agente de programación OpenCode: el botín eran claves de proveedores de IA y de la nube.
3. La defensa también funcionó. PHP2Shell se publicó con parche coordinado, Cloudflare desplegó reglas de protección y Chrome y Firefox bloquearon los certificados de eMudhra el mismo día del aviso.
4. Dar tus credenciales a un agente puede tener consecuencias legales. Lo que haga en tu nombre puede considerarse autorizado por ti, y a menudo incumple las condiciones del servicio.
5. No hay datos sobre pymes españolas afectadas. Check Point dijo a El País que el 12 % de administraciones y empresas españolas recibían intentos de ataque, pero nadie ha publicado cuántas fueron comprometidas.

Si quieres ver cómo se usa la IA en los fraudes más cotidianos, tenemos un repaso de estafas con IA documentadas en 2026.

Qué significa para una pyme o un profesional en España

1. Pregunta hoy por tu web y tus dependencias. Pide por escrito a quien te gestiona la web o el hosting qué versión de PHP usa y si ya tiene la 8.2.35, 8.3.36, 8.4.27 u 8.5.12 o un paquete equivalente. Si tienes software propio en Python, busca `litellm` en los ficheros de dependencias, cachés e imágenes Docker. Si en algún momento apareció la 1.107.0, trata esa máquina como comprometida y sigue la guía oficial de LiteLLM: reinstalar no basta.
2. Rota credenciales y activa la verificación en dos pasos. Si usas Railway o has tenido la versión afectada de LiteLLM, cambia las claves de API de los proveedores de IA, de la nube y de las bases de datos, y revisa su consumo de los últimos días: un gasto inesperado puede ser la primera pista. Activa la verificación en dos pasos con aplicación o llave física, no por SMS, en correo, banca, hosting y herramientas de IA.
3. Revisa qué agentes tienen acceso a tus cuentas. Haz una lista de asistentes, extensiones y automatizaciones conectados al correo, al banco o al CRM, quita lo que no uses y no des nunca el usuario y la contraseña del banco a un agente. Si un servicio necesita leer datos, que sea con permisos de solo lectura.
4. Prueba a restaurar una copia y habla con tu equipo. Comprueba que puedes recuperar de verdad la web y los datos clave, decide qué servicio va primero si algo falla y quién da la orden de desconectar una web. Una sesión breve con el equipo sobre lo que ha pasado este mes sirve más que cualquier alarma. Si sospechas de un incidente, INCIBE atiende en el 017; si hay datos personales afectados, el RGPD da en general 72 horas para notificarlo a la AEPD.

En IAescola formamos equipos para usar la IA con criterio y con seguridad, desde la gestión de credenciales hasta el uso responsable de agentes. Si quieres preparar a tu equipo, hablemos.

Fuentes

Consultadas el 28 de octubre de 2026.

• ENISA, CERT-EU y Europol EC3: Joint statement on critical PHP vulnerabilities (21-10-2026).
• INCIBE-CERT: Múltiples vulnerabilidades en PHP, aviso INCIBE-2026-762 (21-10-2026, actualizado 26-10-2026).
• Centro Canadiense de Ciberseguridad: AL26-026, vulnerabilidades críticas en PHP (actualizado 27-10-2026).
• NCSC-NL: Repositorio php2shell.
• LiteLLM: Incidente de seguridad del 21 de octubre de 2026.
• Microsoft Security: Inside the LiteLLM 1.107.0 supply chain compromise (23-10-2026).
• Datadog Security Labs: LiteLLM supply chain compromise.
• Railway: Security Disclosure, Wednesday October 21st.
• eMudhra: Statement on recent certificate security incident.
• Google Threat Intelligence Group: Vulnerability Discovery and Exploitation Trends in the AI Era (30-09-2026).
• Reuters (vía U.S. News): How one hacker used AI agents to break into scores of sites (19-10-2026).
• CBS News: AI agents are roaming around consumers' bank accounts (23-10-2026).
• Axios: Inside «Black October»: AI's cyber scare delivers a Y2K lesson (28-10-2026).
• BBC: What is PHP and why did it spark a global cyber-security scramble? (22-10-2026).
• El País: Millones de ciberataques en pocas horas (22-10-2026).
• La Vanguardia: Octubre negro (28-10-2026).
• EFE: La bolsa española baja el 2,12 % (22-10-2026).
• Yonhap: Seoul shares crash over 7 pct (15-10-2026).
• CNN Business: The markets are starting to act seriously weird (26-10-2026).
• La Ecuación Digital: Octubre negro de la ciberseguridad (23-10-2026).