Telecomunicaciones y proveedores de conectividad (ISP) — Octubre 2026

Módulos mensuales de referencia

Estos módulos se completan automáticamente con los hechos verificados con fecha dentro del período. Cada uno declara su base y su criterio de conteo, de modo que las cifras reconcilien entre módulos. Son la lectura recurrente mes a mes; el análisis posterior desarrolla los casos sin repetir esta síntesis.

Ventana de los indicadores: 49 hechos con fecha en octubre 2026. Los hechos de meses anteriores se usan solo como marco comparativo en el análisis, nunca como volumen de este período.

Resumen ejecutivo del mes

Octubre de 2026 dejó una señal más operativa que técnica para telecomunicaciones e ISP en América Latina: 49 hechos verificados, 17 incidentes sin tipificar, un caso de ransomware o extorsión como eje primario y 3 CVEs críticos mencionados. La foto del mes estuvo marcada por interrupciones, degradaciones de servicio y respuestas regulatorias, con una lectura de riesgo media por volumen, dispersión geográfica y una combinación de fallas de conectividad, exposición de servicios y presión sobre infraestructuras públicas y privadas.

La mayor parte de los hechos no confirmó causa de ciberseguridad. Ese dato es central. Hubo cortes y degradaciones en Argentina, Bolivia, Colombia y Uruguay que quedaron en el terreno de la observación técnica o del reporte de usuarios, sin atribución firme a ataques. También apareció una sola referencia de ransomware con impacto no verificado en MCM Telecom y una mención adicional sobre un posible compromiso de VTR, ambas sin evidencia pública suficiente para elevarlas a incidente confirmado. En paralelo, la región registró actividad regulatoria y de mitigación más clara que la de meses previos.

El episodio más consistente desde el punto de vista defensivo fue la familia PHP, con dos vulnerabilidades críticas de ejecución remota de código, CVE-2026-109618 y CVE-2026-109619, que activaron alertas de CISA, CERT-EU, CSIRTs nacionales y proveedores de seguridad. Para el vertical telecom, el interés no está solo en el software en sí, sino en la cantidad de servicios expuestos a internet que dependen de stacks web y portales administrativos que suelen convivir con la operación de redes, atención al cliente y administración de infraestructura.

Chile concentró otro bloque relevante, esta vez por cumplimiento y control del ecosistema de acceso. Subtel ordenó el bloqueo de casi 2.000 sitios vinculados a TV pirata e instruyó a varios ISP a ejecutar las restricciones. No fue un caso de ciberataque, pero sí un hecho de gobernanza técnica con impacto directo sobre redes de conectividad, DNS, filtrado y coordinación con proveedores. En el mismo país apareció además el reporte de un ataque de ransomware que afectó plataformas IaaS del Ministerio del Interior y Seguridad Pública, lo que amplía el perímetro de riesgo más allá de la conectividad pura.

Brasil cerró el mes con dos señales distintas. Por un lado, la telemetría de NETSCOUT y los reportes de prensa especializada ratificaron que las telecomunicaciones inalámbricas siguen entre los blancos más castigados por DDoS. Por otro, el aviso del CTIR Gov sobre la vulnerabilidad crítica en Cisco Catalyst SD-WAN Manager reforzó el problema de superficie expuesta en equipamiento de red. El mes no mostró un patrón de phishing o fraude documentado en este eje, pero sí una continuidad de presión sobre infraestructura, gestión de servicios y aplicaciones públicas expuestas.

Panorama regional del mes

La señal regional de octubre fue de riesgo medio, con predominio de interrupciones y degradaciones verificadas, más que de intrusiones confirmadas. El volumen es elevado para un solo mes dentro del vertical, y la dispersión geográfica, que alcanza al menos seis países o subsegmentos documentados, obliga a leer el período como una combinación de fallas operativas, exposición técnica y medidas regulatorias. No hubo una ola clara de fraude o phishing documentada en el material, pero sí una base persistente de vulnerabilidades críticas y disponibilidad inestable.

La lectura de riesgo no sube a alta porque gran parte de los hechos carece de atribución directa a ciberataque. Sin embargo, la ausencia de confirmación no equivale a ausencia de amenaza. En telecomunicaciones, los cortes, las degradaciones y los problemas de visibilidad BGP pueden ser síntomas de incidentes técnicos, errores operativos o actividad maliciosa, y el material de octubre deja varios casos en ese umbral ambiguo. Esa ambigüedad, en sí misma, es una señal para equipos de red, CSIRT y reguladores.

El patrón geográfico fue desigual. Chile aportó un bloque regulatorio y un caso de ransomware ligado al sector público, Bolivia mostró una mezcla de degradación BGP y una interrupción nacional de servicios móviles en ENTEL, Argentina sumó dos interrupciones de conectividad reportadas por Voidly y un incidente de disponibilidad alrededor de EdgeUno, Colombia registró una caída significativa de conectividad, Uruguay apareció en la exposición masiva de PHP y en un episodio de respuesta preventiva, y Brasil concentró la presión de DDoS y la alerta de software de red. México, aunque no entra por conectividad pura en todos los hechos, sí sumó señales sobre MCM Telecom, Telmex y fallas de servicio en Telcel y otras redes.

La combinación de incidentes sin tipificar y CVEs críticas sugiere una superficie mixta, donde la continuidad del servicio depende tanto del estado del backbone y la interconexión como del parcheo de software expuesto y de la disciplina de respuesta ante incidentes. El mes también mostró una mayor intervención de autoridades, ya sea para fiscalizar, ordenar bloqueos o exigir mitigaciones. Eso deja una conclusión operativa clara: los ISP y telcos no están lidiando solo con disponibilidad, sino con cumplimiento, reputación y dependencia de terceros.

Indicadores del período

La tabla anterior reproduce los indicadores provistos y su base exacta. No hay telemetría agregada dentro de ese conteo, y los incidentes sin tipificar incluyen tanto interrupciones como brechas cuyo origen no quedó demostrado en el material analizado. La comparación con septiembre sugiere que octubre fue más intenso en disponibilidad y menos intenso en ransomware confirmado.

Incidentes relevantes

ENTEL Bolivia y la interrupción nacional del 21 de octubre

ENTEL quedó en el centro del hecho operativo más claro del mes en Bolivia. La ATT informó que el 21 de octubre detectó una interrupción o degradación de servicios y abrió fiscalización para verificar causas y continuidad. La propia empresa habló de una degradación temporal en voz móvil e internet móvil, con restablecimiento posterior, pero sin atribuir el origen del evento.

La relevancia del caso no está solo en el alcance, sino en la secuencia institucional. Cuando un operador comunica una falla temporal y el regulador activa fiscalización el mismo día, el incidente deja de ser una mera anomalía técnica y pasa a ser un asunto de supervisión de servicio público. Eso tensiona la relación entre continuidad, transparencia y pruebas de causa. También obliga a separar una degradación temporal de una interrupción total, porque la evidencia disponible describe degradación y restablecimiento, no una caída prolongada confirmada.

En el mismo país, otro registro fechó una degradación de visibilidad BGP el 16 de octubre. Telecom Observer habló de aproximadamente 35 minutos de afectación, con la aclaración de que no hubo indicios de una interrupción generalizada del plano de datos. Ese matiz importa. En redes de conectividad, la visibilidad BGP afectada no equivale automáticamente a caída de servicio, pero sí puede anticipar problemas de enrutamiento, convergencia o segmentación de anuncios. La coexistencia de ambos hechos en un mismo mes sugiere una superficie delicada de estabilidad operacional.

Chile: bloqueo masivo de TV pirata y un ransomware sobre IaaS estatal

Chile ofreció dos planos distintos de señal. El primero fue regulatorio. Subtel instruyó a GTD, DirecTV, Entel, WOM, Mundo, ClaroVTR, Netline y Movistar bloquear URL asociadas a servicios ilegales de IPTV y streaming, con un plazo de cinco días. La autoridad vinculó la medida con seguridad digital y protección de datos, y la cobertura posterior indicó que hasta octubre ya se habían bloqueado 1.954 URL, de las cuales 765 correspondían a octubre.

Ese caso no describe un incidente de ciberseguridad clásico, pero sí una intervención técnica relevante para ISP y telcos. El bloqueo de dominios, IP y URLs exige coordinación operativa entre regulador y proveedores, además de trazabilidad sobre lo que se restringe y cómo se ejecuta. En términos de gestión de red, el episodio muestra que los ISP son actores de cumplimiento, no solo de transporte.

El segundo plano chileno sí toca el perímetro de seguridad de forma más directa. CSIRT Telconet informó que el Ministerio del Interior y Seguridad Pública fue alertado por GTD sobre un ataque de ransomware que impactó sus plataformas IaaS. La fuente no describe el alcance del cifrado, si hubo exfiltración ni qué sistemas quedaron afectados. Por eso el hecho se mantiene en la categoría de ransomware como eje primario, pero la tipificación de impacto sigue incompleta.

La coexistencia de ambos eventos en Chile es útil para leer el mes: por un lado, el país empuja medidas de control sobre tráfico y contenido ilegal; por otro, expone infraestructura estatal alojada sobre servicios que dependen de proveedores de conectividad o de nube. Eso ubica a los ISP y a los operadores de infraestructura en una posición de intermediación crítica, donde cumplimiento, hosting y seguridad ya no se pueden separar.

Argentina: caídas de conectividad y dudas sobre EdgeUno

Argentina aportó tres piezas que, juntas, describen un mes inestable pero no concluyente desde el punto de vista forense. Voidly registró dos interrupciones de conectividad, una el 21 de octubre con alerta crítica para Santa Cruz y otra el 25 de octubre con una ventana observada entre las 11:05 y las 16:20 UTC, con una alerta crítica asociada a Río Negro. En ambos casos, la fuente no confirmó causa ni proveedor afectado.

A eso se suma el reporte de NextDNS Community sobre un punto de presencia de EdgeUno en Buenos Aires que habría quedado inaccesible durante unos 33 segundos cada 15 minutos desde varias redes argentinas. La publicación sugirió una posible causa periódica, pero no confirmó un ataque ni una falla del ISP. Este tipo de observación es valiosa para detección temprana, pero no alcanza para tipificar un incidente de ciberseguridad. El material muestra un patrón de accesibilidad degradada, no una intrusión demostrada.

El dato sobre Personal, marca móvil de Telecom Argentina, agrega ruido pero no certeza. Un actor de foro clandestino dijo haber publicado unos 129.000 registros atribuidos a clientes, con datos personales y técnicos, aunque la publicación aclaró que el reclamo no había sido verificado de forma independiente y que no confirmaba una intrusión. En términos editoriales, esto no se trata como brecha confirmada. Sí funciona como señal de inteligencia que, si se llegara a verificar, podría cambiar la lectura del mes para el operador.

Colombia y la exposición de PHP

Colombia aparece en octubre por la vía de una alerta técnica, no de una caída confirmada de operador. IODA registró una caída significativa de conectividad entre las 00:30 y las 01:10 UTC del 22 de octubre, con alerta crítica para Casanare, pero sin atribución a ciberataque ni identificación de ISP responsable. Ese hecho se mantiene como incidente de conectividad sin tipificar.

La otra señal es la más relevante para el ecosistema de ISP y telecom en la región. ColCERT emitió la alerta AL-20261021-123 sobre dos vulnerabilidades críticas de PHP que permitían ejecución remota de código sin autenticación. La cobertura explicó que había 8.699 servicios PHP expuestos a internet en Colombia, de los cuales 7.659 estaban en redes de proveedores de internet y telecomunicaciones, aunque sin confirmar pertenencia operativa ni compromisos observados. El dato no prueba una intrusión, pero sí una superficie expuesta importante dentro del vertical.

La implicancia para ISP y telcos es clara: la exposición de aplicaciones en PHP no suele quedarse en el área de desarrollo. Puede alcanzar portales de clientes, paneles administrativos, sistemas de autogestión, landing pages y herramientas internas de proveedores o integradores. Cuando la alerta llega de un CSIRT y el inventario muestra miles de servicios expuestos, el problema deja de ser un parche aislado y pasa a ser una cuestión de priorización de activos críticos.

Uruguay: respuesta preventiva frente a PHP

Uruguay atravesó el mes con un perfil preventivo. CERTuy publicó una alerta sobre CVE-2026-109618 y CVE-2026-109619 y eso motivó medidas preventivas, incluida la desconexión temporal de portales estatales. La fuente aclara que no se confirmó explotación en Uruguay. El hecho no es una brecha, pero sí una respuesta operativa concreta ante riesgo potencial.

El valor de este caso está en la reacción. En vez de esperar una confirmación de explotación, el país tomó medidas de contención sobre servicios públicos. A la vez, un relevamiento citado por El Observador habló de unos 1.500 servidores aún vulnerables en Uruguay, aunque sin ataques confirmados. Esa combinación de alerta, desconexión temporal y exposición remanente deja un mensaje incómodo para cualquier vertical con infraestructura web extensa: el problema no es solo parchear, sino saber qué se expone y con qué criticidad.

IPinfo agregó otra señal que no debe confundirse con un incidente de ciberseguridad, pero sí con un comportamiento de red inusual. Observó que casi todas las direcciones de ANTEL en el sur y este dejaron de responder a sus verificaciones durante unas dos horas y media, aunque la red siguió anunciando rutas al resto de Internet. También registró una breve interrupción de un ISP regional en Brasil. Otra vez, el material no permite atribuir causa, pero sí confirma inestabilidad observable.

Brasil: DDoS, SD-WAN y SMS degradados

Brasil combinó volumen, exposición y presión sobre servicios de mensajería. TELETIME y TI INSIDE, a partir de datos de NETSCOUT, reportaron que las telecomunicaciones inalámbricas concentraron 141.400 ataques DDoS en el primer semestre de 2026, mientras que las operadoras cableadas registraron 27.967. Aunque esos números pertenecen al semestre y no al mes como tal, el material de octubre los usa como señal de tendencia para el vertical brasileño.

La relevancia editorial del dato está en el tipo de blanco. Las redes inalámbricas aparecen como el segmento con más volumen de ataques DDoS, lo que refuerza una hipótesis conocida, pero ahora apoyada en material del período: la capa de conectividad móvil y sus servicios asociados siguen siendo un blanco atractivo para saturación y disrupción. No es evidencia de un ataque concreto en octubre, sino contexto operativo que ayuda a interpretar otros hechos del mes.

En paralelo, el CTIR Gov publicó una alerta sobre una vulnerabilidad crítica en Cisco Catalyst SD-WAN Manager, identificada como CVE-2026-76504. La falla permite a un atacante remoto no autenticado eludir la autenticación de la API y obtener acceso administrativo. Para operadores y proveedores con SD-WAN desplegado, el asunto no es teórico: se trata de un componente de administración de red que puede estar expuesto o integrado a infraestructura crítica de clientes.

El mismo país sumó una degradación de SMS de Twilio hacia Surf Telecom y otra entre un subconjunto de números hacia múltiples redes brasileñas. En ambos casos la causa no fue divulgada públicamente. No se trata de una brecha de telecom tradicional, pero sí de un ejemplo de dependencia de servicios de mensajería de terceros para la experiencia final del usuario. Cuando un proveedor de CPaaS o mensajería presenta demoras, el impacto se siente sobre los operadores, aunque el origen no esté en su red.

México: infraestructura física, rumores de compromiso y fallas de servicio

México dejó un mapa mezclado. Por un lado, se reportó el robo de mil metros de cable de cobre y fibra óptica y de tarjetas electrónicas en una central telefónica de Telmex en Nopalucan, Tlaxcala. La fuente lo describe como robo de infraestructura, no como ciberataque. Aun así, para un ISP o telco, el efecto potencial sobre continuidad, mantenimiento y reposición es real. La frontera entre seguridad física y disponibilidad técnica quedó expuesta con claridad.

En paralelo, El Fondo informó fallas de navegación y llamadas en Telcel, además de problemas en redes de AT&T y Unefon durante la misma jornada. Las empresas no emitieron postura oficial al momento de la publicación y no se confirmó una causa de ciberseguridad. El incidente queda en el área gris entre interrupción operativa y queja de usuarios. Para la lectura del mes, vale precisamente por eso: muestra lo rápido que una degradación de servicio puede transformarse en ruido reputacional sin que exista todavía un diagnóstico público.

La dimensión de ransomware en México también quedó en estado incierto. Imagen Radio afirmó que Qilin expuso a MCM Telecom en su sitio de filtraciones después de vencer el plazo de negociación, pero no aportó confirmación de la empresa ni evidencia forense independiente. A eso se suman los registros de ransomware.mx y NinjaLabz, que también incluyen a MCM Telecom como reclamación de Qilin sin describir el incidente ni validar el material. En el cuerpo del informe, esto se trata como mención en leak site sin impacto verificado, no como cifrado confirmado.

Las vulnerabilidades PHP y su alcance operativo

Las alertas sobre PHP cruzan varias jurisdicciones y varios tipos de operador. Cisco, CISA, CERT-EU, ENISA, Akamai, AWS, Censys, Bitdefender, el Centro Canadiense de Ciberseguridad y el NCSC de Nueva Zelanda coincidieron en la criticidad de CVE-2026-109618 y CVE-2026-109619. La explotación activa fue mencionada por algunas fuentes, mientras que otras se concentraron en corrección, alcance y versiones afectadas. Lo importante para telecom no es solo el detalle técnico, sino el ecosistema de aplicaciones expuestas que se apoya en PHP.

La combinación de inventarios expuestos en Colombia y de medidas preventivas en Uruguay muestra que la amenaza no quedó encerrada en un país. En entornos de ISP y telco, PHP suele sostener paneles de clientes, backoffices, integraciones con facturación, automatización de provisión y portales de atención. Una RCE no autenticada en esa capa puede convertirse rápido en una puerta de entrada lateral. Por eso la señal de octubre no es una amenaza abstracta, sino una exposición transversal que los operadores deberían leer junto con su mapa de servicios web.