Microsoft ha corregido una vulnerabilidad de severidad alta (CVE-2026-80097) en Authenticator para Android. Este fallo permitía que aplicaciones maliciosas, incluso sin permisos declarados, pudieran robar tokens de acceso de cuentas de trabajo debido a un error de autenticación en su componente intermediario. El problema afectaba a dispositivos Android que tuvieran la aplicación instalada y una cuenta de trabajo iniciada.

Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

ICANN prueba un sistema para que las fuerzas del orden soliciten datos privados de WHOIS en casos de amenazas graves. Este mecanismo busca equilibrar la privacidad del usuario con la seguridad pública mediante procesos técnicos y legales.

La actualización de Windows de octubre de 2026 bloquea el antiguo protocolo NTLMv1 por seguridad. Esto podría causar fallos de conexión en redes y VPN para empresas que aún no hayan migrado a tecnologías modernas.

MITRE lanzó la versión v20 de ATT&CK el 13 de octubre, incorporando nueve técnicas empresariales. Estas describen cómo los atacantes pueden objetivar sistemas de IA, robar contraseñas específicas de aplicaciones para evadir la autenticación de múltiples factores (MFA) y saltarse las verificaciones de CAPTCHA. Además, la actualización amplía la cobertura para dispositivos móviles y sistemas de control industrial (ICS), proporcionando guías de detección para estos nuevos comportamientos.

Se ha publicado una prueba de concepto (PoC) pública para la vulnerabilidad CVE-2026-35616, la cual afecta al servidor de gestión de endpoints Fortinet FortiClient EMS. Este fallo crítico permite omitir la autenticación y autorización, concediendo acceso no autenticado a endpoints de la API protegidos. Fortinet ha confirmado que esta vulnerabilidad ya ha sido explotada en entornos reales.

Fortinet ha revelado una vulnerabilidad crítica de omisión de autenticación en la interfaz gráfica de usuario de FortiSandbox. Este fallo, identificado como CVE-2026-107656 y con una puntuación CVSSv3 de 9.6, permitiría a atacantes remotos acceder a funciones protegidas sin necesidad de credenciales válidas. La vulnerabilidad afecta tanto a los dispositivos físicos como a versiones seleccionadas de FortiSandbox PaaS.

Microsoft insta a las organizaciones a preparar sus sistemas de certificados para la autenticación post-cuántica. Advierte que es necesario realizar pruebas en la infraestructura de clave pública (PKI), los módulos de seguridad de hardware (HSM) y los dispositivos de seguridad antes de su implementación, ya que este cambio afectará a aplicaciones, dispositivos y cadenas de certificados.

Milk Dragon (también conocido como NaiLong) es un kit de phishing activo desde octubre de 2025 que utiliza ofertas minoristas falsas para atraer a los usuarios hacia páginas de pago convincentes, convirtiendo gangas atractivas en intentos de fraude de pago rápido.

Se ha detectado un fallo en un sistema personalizado de cookies de sesión que permitía a atacantes no autenticados suplantar la identidad de empleados y administradores en una plataforma de gestión de patios. Es importante destacar que el problema no radicaba en Microsoft Entra ID, sino en una capa de sesión débil de la aplicación que aceptaba identidades falsificadas tras evadir los controles normales de inicio de sesión.

Cisco ha revelado una vulnerabilidad crítica de omisión de autenticación en Cisco Catalyst SD-WAN Manager que está siendo explotada activamente. El fallo, identificado como CVE-2026-76504, permitiría que un atacante remoto no autenticado obtenga acceso administrativo a los sistemas de gestión afectados. Esta vulnerabilidad ha recibido una puntuación CVSS de 9.8.

Un investigador de seguridad de 16 años, conocido como Faav, descubrió un fallo de autenticación en el servicio interno de análisis Titan de Microsoft. Esta vulnerabilidad permitía el acceso falsificado de administrador y la ejecución de consultas SQL no autorizadas sin necesidad de credenciales, lo que potencialmente exponía unos 17,3 billones de filas de bases de datos. No obstante, el investigador aclaró que el impacto real fue hipotético, basándose principalmente en metadatos y descripciones de tablas.

Amazon implementa el soporte para claves de acceso (Passkeys) en navegadores y su app móvil para mejorar la seguridad y eliminar el uso de contraseñas.

Microsoft y diversas entidades desmantelaron EvilTokens, un servicio de phishing impulsado por IA que comprometió 12,000 bandejas de correo y evadió la autenticación multifactor. La operación resultó en la caída de más de 50 sitios web y el arresto de dos administradores en Londres. Este caso resalta la peligrosidad de la IA para automatizar fraudes, instando a las empresas a reforzar su seguridad y verificación de transacciones.

Microsoft retirará el inicio de sesión mediante SMS como primer factor para los inquilinos de Microsoft Entra ID a nivel mundial. Las organizaciones deberán migrar a los usuarios afectados antes del 1 de febrero de 2027. Esta medida de seguridad impedirá que los empleados utilicen un número de teléfono registrado y un código SMS como método de acceso principal, lo que podría afectar el funcionamiento de Microsoft 365 y otros servicios protegidos por Entra si los administradores no realizan el cambio.

El portal de restablecimiento de contraseñas (SSPR) de Microsoft podría exponer detalles sensibles de cuentas a usuarios no autenticados. Esta vulnerabilidad permite revelar si existe una cuenta de Entra ID y cuáles son sus métodos registrados para restablecer la contraseña, lo que facilitaría que los atacantes perfeccionen campañas de phishing, ingeniería social o ataques de password-spraying contra redes corporativas.

WSO2 ha revelado una vulnerabilidad crítica de omisión de autenticación (CVE-2026-5430) que podría permitir a atacantes remotos tomar el control de cuentas, incluyendo las de administrador, en sus productos de gestión de API. Este fallo tiene una puntuación CVSS de 10.0 y es especialmente peligroso ya que no requiere autenticación ni interacción del usuario para ser explotado.

Cisco ha lanzado actualizaciones urgentes para corregir una vulnerabilidad de severidad máxima (CVE-2026-76460) en Cisco ISE que está siendo explotada activamente. El fallo permite a atacantes remotos evadir la autenticación y obtener acceso no autorizado al sistema a través de una API. Debido a que no existen soluciones temporales, la empresa recomienda encarecidamente actualizar el software a las versiones corregidas de inmediato.

El gobierno británico está implementando passkeys para más de 23 millones de usuarios de GOV.UK One Login, permitiendo el acceso mediante biometría o PIN en lugar de contraseñas. Esta medida busca mejorar la seguridad contra el phishing, agilizar el inicio de sesión y reducir los costos estatales en el envío de mensajes SMS de autenticación. Aunque la opción sigue siendo voluntaria, el sistema ya muestra una adopción creciente y una mayor eficiencia operativa.

Microsoft advierte que grupos de extorsión (como ShinyHunters y Helix) están usando ingeniería social y sitios de phishing para robar cuentas corporativas de Microsoft 365. Los atacantes suplantan al soporte técnico para engañar a los empleados y obtener credenciales o tokens de acceso mediante falsas actualizaciones de passkeys y MFA. Una vez dentro, realizan reconocimientos automatizados para robar datos sensibles de SharePoint, OneDrive y Exchange, evitando detecciones mediante descargas lentas y progresivas.