CISA ha incluido la vulnerabilidad CVE-2026-19868 de SonicWall SonicOS SSLVPN en su catálogo de vulnerabilidades explotadas. Esta falla permite que usuarios con credenciales válidas evadan los controles de autenticación SAML y, potencialmente, el sistema de autenticación de múltiples factores (MFA). El plazo establecido para corregir este problema es el 20 de noviembre de 2026.

Barracuda ha revelado dos vulnerabilidades de seguridad que, al ser explotadas conjuntamente, podrían permitir a los atacantes omitir los controles de autorización y obtener acceso de root en los dispositivos afectados. Estos fallos impactan en diversos productos de seguridad de la marca, aunque requieren que el atacante tenga acceso a la interfaz administrativa del dispositivo, lo que resalta la importancia de no exponer los sistemas de gestión a internet.

Microsoft ha corregido una vulnerabilidad de severidad alta (CVE-2026-80097) en Authenticator para Android. Este fallo permitía que aplicaciones maliciosas, incluso sin permisos declarados, pudieran robar tokens de acceso de cuentas de trabajo debido a un error de autenticación en su componente intermediario. El problema afectaba a dispositivos Android que tuvieran la aplicación instalada y una cuenta de trabajo iniciada.

Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

ICANN prueba un sistema para que las fuerzas del orden soliciten datos privados de WHOIS en casos de amenazas graves. Este mecanismo busca equilibrar la privacidad del usuario con la seguridad pública mediante procesos técnicos y legales.

La actualización de Windows de octubre de 2026 bloquea el antiguo protocolo NTLMv1 por seguridad. Esto podría causar fallos de conexión en redes y VPN para empresas que aún no hayan migrado a tecnologías modernas.

Microsoft retirará el inicio de sesión mediante SMS como primer factor para los inquilinos de Microsoft Entra ID a nivel mundial. Las organizaciones deberán migrar a los usuarios afectados antes del 1 de febrero de 2027. Esta medida de seguridad impedirá que los empleados utilicen un número de teléfono registrado y un código SMS como método de acceso principal, lo que podría afectar el funcionamiento de Microsoft 365 y otros servicios protegidos por Entra si los administradores no realizan el cambio.