Octopus Deploy ha revelado una vulnerabilidad de alta gravedad en Octopus Server (CVE-2026-101169) que permite a usuarios autenticados ejecutar código arbitrario en servidores afectados mediante una deserialización de JSON insegura. El fallo afecta a despliegues tanto en Linux como en Microsoft Windows. La empresa publicó la advertencia de seguridad el 29 de septiembre de 2026 e instó a sus clientes a actualizar el sistema.

Se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad CVE-2026-20251, una falla de ejecución remota de código (RCE) de severidad alta que afecta a Splunk Secure Gateway (SSG). Con una puntuación CVSS de 8.8, este fallo permite que un atacante autenticado con bajos privilegios ejecute código arbitrario en el servidor anfitrión de Splunk sin necesidad de contar con roles de administrador.

La vulnerabilidad CVE-2026-34486 en Apache Tomcat Tribes surgió por un refactoring que cambió un diseño fail-closed a uno fail-open, permitiendo que mensajes no autenticados llegasen a la capa de deserialización al mover una línea de código fuera de un bloque try-catch.

Se ha identificado una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en un sistema de procesamiento de trabajos en segundo plano de Ruby. La falla proviene de una deserialización insegura de JSON, que permite que datos no confiables se transformen en objetos ejecutables. Este problema resalta los peligros ocultos de la deserialización en entornos Ruby, donde una sola línea de código puede llevar a un compromiso

Una advertencia urgente sobre una vulnerabilidad crítica de ejecución remota de código (RCE) en SolarWinds Web Help Desk. La vulnerabilidad, identificada como CVE-2025-40551, explota la deserialización insegura de datos no confiables y podría permitir a los atacantes ejecutar comandos arbitrarios en sistemas afectados sin necesidad de autenticación. CVE-2025-40551 es una vulnerabilidad de deserialización clasificada bajo CWE-502 (Deserialización de Datos No Confiables). 

Investigadores de Horizon3.ai descubrieron múltiples vulnerabilidades críticas en SolarWinds Web Help Desk (WHD), que culminan en una ejecución remota de código (RCE) sin autenticación a través de la deserialización de Java en CVE-2025-40551. Estas fallas encadenan credenciales estáticas, omisiones de seguridad y debilidades de deserialización, afectando a versiones anteriores a la 2026.1. 

Una vulnerabilidad crítica en la biblioteca central de LangChain (CVE-2025-68664) permite a los atacantes extraer variables de entorno sensibles y potencialmente ejecutar código a través de fallos de deserialización. Descubierta por un investigador de Cyata y parcheada justo antes de Navidad de 2025, el problema afecta a uno de los frameworks de IA más populares, con cientos de millones de descargas.