Google ha solucionado un fallo crítico en Android que permitía bloquear el dispositivo y las llamadas mediante un SMS invisible a través de un parche de seguridad.

Drupal advierte sobre una vulnerabilidad crítica de salto de acceso en el módulo Commerce Core (CVE-2026-118539) que está siendo explotada activamente. Este fallo permite que atacantes no autenticados afecten financieramente a los vendedores, por lo que se insta a los administradores a actualizar inmediatamente a las versiones 3.3.13 o 2.41. El módulo es utilizado por más de 42,000 sitios, incluyendo universidades y empresas Fortune 500.

Atacantes están buscando sistemas vulnerables a una falla crítica recientemente revelada en Oracle E-Business Suite (CVE-2026-101767), que permite tomar el control de los sistemas sin autenticación. Aunque Oracle ya lanzó los parches de seguridad necesarios, se han reportado intentos de explotación activos. Se insta a todas las organizaciones a actualizar sus sistemas inmediatamente para evitar brechas de datos similares a ataques previos cometidos por grupos de extorsión.

Cyberdione Labs descubrió 11 vulnerabilidades críticas en Tailscale y Headscale que podrían permitir el robo de credenciales y la obtención de privilegios de root. El equipo de Tailscale ha confirmado que los fallos son graves y está trabajando en parches urgentes para solucionarlos. Mientras tanto, recomiendan revisar las políticas de acceso SSH y desactivar el reenvío (forwarding) si no es necesario.

Apache Camel ha lanzado correcciones para múltiples fallos de seguridad, incluyendo vulnerabilidades XXE (Entidades Externas XML) de alta severidad que podrían exponer archivos locales o acceder a sistemas internos. Los problemas afectan a varios componentes y presentan riesgos que van desde el procesamiento inseguro de XML hasta la ejecución remota de código, el robo de credenciales y fallos en las comprobaciones de acceso. Apache ya ha publicado las versiones parcheadas para cada componente afectado.

El equipo de PHP ha lanzado actualizaciones para Windows para corregir una vulnerabilidad grave denominada HTTP2Shell (CVE-2026-111497). Las nuevas versiones afectadas son la 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, las cuales incluyen la actualización de Brotli 1.2.1. Se recomienda a todos los usuarios de PHP en Windows instalar estos paquetes de inmediato.

Cloudflare ha anunciado una actualización de emergencia en su conjunto de reglas del Web Application Firewall (WAF) debido a una vulnerabilidad de Brotli identificada como CVE-2026-111497. La actualización, lanzada el 25 de octubre de 2026, introduce dos reglas específicas para el endpoint de optimización de imágenes de Next.js y los cuerpos de solicitudes codificados en Brotli, las cuales vienen activadas por defecto en modo de registro (Log mode) para monitorear el tráfico sin bloquearlo. 

Hewlett Packard Enterprise ha lanzado parches de seguridad para corregir múltiples vulnerabilidades en el software inalámbrico de Aruba Networking. Estos fallos, que afectan a los despliegues de AOS-8 y AOS-10 en controladores, pasarelas y puntos de acceso, podrían permitir que atacantes tomen el control total de los dispositivos afectados, incluso sin necesidad de un inicio de sesión válido.

GitLab ha lanzado parches urgentes para corregir una vulnerabilidad de severidad máxima (CVE-2026-110264) que permitiría a atacantes remotos ejecutar código arbitrario en los servidores. El fallo se debe a un desbordamiento de enteros en el compilador de expresiones regulares y afecta a diversas versiones de CE y EE. Se recomienda a todos los usuarios actualizar sus instancias inmediatamente para evitar posibles ataques.

HPE lanzó actualizaciones de seguridad para corregir 72 vulnerabilidades en ArubaOS, incluyendo ocho de severidad máxima que permiten la ejecución remota de código y el bypass de autenticación. Estos fallos afectan a versiones de AOS-8 y AOS-10 y pueden ser explotados remotamente sin interacción del usuario. La empresa insta a sus clientes a parchear sus sistemas urgentemente y restringir el acceso a las interfaces de gestión.

Investigadores de Amazon detectaron que atacantes explotaron las vulnerabilidades críticas "PHP2Shell" (CVE-2026-109618 y CVE-2026-109619) cuatro días antes de que se lanzaran los parches oficiales. Estos fallos permiten la ejecución remota de código (RCE) en sistemas vulnerables, afectando potencialmente a millones de sitios web. Se insta urgentemente a los administradores a actualizar sus servidores PHP o desconectarlos para evitar ataques activos.

Splunk ha lanzado actualizaciones de seguridad para corregir 24 vulnerabilidades en Splunk Enterprise y Splunk SOAR. Entre ellas, destacan cuatro fallos críticos con puntuaciones CVSS de entre 9.3 y 9.9. Las correcciones, publicadas el 21 de octubre de 2026, abordan problemas de control de acceso, ejecución remota de código, denegación de servicio y controles de autorización deficientes.

Arista Networks lanzó actualizaciones para corregir una vulnerabilidad crítica (CVE-2026-114625) en VeloCloud Orchestrator (VCO) On-Prem que está siendo explotada activamente. El fallo permite que usuarios autenticados escalen sus privilegios a "superusuario" mediante inyecciones SQL, comprometiendo la confidencialidad e integridad del sistema. Se recomienda a los administradores aplicar los parches inmediatamente, restringir el acceso a la interfaz web y bloquear IPs maliciosas identificadas.

Fortinet ha instado a sus clientes a priorizar las actualizaciones de seguridad para FortiOS, FortiManager y FortiAnalyzer programadas para el 22 de octubre. Estas actualizaciones corrigen vulnerabilidades críticas y de alta gravedad, algunas de ellas detectadas mediante pruebas de seguridad asistidas por IA. La empresa recomienda dar prioridad a los dispositivos expuestos a internet.

Atlassian ha publicado su boletín de seguridad de octubre de 2026, el cual aborda 176 vulnerabilidades en diversos productos como Jira, Confluence, Bamboo, Bitbucket y Crowd. De estas, 162 son de severidad alta y 14 son críticas (provenientes de terceros). La empresa ya ha incluido las correcciones en las versiones lanzadas el mes pasado e insta a sus clientes a instalar las actualizaciones correspondientes.

Oracle ha lanzado su actualización de parches críticos de octubre de 2026, la cual incluye 1,295 nuevos parches de seguridad para su cartera de software. Entre las novedades, destaca una vulnerabilidad de severidad máxima en Oracle E-Business Suite que permitiría a atacantes sin credenciales de acceso tomar el control de un componente de flujo de trabajo a través de la red.

Node.js ha lanzado actualizaciones de seguridad para sus ramas 26.x, 24.x y 22.x con el fin de corregir diez vulnerabilidades. Entre ellas destacan cuatro fallos de alta gravedad que afectan a las consultas de DNS, las comprobaciones de certificados TLS y la descompresión de Brotli. Las versiones corregidas son la 26.12.1, 24.22.1 y 22.23.4. El riesgo más crítico identificado es la posibilidad de una ejecución remota de código a través del decodificador de Brotli.

El equipo de PHP lanzó parches de emergencia para corregir dos vulnerabilidades críticas de ejecución remota de código (RCE), conocidas colectivamente como PHP2Shell, que afectan a casi todas las instalaciones de PHP. Debido a que permiten ataques sin autenticación y ya se han detectado intentos de explotación, se insta a los administradores a actualizar inmediatamente a las versiones más recientes (8.x). Para versiones obsoletas (7.x y anteriores), se recomienda migrar o aplicar parches mínimos proporcionados por el equipo de seguridad.

Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

El equipo de seguridad de PHP advierte sobre dos vulnerabilidades críticas de ejecución remota de código (RCE) que afectan a las versiones 5, 7 y 8. Debido a que la información se filtró antes de tiempo, se han programado actualizaciones de seguridad urgentes para el miércoles 21 de octubre. Se insta a los administradores a instalar los parches inmediatamente una vez que estén disponibles.