SAP ha publicado sus actualizaciones de seguridad de octubre de 2026 para corregir fallos de seguridad en la nube, control de acceso e inyección de código de nivel crítico, además de un problema de corrupción de memoria de severidad alta. Esta versión, lanzada el 13 de octubre, incluye 16 nuevas notas de seguridad y cuatro avisos de GitHub, destacando cuatro entradas con calificación crítica que hacen que este ciclo de parches sea fundamental para los equipos técnicos.

En el Patch Tuesday de octubre de 2026, Microsoft ha solucionado 1.118 vulnerabilidades distribuidas en 15 grupos de riesgo. Para facilitar la revisión de estas actualizaciones, la compañía ha implementado un nuevo sistema llamado "cohortes de riesgo", que agrupa fallos con características similares para ayudar a los equipos de seguridad a evaluar mejor la exposición de sus sistemas y usuarios.

IBM ha corregido 22 vulnerabilidades en sus sistemas Verify Identity Access y Security Verify Access. Entre ellas, destacan dos fallos críticos (CVE-2026-78401 y CVE-2026-78406) con una puntuación CVSS de 9.8, que permiten la ejecución remota de código (RCE) sin autenticación debido a la deserialización de datos no confiables.

Citrix advierte sobre una vulnerabilidad crítica (CVE-2026-107406) en NetScaler ADC y Gateway que podría permitir la ejecución remota de código o causar denegaciones de servicio. El fallo afecta a dispositivos configurados como proveedores de identidad o servicio SAML, por lo que se insta a los administradores a actualizar a las versiones recomendadas inmediatamente. Aunque no se han reportado exploits activos de este fallo específico, Citrix subraya la urgencia debido al historial de vulnerabilidades similares explotadas recientemente.

Citrix ha instado a sus clientes a parchear un fallo de seguridad crítico en NetScaler ADC y NetScaler Gateway. Esta vulnerabilidad de desbordamiento de memoria, identificada como CVE-2026-107406, podría permitir la ejecución remota de código (RCE) o provocar una denegación de servicio. El fallo afecta a dispositivos con configuraciones SAML específicas y cuenta con una puntuación de gravedad de 9.5 según CVSS v4.0.

Gitea ha lanzado actualizaciones de seguridad para corregir 27 vulnerabilidades en sus versiones 28.0.0 y 28.1.0. Entre los fallos solucionados destacan un salto de autenticación SSH crítico y debilidades de solicitud de falsificación del lado del servidor (SSRF). Las correcciones afectan el acceso a cuentas, permisos de repositorios, flujos de trabajo automatizados y conexiones internas, por lo que se recomienda a los administradores priorizar esta actualización de forma urgente.

wolfSSL ha lanzado la versión wolfSSH 1.6.0 para corregir cinco vulnerabilidades de seguridad. Entre ellas destaca un fallo crítico de omisión de verificación de la clave del host, que podría permitir a un atacante suplantar un servidor SSH. La actualización, publicada el 6 de octubre de 2026, también soluciona problemas de escalada de privilegios en Windows, abuso del intercambio de claves no autenticado, canales de reenvío no autorizados y un error de corrupción de memoria en SFTP.

Fallos críticos de seguridad, como una empresa que quebró tras un ataque de ransomware por no tener respaldos externos ni parches actualizados. Y un ataque de phishing sofisticado mediante suplantación de identidad que fue detenido gracias a un software de detección de inicios de sesión anómalos. Finalmente, resalta la importancia de usar MFA resistente al phishing para evitar robos de cuentas.

Splunk ha lanzado actualizaciones de seguridad para corregir una vulnerabilidad crítica en Splunk Enterprise (CVE-2026-76268). Este fallo, con una puntuación CVSS v3.1 de 9.8, permitiría a un atacante ejecutar comandos del sistema operativo de forma remota sin necesidad de autenticarse, afectando específicamente a la API REST de Patroni en los miembros del clúster de búsqueda.

Elastic ha publicado 14 avisos de seguridad que afectan a Elasticsearch, Kibana y Elastic Agent/Endpoint. Destaca una vulnerabilidad de alta severidad en Kibana (CVE-2026-102406) con una puntuación CVSS de 8.8, la cual permite que usuarios delegados de Fleet intercepten datos de otros usuarios o equipos debido a un fallo en la verificación de propiedad durante la instalación de paquetes de integración.

SonicWall ha corregido cuatro vulnerabilidades en sus dispositivos Secure Mobile Access (SMA) serie 1000, destacando una falla crítica de solicitud de falsificación del lado del servidor (SSRF) con una puntuación CVSS máxima de 10.0. Este error permitiría que un atacante remoto, sin necesidad de credenciales válidas, obligue al dispositivo a enviar solicitudes en su nombre para acceder a funciones internas y realizar operaciones no autorizadas.

SonicWall ha lanzado correcciones urgentes para una vulnerabilidad crítica de SSRF (CVE-2026-102255) que afecta a ciertos modelos de la serie SMA1000. Este fallo permitiría a atacantes remotos no autenticados realizar operaciones no autorizadas en la red interna. Aunque no hay evidencia de que se esté explotando actualmente, la empresa insta a los usuarios a actualizar sus equipos debido al historial de ataques contra estos dispositivos.

Atlassian detectó una vulnerabilidad crítica (CVE-2026-21589) en 8 de sus productos Data Center que permite a atacantes sin acceso leer archivos sensibles del servidor. La falla tiene una calificación de 9.3/10 y ya ha sido corregida en las versiones de la nube, pero los clientes auto-alojados deben actualizar sus sistemas inmediatamente. Como medida temporal, la empresa recomienda restringir el acceso externo o aplicar reglas de bloqueo en el firewall.

La versión OpenSSH 10.6, lanzada el 6 de octubre de 2026, corrige vulnerabilidades de seguridad que podrían permitir la exposición de secretos, la escritura de archivos fuera de las carpetas designadas o la inyección de shell en condiciones específicas. Esta actualización afecta tanto al cliente como al servidor, siendo fundamental para administradores y usuarios que utilizan SSH para transferencias de archivos y acceso remoto.

Atlassian ha revelado una vulnerabilidad crítica de acceso arbitrario a archivos (CVE-2026-21589) que afecta a ocho de sus productos, entre los que se incluyen Jira, Confluence y Bitbucket. Con una puntuación CVSS de 9.3, este fallo permite que atacantes no autenticados accedan a archivos específicos en el directorio raíz web de las aplicaciones afectadas.

Citrix lanzó actualizaciones de seguridad para corregir la vulnerabilidad CVE-2026-88779 en NetScaler ADC y Gateway, la cual ha sido explotada en ataques zero-day. Este fallo de desbordamiento de memoria puede causar la denegación del servicio en despliegues que utilicen autenticación SAML. Se recomienda a los usuarios actualizar a las versiones más recientes para mitigar este riesgo ya catalogado por CISA.

Dell ha corregido varias vulnerabilidades críticas en sus Módulos de Almacenamiento de Contenedores (CSM) que permitían a atacantes remotos obtener control administrativo total sobre la infraestructura de almacenamiento y nodos de Kubernetes. Debido a la gravedad de estos fallos, la empresa insta a sus clientes a actualizar a la versión 1.18.0 o posterior inmediatamente. El reporte también destaca que, aunque estas fallas específicas no han sido explotadas aún, grupos de hackers estatales han abusado de otras vulnerabilidades de Dell en el pasado.

Kiteworks ha lanzado una actualización de seguridad masiva para solucionar 126 vulnerabilidades en su plataforma de transferencia segura de datos y aplicaciones relacionadas. Las correcciones incluyen fallos críticos de secuestro de cuentas, errores de ejecución de código de alta severidad, omisión de seguridad, modificación no autorizada de datos, escalada de privilegios y condiciones de denegación de servicio.

Debian ha lanzado una actualización de seguridad masiva para su núcleo de Linux que corrige 1,313 vulnerabilidades (CVE). Estas fallas podrían permitir la escalada de privilegios, la denegación de servicio (DoS) y la filtración de información. Las correcciones ya están disponibles para la versión estable de Debian, Trixie, en el paquete de fuente 6.12.111-1, según el aviso DSA-6528-1 publicado por Salvatore Bonaccorso.