Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

Microsoft ha implementado un nuevo sistema de evaluación en sus programas de recompensas por errores, donde la calidad de la evidencia presentada por los investigadores es determinante para el pago. En el programa de Azure, los informes sobre ejecución remota de código y escalada de privilegios podrán recibir $40,000 si se clasifican como "Completos", mientras que aquellos marcados como "No Completos" solo recibirán $4,000.

Ocho certificados de CA intermedios de eMudhra fueron hackeados debido a una generación de claves insegura, permitiendo interceptar y descifrar comunicaciones HTTPS. Aunque los principales navegadores y sistemas ya han revocado los certificados, se recomienda actualizar el software para evitar riesgos de seguridad.

Se ha publicado un repositorio de prueba de concepto (PoC) que ofrece herramientas de verificación y un entorno de laboratorio para analizar dos vulnerabilidades críticas de PHP denominadas php2shell. Estas fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan a la función session.upload_progress y podrían permitir la ejecución remota de código bajo ciertas condiciones.

Meta ha suspendido la función de compartir conversaciones de Muse AI debido a un fallo de privacidad que expuso datos personales y registros comerciales confidenciales. El problema ocurría a través de enlaces de chat rastreables, permitiendo que cualquier persona con el enlace pudiera acceder al contenido sin necesidad de iniciar sesión. Cabe destacar que este fallo solo afectó a las páginas que los usuarios decidieron compartir y no a todas las conversaciones privadas.

Una campaña denominada GhostAction ha implantado flujos de trabajo maliciosos en 790 repositorios de GitHub. El objetivo de este ataque es comprometer credenciales de la nube, tokens de publicación de software y claves de servicios de IA. Según OpenSourceMalware, estas cifras corresponden a repositorios validados y recuperables públicamente hasta octubre de 2026, aunque no implica que todos hayan sufrido el robo de credenciales o un uso indebido confirmado.

Según una investigación de Reuters, un hacker de habla china utilizó agentes de IA para vulnerar más de 100 sitios web de diversas empresas. La operación tuvo un coste estimado de 5.000 dólares en tokens de IA y demuestra cómo una sola persona puede dirigir software para ejecutar ataques complejos con una intervención humana mínima. Entre los objetivos se encontraban sitios vinculados a la empresa Deere.

Se ha reportado una alegación no verificada sobre una filtración de datos en el SBI. Un actor de amenazas llamado Siriusim afirma haber publicado registros de clientes y documentos bancarios que incluyen 375,000 filas de archivos CSV y 2,722 archivos PDF, aunque esto no confirma el número exacto de clientes afectados. La noticia fue difundida por CyberPulse el 16 de octubre de 2026.

La actualización de Windows de octubre de 2026 bloquea el antiguo protocolo NTLMv1 por seguridad. Esto podría causar fallos de conexión en redes y VPN para empresas que aún no hayan migrado a tecnologías modernas.

Vulnerabilidad crítica en chips Broadcom afecta a routers de operadoras como Movistar, O2 y Orange en España, permitiendo el acceso a datos con privilegios de administrador.

Están explotando un fallo de inyección de comandos en SiteGuard Server Edition, un firewall de aplicaciones web. Esta vulnerabilidad, identificada como CVE-2026-106931, afecta a la función de estadísticas del producto y podría permitir que los atacantes ejecuten comandos del sistema operativo con privilegios de root o SYSTEM, otorgándoles potencialmente el control total del servidor afectado.

Un fallo de 16 años de antigüedad en el software de Wi-Fi de Broadcom permite que atacantes dentro del rango inalámbrico tomen el control de los routers afectados sin necesidad de conocer la contraseña de la red. El investigador de seguridad Quentin Kaiser reveló este problema el 16 de octubre de 2026, advirtiendo que este código antiguo sigue presente en dispositivos ampliamente desplegados.

Se ha descubierto PwnEscape (CVE-2026-99999), una vulnerabilidad crítica en el hipervisor Linux KVM que permite a una máquina virtual escapar hacia el servidor host mediante paquetes IPv4 malformados. Este fallo rompe el aislamiento de la virtualización, permitiendo potencialmente la ejecución de código arbitrario, caídas del sistema o robo de información sensible. Aunque ya existe un parche en el kernel de Linux, el hallazgo revela una nueva clase de amenazas basadas en la manipulación de metadatos de red.

Están aprovechando fallos de seguridad en Plex Media Server para instalar malware de minería de criptomonedas. Un investigador registró ataques exitosos el 17 de octubre de 2026, utilizando el exploit público Plex2Shell, el cual encadena cuatro vulnerabilidades para ejecutar código sin necesidad de iniciar sesión. También se ha detectado la ejecución de software de proxy junto al malware.

ConnectWise suspendió sus servicios de Cloud Backup, SaaS Security y Cloud Management tras detectar un acceso no autorizado a sus identidades de aplicación. La empresa de seguridad Huntress advirtió que se comprometieron credenciales de Microsoft 365, permitiendo el acceso a entornos de clientes. Actualmente, se realizan análisis forenses mientras se insta a los proveedores de servicios gestionados a revisar sus entornos en busca de compromisos.