Google lanzó Chrome 156 para Windows, macOS y Linux el 20 de octubre de 2026, con el fin de corregir 353 fallos de seguridad. Entre estas vulnerabilidades se incluyen seis errores críticos relacionados con las funciones de renderizado, comunicación, accesibilidad y gráficos. Las versiones parcheadas se desplegarán progresivamente en los próximos días y semanas.

El equipo de PHP lanzó parches de emergencia para corregir dos vulnerabilidades críticas de ejecución remota de código (RCE), conocidas colectivamente como PHP2Shell, que afectan a casi todas las instalaciones de PHP. Debido a que permiten ataques sin autenticación y ya se han detectado intentos de explotación, se insta a los administradores a actualizar inmediatamente a las versiones más recientes (8.x). Para versiones obsoletas (7.x y anteriores), se recomienda migrar o aplicar parches mínimos proporcionados por el equipo de seguridad.

Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

Microsoft ha implementado un nuevo sistema de evaluación en sus programas de recompensas por errores, donde la calidad de la evidencia presentada por los investigadores es determinante para el pago. En el programa de Azure, los informes sobre ejecución remota de código y escalada de privilegios podrán recibir $40,000 si se clasifican como "Completos", mientras que aquellos marcados como "No Completos" solo recibirán $4,000.

Ocho certificados de CA intermedios de eMudhra fueron hackeados debido a una generación de claves insegura, permitiendo interceptar y descifrar comunicaciones HTTPS. Aunque los principales navegadores y sistemas ya han revocado los certificados, se recomienda actualizar el software para evitar riesgos de seguridad.

Cloudflare ha detectado los primeros intentos de explotación de dos vulnerabilidades críticas de PHP, cuyos detalles se filtraron antes de la fecha de lanzamiento oficial del equipo de seguridad de PHP. Para mitigar este riesgo, la empresa ha implementado reglas en su Firewall de Aplicaciones Web (WAF) para bloquear los patrones de ataque conocidos, las cuales están disponibles para todos sus clientes, incluyendo los planes gratuitos.

Se ha publicado un repositorio de prueba de concepto (PoC) que ofrece herramientas de verificación y un entorno de laboratorio para analizar dos vulnerabilidades críticas de PHP denominadas php2shell. Estas fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan a la función session.upload_progress y podrían permitir la ejecución remota de código bajo ciertas condiciones.

Meta ha suspendido la función de compartir conversaciones de Muse AI debido a un fallo de privacidad que expuso datos personales y registros comerciales confidenciales. El problema ocurría a través de enlaces de chat rastreables, permitiendo que cualquier persona con el enlace pudiera acceder al contenido sin necesidad de iniciar sesión. Cabe destacar que este fallo solo afectó a las páginas que los usuarios decidieron compartir y no a todas las conversaciones privadas.

Una campaña denominada GhostAction ha implantado flujos de trabajo maliciosos en 790 repositorios de GitHub. El objetivo de este ataque es comprometer credenciales de la nube, tokens de publicación de software y claves de servicios de IA. Según OpenSourceMalware, estas cifras corresponden a repositorios validados y recuperables públicamente hasta octubre de 2026, aunque no implica que todos hayan sufrido el robo de credenciales o un uso indebido confirmado.

Según una investigación de Reuters, un hacker de habla china utilizó agentes de IA para vulnerar más de 100 sitios web de diversas empresas. La operación tuvo un coste estimado de 5.000 dólares en tokens de IA y demuestra cómo una sola persona puede dirigir software para ejecutar ataques complejos con una intervención humana mínima. Entre los objetivos se encontraban sitios vinculados a la empresa Deere.

Se ha reportado una alegación no verificada sobre una filtración de datos en el SBI. Un actor de amenazas llamado Siriusim afirma haber publicado registros de clientes y documentos bancarios que incluyen 375,000 filas de archivos CSV y 2,722 archivos PDF, aunque esto no confirma el número exacto de clientes afectados. La noticia fue difundida por CyberPulse el 16 de octubre de 2026.