Microsoft ha lanzado actualizaciones de seguridad urgentes para .NET con el fin de corregir un desbordamiento de búfer de Brotli y configuraciones de propiedad inseguras en los archivos de distribución de Linux. Estas actualizaciones, publicadas el 25 de octubre de 2026, afectan a .NET 8, 9, 10 y .NET 11 Release Candidate 3. La compañía insta a los usuarios a actualizar sus sistemas lo antes posible.

El equipo de PHP ha lanzado actualizaciones para Windows para corregir una vulnerabilidad grave denominada HTTP2Shell (CVE-2026-111497). Las nuevas versiones afectadas son la 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, las cuales incluyen la actualización de Brotli 1.2.1. Se recomienda a todos los usuarios de PHP en Windows instalar estos paquetes de inmediato.

Se ha detectado una vulnerabilidad crítica (CVE-2026-111497) llamada "HTTP2Shell" en la librería de compresión Brotli, que afecta a Node.js, Python y .NET. Este fallo de desbordamiento de búfer permite a los atacantes corromper la memoria, acceder a datos sensibles e incluso ejecutar código remoto (RCE). Se recomienda actualizar inmediatamente a las versiones parcheadas y reiniciar los procesos afectados para mitigar el riesgo.

Cloudflare ha anunciado una actualización de emergencia en su conjunto de reglas del Web Application Firewall (WAF) debido a una vulnerabilidad de Brotli identificada como CVE-2026-111497. La actualización, lanzada el 25 de octubre de 2026, introduce dos reglas específicas para el endpoint de optimización de imágenes de Next.js y los cuerpos de solicitudes codificados en Brotli, las cuales vienen activadas por defecto en modo de registro (Log mode) para monitorear el tráfico sin bloquearlo. 

Un nuevo informe de seguridad llamado Tailworm, publicado el 25 de octubre de 2026 por la investigadora Erica Windisch, advierte que Tailscale SSH presenta fallos críticos. Estas vulnerabilidades podrían permitir que un atacante, tras comprometer un solo dispositivo, logre obtener acceso de root en otros servidores conectados a través de la red privada.

Un investigador de seguridad conocido como killa ganó un desafío público de Bitcoin tras explotar dos vulnerabilidades críticas de PHP para acceder a un servidor de prueba. El proceso tomó 19,28 horas y el premio fue de 0.02511679 BTC (equivalentes a $2,021.22) el 25 de octubre de 2026. Posteriormente, el investigador publicó la prueba de concepto (PoC).

Microsoft ha corregido una vulnerabilidad de severidad alta (CVE-2026-80097) en Authenticator para Android. Este fallo permitía que aplicaciones maliciosas, incluso sin permisos declarados, pudieran robar tokens de acceso de cuentas de trabajo debido a un error de autenticación en su componente intermediario. El problema afectaba a dispositivos Android que tuvieran la aplicación instalada y una cuenta de trabajo iniciada.

La vulnerabilidad HTTP2Shell afecta a más que el tráfico web; nuevas investigaciones revelan que el fallo en el decodificador Brotli (CVE-2026-111497) puede comprometer aplicaciones .NET, el procesamiento de medios de FFmpeg, servidores ClickHouse y cargas de trabajo de Apache Arrow. Los hallazgos advierten que limitarse a revisar las versiones de Node.js puede dejar otros software expuestos sin detectar.