Node.js publicó el 21 de octubre de 2026 parches para un fallo de alta severidad en su decodificador Brotli, registrado como CVE-2026-111497, que provoca una escritura fuera de límites y puede derivar en ejecución remota de código al procesar datos manipulados.
PHP lanzó parches de emergencia para dos vulnerabilidades críticas agrupadas como PHP2Shell, CVE-2026-109618 y CVE-2026-109619, con 9,2 en CVSS v4.0, que permiten ejecución remota de código sin autenticación y ya registran intentos de explotación.
Por qué leerla: El texto detalla las versiones corregidas, las mitigaciones temporales y las señales para detectar intentos de explotación en servidores que aún no se actualizan.
Un ciberataque manipuló a distancia controladores de refrigeración Danfoss en supermercados de Francia y elevó las temperaturas al activar ciclos de desescarche, lo que obligó a retirar producto. El incidente afectó a cadenas como Intermarché, Coopérative U, Carrefour Market, Monoprix, Leclerc y Super U, en un rango estimado de entre 250 y 350 tiendas, y la fiscalía de París abrió una investigación.
La vulnerabilidad CVE-2026-21589 en productos Atlassian Data Center ya registra intentos de explotación pocas horas después de difundirse una prueba de concepto. El fallo, calificado como crítico con CVSS v4.0 9,3, permite leer archivos concretos sin autenticación y, en entornos integrados con Crowd, puede facilitar una escalada hasta permisos de administrador.
Por qué leerla: El fallo permite leer archivos sin autenticación y escalar a administrador en Jira vía Crowd, con mitigaciones concretas para aplicar fuera del ciclo de parcheo.
Dos vulnerabilidades permiten ejecutar código al abrir hojas de cálculo manipuladas sin los avisos clásicos de macros. CVE-2026-63277 afecta a LibreOffice Calc y ya está corregida: hay que actualizar a 26.2.5 o superior, o a 26.8.0 o superior. CVE-2026-59265 afecta a Apache OpenOffice 4.1.16 y anteriores; el parche se espera en 4.1.17, aún en release candidate, por lo que la mitigación temporal es desactivar la integración con Java si no es imprescindible.
La vulnerabilidad CVE-2026-61500 en Rejetto HTTP File Server (HFS) se explota activamente y permite a un atacante remoto sin autenticación falsificar una cookie de sesión para entrar como administrador y ejecutar código en el servidor.
Un proof of concept llamado BrokenPipe muestra cómo un usuario estándar en Windows puede elevar permisos hasta NT AUTHORITY\SYSTEM a través de Steam Client Service, sin contraseña de administrador ni aviso de UAC.