Por Pablo Ariel Di Loreto
CISA sumó a su catálogo KEV las CVE-2026-111357 y CVE-2026-118527 de Ivanti Connect Secure, las dos fallas que completaban la cadena explotada desde el 3 de octubre. Hay que actualizar a la 25.1.1.3 o a la 22.8R2.6 y revisar credenciales.
El boletín TV-2026-1011 corrige tres vulnerabilidades de TeamViewer con puntaje de hasta 8,8. La más llamativa invierte el riesgo de siempre: un equipo remoto malicioso o comprometido puede ejecutar código en el de quien se conecta a darle soporte. No hay alternativa temporal: hay que actualizar a la 15.83.
La CVE-2026-98432 (puntaje 9,8) es un use-after-free en el código TCP de IPv4 del kernel, presente desde la versión 4.4. Debian ya la corrigió; Ubuntu, RHEL y Rocky todavía no. Desactivar MPTCP no alcanza: hay que actualizar el kernel o descartar los paquetes TCP con opciones IP.
WordPress 7.1.4 corrige una vulnerabilidad que permite ejecutar código en el servidor durante la ventana de actualización del core, en las versiones 4.7 a 7.1.3. Wordfence bloqueó 62.969 intentos de ataque en 24 horas. Qué actualizar, qué bloquear y qué revisar.
Microsoft sacó parches fuera de ciclo de .NET por una falla crítica en Brotli que CISA ya marca como explotada; el SMS y la voz dejan de servir para MFA en Entra ID desde el 1 de febrero de 2027; y Azure Deployment Environments se retira el 22 de febrero de 2027 sin reemplazo directo.
Durante unas 11 horas del 29 de octubre, el marketplace de Cursor distribuyó la versión 2.1.313 de la extensión de Claude Code con una puerta trasera por SSH, que recibieron hasta 5.000 usuarios. Cómo funciona, cómo detectarla y qué controles conviene aplicar.
Binance estima el impacto en unos US$6.300 millones, con cerca de US$3.000 millones congelados, y dice que no se filtró ninguna llave: el atacante usó la laptop comprometida de un ingeniero para llegar a un servicio que podía pedir retiros. Qué pasó y qué revisar en cualquier sistema que mueve plata.
Microsoft sacó de las listas de confianza de Windows (26 de octubre) y de Edge (27 de octubre) seis raíces emSign G3 y la AAA Certificate Services de Sectigo. Los equipos sin actualización automática de certificados necesitan los KB fuera de ciclo, y los servicios que encadenan a esas raíces van a fallar en TLS.
Microsoft atribuyó el compromiso de ConnectWise Cloud Backup a Storm-0940, que usó agentes de IA contra más de 2.250 tenants; el bloqueo de EWS rompe apps en Exchange Online; la actualización de octubre sigue afectando a Exchange y a la VPN Always On; y .NET 11 RC2 ya se puede usar en producción.
Dos vulnerabilidades CVSS 9.9 en Cranelift, el compilador de Wasmtime, permiten que un módulo malicioso escape del sandbox; una afecta a cualquier arquitectura y otra a ARM64 con la configuración por defecto. Las versiones corregidas son 36.0.19, 48.0.7 y 49.0.4, y los programas que integran la librería tienen que recompilarse.
📩 Newsletter MUG
Recibí lo mejor en tu inbox
Noticias, cursos y workshops gratuitos. Sin spam.
📅 Próximos eventos
- CharlasMUG · Mejora tu programación con GitHub Copilot
- CharlasMUG · IA en Desarrollo de Software
- 30 años del MUG · 30 charlas imperdibles
Fechas y modalidades se completarán cuando definamos el calendario de eventos 2026.
🎓 Capacitate con la comunidad
¿Querés ir más profundo?
Cursos en vivo con instructores MVP, workshops gratuitos y contenido self-paced.
Ver cursos →
💬 Últimos comentarios