Por Pablo Ariel Di Loreto
El Patch Tuesday de octubre corrigió más de 1.400 vulnerabilidades (1.407 a 1.411 según el conteo), con un zero-day explotado en Windows Shell (CVE-2026-96951) que CISA sumó al KEV. Además, Microsoft y la policía de Japón desarmaron la infraestructura detrás de más de mil millones de mensajes de phishing, y Copilot se podrá comprar sin licencia base desde el 1 de diciembre.
Un estudio de Harvard sobre 718 empresas muestra que los agentes de código suben 30% las líneas escritas pero no el software entregado, porque el tiempo de revisión de cada pull request crece 49%. Spotify duplicó sus cambios mensuales (de 8.100 a 17.000) y Anthropic pasó de 2.500 a 30.000 merges por día: el cuello de botella se mudó a revisar, integrar y operar, y más agentes no lo destapan.
Python 3.15 salió el 9 de octubre con importaciones diferidas y Python 3.10 quedó sin parches desde el 1; Deno se suma a Cloudflare y Deno Deploy cierra en seis meses; Kubernetes 1.35 no arranca en nodos con cgroup v1. Además, Claude Haiku 5.5 a USD 0,10 por millón de tokens, AWS Lambda Web Functions, SvelteKit 3 y Mistral Large 4.
En la noche del 11 al 12 de octubre, atacantes forzaron ciclos de descongelamiento de hasta 50 °C en los controladores Danfoss de unos 700 supermercados franceses (Intermarché, Netto, Coopérative U, Monoprix, Carrefour, E.Leclerc), con pérdidas de varios millones de euros. El CERT-FR pidió sacar estos equipos de internet y extendió la alerta a Copeland y Dixell xweb.
Cinco productos con explotación confirmada fuera de Microsoft (Atlassian Data Center, SonicWall SMA1000, AhsayCBS sin parche, Ninja Forms y FortiGate vía FortiBleed), más críticos en GitLab (CVSS 10.0), Citrix NetScaler (9.5) y Cisco Nexus (9.8), la botnet PoeLLM con más de 3.400 servidores de IA y 98 zero-days en Pwn2Own Ireland.
Microsoft Execution Containers llega a disponibilidad general en Windows 11 y los agentes pasan a tener cuenta propia, la Surface Laptop Ultra con RTX Spark arranca en USD 2.599, Maia 300 trae 288 GB de HBM4 y GitHub rehace su almacenamiento Git con hasta 35 veces más throughput de escritura, mientras la campaña GhostAction infecta cientos de repos vía GitHub Actions.
Atacantes tomaron los operadores de .gh, .sl y .as y obtuvieron certificados HTTPS válidos para dominios de Google (12 para Google y YouTube, 11 de Let’s Encrypt y uno de ZeroSSL), ya revocados. Al día siguiente Let’s Encrypt anunció que desde el 10 de febrero de 2027 sus certificados duran 64 días, camino a los 47 días que fija el CA/Browser Forum para 2029.
Entre el 30 de septiembre y el 6 de octubre, Citrix NetScaler (otra vez, ahora por SAML), Cisco Catalyst SD-WAN Manager, FortiMail y Atlassian Data Center parchearon fallas explotadas que entraron al KEV de CISA. Se suman Microsoft detallando los ataques a Zimbra, un CVSS 9.9 en GitLab AI Gateway, RCE pre-auth en MikroTik RouterOS, dos CVSS 10.0 en Dell CSM y escaneos contra Rejetto HFS.
Parche fuera de ciclo para Exchange Server por CVE-2026-96940 (CVSS 8.8, lectura de buzones ajenos), el ransomware Warlock entrando por ToolShell en SharePoint a una empresa de agua y una telco, el Digital Defense Report 2026 con explotación en menos de 24 horas, y en GitHub stacked pull requests GA y tokens de GitHub App de ~520 caracteres.
Transluce documentó más de 200.000 pedidos y pruebas de inyección SQL de agentes de IA contra sitios de gobierno de EE.UU. y Canadá, Wikimedia detectó ediciones y millones de consultas de agentes atribuidos a OpenAI, y Google pausó desde el 1 de octubre los reportes de producto de su bug bounty de open source por la avalancha de envíos automáticos inválidos.
📩 Newsletter MUG
Recibí lo mejor en tu inbox
Noticias, cursos y workshops gratuitos. Sin spam.
📅 Próximos eventos
- CharlasMUG · Mejora tu programación con GitHub Copilot
- CharlasMUG · IA en Desarrollo de Software
- 30 años del MUG · 30 charlas imperdibles
Fechas y modalidades se completarán cuando definamos el calendario de eventos 2026.
🎓 Capacitate con la comunidad
¿Querés ir más profundo?
Cursos en vivo con instructores MVP, workshops gratuitos y contenido self-paced.
Ver cursos →
💬 Últimos comentarios