Publicaciones
Microsoft sacó de las listas de confianza de Windows (26 de octubre) y de Edge (27 de octubre) seis raíces emSign G3 y la AAA Certificate Services de Sectigo. Los equipos sin actualización automática de certificados necesitan los KB fuera de ciclo, y los servicios que encadenan a esas raíces van a fallar en TLS.
Microsoft atribuyó el compromiso de ConnectWise Cloud Backup a Storm-0940, que usó agentes de IA contra más de 2.250 tenants; el bloqueo de EWS rompe apps en Exchange Online; la actualización de octubre sigue afectando a Exchange y a la VPN Always On; y .NET 11 RC2 ya se puede usar en producción.
Dos vulnerabilidades CVSS 9.9 en Cranelift, el compilador de Wasmtime, permiten que un módulo malicioso escape del sandbox; una afecta a cualquier arquitectura y otra a ARM64 con la configuración por defecto. Las versiones corregidas son 36.0.19, 48.0.7 y 49.0.4, y los programas que integran la librería tienen que recompilarse.
La investigadora Erica Windisch publicó 11 hallazgos sobre Tailscale, entre ellos tres de severidad alta en el reenvío de puertos de Tailscale SSH que permiten llegar a root en otros servidores desde un equipo ya comprometido. No hay parche ni CVE todavía: la mitigación es ajustar las reglas de SSH y apagar el reenvío.
Node.js 22.23.4, 24.22.1 y 26.12.1 corrigen 10 vulnerabilidades, cuatro de severidad alta. La más grave, CVE-2026-111497, es una escritura fuera de límites en el descompresor Brotli que permite ejecución remota de código.
La versión 1.107.0 de LiteLLM, el gateway de IA con unos 23 millones de descargas semanales, incluía un robador de credenciales y un cargador de código remoto. La versión segura es la 1.106.2 y hay que rotar todas las credenciales del entorno afectado.
El equipo de seguridad de PHP anunció para el miércoles 21 de octubre a las 14:00 UTC (11:00 en Argentina) una actualización que corrige dos vulnerabilidades críticas con CVSS v4.0 de 9,2. Los detalles se filtraron antes del fin del embargo.
Las claves privadas de ocho certificados de CA intermedia de eMudhra (emSign) quedaron comprometidas. Chrome, Firefox y Apple ya las bloquean, y Go 1.27.3 y 1.26.10 las rechazan, pero los servicios tienen que recompilarse.
Una falla eléctrica en Google Cloud Londres dejó sin servicio a Revolut. Más allá de la zona caída, el tema de fondo es la concentración de dependencias y cómo identificarlas en servicios financieros.
NorForge encontró paneles expuestos de Cairn, una plataforma abierta de agentes de IA, con más de 1.200 sitios atacados desde el 25 de septiembre. Reuters identificó a Deere, SharkNinja y Cummins entre las víctimas; el costo estimado fue de unos USD 50 por intrusión.
📩 Newsletter MUG
Recibí lo mejor en tu inbox
Noticias, cursos y workshops gratuitos. Sin spam.
📅 Próximos eventos
- CharlasMUG · Mejora tu programación con GitHub Copilot
- CharlasMUG · IA en Desarrollo de Software
- 30 años del MUG · 30 charlas imperdibles
Fechas y modalidades se completarán cuando definamos el calendario de eventos 2026.
🎓 Capacitate con la comunidad
¿Querés ir más profundo?
Cursos en vivo con instructores MVP, workshops gratuitos y contenido self-paced.
Ver cursos →
💬 Últimos comentarios