LiteLLM sufrió el compromiso de su cadena de distribución el 21 de octubre de 2026, con la publicación de la versión maliciosa 1.107.0 en PyPI, Docker Hub y GHCR. El paquete contiene un robo de credenciales y un backdoor (RAT) que exfiltra secretos de sistemas, navegadores, herramientas de desarrollo y plataformas cloud, ejecutando código remoto cada hora. Los atacantes obtuvieron tokens de GitHub de registros de logs de LiteLLM y deshabilitaron protecciones de rama para forzar cambios maliciosos, lo que permitió que credenciales de AWS fueran robadas y utilizadas para intentar comprometer instancias y servicios de IA.

→ Elimina LiteLLM 1.107.0 de todas las máquinas, aísla los hosts donde se ejecutó la versión maliciosa, revoca credenciales de desarrolladores y audita accesos a AWS, Kubernetes y herramientas de IA entre las 11:39 UTC y 14:20 UTC del 21 de octubre de 2026.

GitLab ha publicado un parche crítico para corregir múltiples vulnerabilidades en sus ediciones Community y Enterprise, siendo la más grave CVE-2026-110264, un desbordamiento de entero en la compilación de expresiones regulares que permite la ejecución remota de código sin autenticación. Las versiones afectadas incluyen desde GitLab 7.0 hasta varias ramas 18.x y 19.x; se recomienda actualizar a las versiones corregidas (19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 o 18.11.13) inmediatamente.

Microsoft reveló que el grupo China-alineado Storm-0940 estuvo detrás del compromiso de la cadena de suministro de ConnectWise Cloud Backup, utilizando ARTEX, un framework de agentes IA de pruebas de penetración en Go, para automatizar escaneo, reconocimiento, password spraying y abuso de OAuth a velocidad de máquina contra cientos de organizaciones en septores como defensa, financiero, energía y tecnología desde septiembre de 2026. Los agentes IA lograron acceso privilegiado a infraestructuras cloud en menos de 3 horas en varios casos, con intentos de autenticación a 2.900 por minuto contra 327 cuentas en ocho organizaciones entre octubre 10 y 14.

GitLab publicó el 21 de octubre correcciones para una vulnerabilidad crítica (CVE-2026-110264, CVSS 10.0) que permite ejecución remota de código sin autenticación en servidores autogestionados. El fallo afecta a todas las versiones desde 7.0 (2014) debido a un desbordamiento de enteros en el compilador de expresiones regulares Onigmo embebido en GitLab. Aunque no hay reportes de explotación activa, GitLab ha distribuido parches para siete ramas de versiones simultáneamente, incluyendo versiones fuera de su política de parcheo habitual.

El proyecto PHP ha lanzado hoy actualizaciones de seguridad críticas para toda la línea PHP 8.x que cierran dos agujeros de RCE (ejecución remota de código). Tras un fallo en el proceso de divulgación coordinada, los identificadores CVE circularon prematuramente en foros y redes sociales desde anoche, lo que provocó que una empresa de seguridad publicara un vídeo con prueba de concepto funcional; posteriormente han circulado múltiples PoCs de explotación. Es vital actualizar inmediatamente cualquier servidor que ejecute PHP.

→ Actualiza PHP 8.x a la versión de seguridad lanzada el 21 de octubre de 2026 inmediatamente.