CVE-2026-70024 · CVSS 9.8 · Stack-based buffer overflow in Windows Internet Information Services allows an unauthorized attacker to execute code over a network.

Se ha descubierto un desbordamiento de búfer en pila (stack-based buffer overflow) en Windows Internet Information Services que permite a un atacante ejecutar código remoto. La vulnerabilidad tiene una puntuación CVSS de 9.8, aunque no hay constancia de explotación activa ni prueba de concepto pública.

CVE-2026-69886 · CVSS 9.8 · Heap-based buffer overflow in Windows Imaging Component allows an unauthorized attacker to execute code over a network.

Vulnerabilidad crítica en Windows Imaging Component que permite a un atacante remoto ejecutar código arbitrario mediante un desbordamiento de búfer en la pila. La falla tiene una puntuación CVSS de 9,8, aunque no hay prueba de explotación en la naturaleza ni está listada en el registro de vulnerabilidades activas de CISA.

CVE-2026-69883 · CVSS 9.8 · Use after free in Windows iSCSI allows an unauthorized attacker to execute code over a network.

Vulnerabilidad de use-after-free en Windows iSCSI (CVE-2026-69883) con CVSS 9.8 que permite a un atacante no autenticado ejecutar código remoto sobre la red.

CVE-2026-69705 · CVSS 9.8 · Out-of-bounds write in Windows iSCSI allows an unauthorized attacker to execute code over a network.

Se ha identificado una vulnerabilidad de escritura fuera de límites (out-of-bounds write) en Windows iSCSI con puntuación CVSS 9.8, que permite a un atacante no autenticado ejecutar código de forma remota en la red.

CVE-2026-69639 · CVSS 9.8 · Heap-based buffer overflow in Windows Libarchive allows an unauthorized attacker to execute code over a network.

Vulnerabilidad de desbordamiento de búfer en el montículo (heap-based buffer overflow) en Windows Libarchive con puntuación CVSS 9.8 que permite a un atacante ejecutar código de forma remota sin autenticación.

CVE-2026-69634 · CVSS 9.8 · Heap-based buffer overflow in Windows iSCSI allows an unauthorized attacker to execute code over a network.

Vulnerabilidad de desbordamiento de búfer en el subsistema iSCSI de Windows (CVE-2026-69634) con puntuación CVSS 9.8 que permite a un atacante no autenticado ejecutar código de forma remota en la red.

CVE-2026-110130 · CVSS 10.0 · Dockhand before 1.0.45 contains an authentication bypass in which the global auth hook skips authentication for any path ending in a …

Dockhand anterior a la versión 1.0.45 contiene un bypass de autenticación que permite a atacantes remotos no autenticados cambiar contraseñas de cualquier usuario, incluidos administradores, enviando una solicitud PUT a rutas que terminan en extensiones de activos estáticos como .js. La vulnerabilidad tiene una puntuación CVSS de 10.0, aunque no hay evidencia de explotación activa en la naturaleza.

CVE-2026-105016 · CVSS 9.8 · Heap-based buffer overflow in Microsoft QUIC allows an unauthorized attacker to execute code over a network.

Vulnerabilidad de desbordamiento de búfer en la pila de QUIC de Microsoft (CVSS 9,8) que permite a un atacante no autorizado ejecutar código de forma remota. La falta de prueba de concepto pública y de listado en CISA KEV indica que aún no hay explotación activa reportada.

CVE-2026-105010 · CVSS 9.8 · Use after free in Microsoft Windows Search Component allows an unauthorized attacker to elevate privileges over a network.

Vulnerabilidad de use after free en el componente Windows Search de Microsoft permite que un atacante no autenticado escale privilegios de forma remota. El defecto tiene una puntuación CVSS de 9.8, pero no hay evidencia pública de explotación activa ni PoC disponible.

CVE-2026-105008 · CVSS 9.0 · No cwe for this issue in Windows Schannel allows an unauthorized attacker to perform spoofing over a network.

Se ha registrado una vulnerabilidad de suplantación de identidad en Windows Schannel con CVSS 9.0 que permite a un atacante no autorizado realizar ataques de spoofing por red. Sin embargo, no hay constancia de explotación activa ni exploit público disponible.

CVE-2026-103849 · CVSS 10.0 · Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in …

Adobe Commerce sufre una vulnerabilidad de neutralización impropia de elementos especiales en el motor de plantillas que podría permitir ejecución de código arbitrario en el contexto del usuario actual, sin requerir interacción del usuario. El alcance se ve modificado, permitiendo potencialmente acceso elevado o control sobre la cuenta o sesión de la víctima.

CVE-2026-102210 · CVSS 9.8 · Heap-based buffer overflow in Windows Text Shaping allows an unauthorized attacker to execute code over a network.

Se ha publicado CVE-2026-102210, una vulnerabilidad de desbordamiento de búfer en la gestión de texto de Windows que permite a un atacante ejecutar código de forma remota con puntuación CVSS 9.8. No hay evidencia de explotación activa ni de PoC público disponible en la actualidad.

CVE-2026-100222 · CVSS 9.8 · Heap-based buffer overflow in Network Policy Server (NPS) allows an unauthorized attacker to execute code over a network.

Se ha identificado un desbordamiento de búfer en la memoria dinámica (heap-based buffer overflow) en el Servidor de Políticas de Red (Network Policy Server, NPS) que permite a un atacante no autenticado ejecutar código arbitrario de forma remota. La vulnerabilidad tiene una puntuación CVSS de 9.8, indicando una severidad técnica crítica.

CVE-2026-100219 · CVSS 9.8 · Use after free in Microsoft QUIC allows an unauthorized attacker to execute code over a network.

Una vulnerabilidad de use-after-free en Microsoft QUIC (CVE-2026-100219) con CVSS 9.8 permite a un atacante no autorizado ejecutar código de forma remota. Sin embargo, no hay exploits públicos ni está listada en CISA KEV.

CVE-2026-100202 · CVSS 9.8 · Use after free in Windows Message Queuing Queue Manager allows an unauthorized attacker to execute code over a network.

CVE-2026-100202 es una vulnerabilidad de use after free en Windows Message Queuing Queue Manager con puntuación CVSS 9.8, que permite a un atacante no autorizado ejecutar código de forma remota sin necesidad de autenticación. No hay exploit público disponible ni listado en CISA KEV.

CVE-2026-100133 · CVSS 9.3 · Adobe Commerce is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by an attacker to inject malicious …

Adobe Commerce es afectado por una vulnerabilidad de Cross-Site Scripting (XSS) almacenado (CVSS 9.3) que permite a un atacante inyectar scripts maliciosos en campos de formulario vulnerables. El JavaScript malicioso se ejecuta en el navegador de la víctima cuando accede a la página afectada, pudiendo comprometer la sesión o cuenta del usuario.

Microsoft: Windows 11 24H2 Home and Pro reached end of support

Microsoft ha anunciado que Windows 11 24H2 Home y Pro han alcanzado el fin del soporte y dejarán de recibir actualizaciones de seguridad mensuales a partir de hoy, 13 de octubre de 2026. Las ediciones Enterprise y Education de 24H2 permanecerán bajo soporte hasta octubre de 2027. Microsoft recomienda a los usuarios actualizar a Windows 11 26H2, la versión más reciente que se está implementando en fases y tendrá soporte hasta octubre de 2029.

Xbox is officially embracing the chaos of AI-powered game ports

Microsoft crea Xbox Labs, un grupo de investigación dedicado a explorar la decompilación, recompilación y remixado de videojuegos mediante modelos de IA. La iniciativa busca experimentar con cómo la IA puede facilitar el acceso a juegos clásicos, trasladar títulos a nuevas plataformas hardware y permitir que más jugadores se conviertan en creadores. Xbox reconoce que estas prácticas desafían modelos de negocio tradicionales, aunque la empresa no ha aclarado cómo abordará el uso no autorizado de su propiedad intelectual.

Flox Intelligence is building AI to keep wildlife away from trains, airports, and roads

Flox Intelligence, una startup derivada del Instituto Real de Tecnología (KTH) de Estocolmo, ha desarrollado un sistema de disuasión de vida silvestre basado en inteligencia artificial para evitar que animales se acerquen a infraestructuras críticas como trenes, aeropuertos y carreteras. El sistema utiliza dispositivos edge que procesan datos localmente, identifican especies específicas mediante visión por computadora y emiten sonidos disuasivos adaptados a cada animal, aprendiendo de la experiencia para evitar que los animales se habitúen.

Anthropic Warns Small AI Models Could Soon Form Self-Propagating IoT Botnets

Anthropic advierte que los modelos de IA pequeños podrían estar a meses de desarrollar capacidades para auto-replicarse en dispositivos IoT como televisores inteligentes y hornos conectados, formando botnets de gusanos autónomos y distribuidos sin punto central de control. La investigación demuestra que agentes de IA pueden escanear redes, ejecutar exploits y copiar pesos del modelo a máquinas objetivo, usando hardware comprometido para ejecutar LLM y expandirse sin depender de costosos centros de datos.

UK Housing Ombudsman Service investigates 'security incident'

El Housing Ombudsman Service del Reino Unido investiga un incidente de seguridad en su sistema de gestión de casos causado por un proveedor externo. La organización, que arbitra disputas entre residentes de vivienda social e inmobiliarias, ha notificado a la ICO y desconoce aún el alcance de los datos afectados. Los residentes no pueden presentar nuevas reclamaciones hasta que los sistemas se restauren.

Facebook is giving users more control over their algorithm

Meta ha lanzado en Facebook la herramienta "Your Algorithm", que permite a los usuarios controlar el contenido que ven en su feed describiendo sus preferencias en lenguaje natural. La funcionalidad, disponible también en Instagram y Threads con variantes, facilita que los usuarios ajusten las recomendaciones en tiempo real e indiquen qué contenidos les interesan o no mediante menús contextuales.

I don’t miss the camera on the Ray-Ban Meta Audio glasses

Meta lanza las Ray-Ban Meta Audio, gafas inteligentes sin cámara que funcionan únicamente con audio y un asistente IA. El artículo revisa el producto destacando que la ausencia de cámara reduce las preocupaciones de privacidad, aunque limita las capacidades del asistente Muse Spark, que sigue siendo mediocre para tareas complejas.

Windows 11 KB5127648 & KB5126653 cumulative updates released

Microsoft ha publicado las actualizaciones acumulativas KB5127648 y KB5126653 para Windows 11 (versiones 26H2, 25H2, 24H2 y 23H2) como parte del Patch Tuesday de octubre de 2026. Estas actualizaciones obligatorias corrigen cientos de vulnerabilidades de seguridad descubiertas en meses anteriores, aunque el artículo no detalla cuáles ni su severidad. También incluyen mejoras en el Explorador de archivos, soporte para emojis 17.0 y nuevas funcionalidades de accesibilidad.

Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far

Ivanti Connect Secure sufre una cadena de tres zero-days que permiten acceso root sin autenticación. Un atacante rastreado como UTA0576 ha explotado activamente estas vulnerabilidades en clientes completamente parcheados, robando credenciales. Ivanti ha lanzado fixes para dos de los tres flaws; el tercero aún está pendiente.

→ Actualiza Ivanti Connect Secure a versión 25.1.3.0 o posterior de inmediato.

Laplace Intelligence red-teams robots and self-driving cars before they hit the real world

Laplace Intelligence, una startup de Ann Arbor, desarrolla red-teaming automatizado para robots y vehículos autónomos usando simulación de alta fidelidad y agentes de IA que buscan activamente fallos de seguridad antes del despliegue. El equipo fundador, procedente de investigación académica en conducción autónoma (publicado en Nature en 2023), ha girado su trabajo hacia un producto commercial que ya genera ingresos con clientes como Isuzu, Bot Auto y Nvidia.

SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python Allowing OAuth2 Credential Theft

SAP ha divulgado una vulnerabilidad crítica (CVSS 10.0) en el SDK de Cloud para Python que permite robar credenciales OAuth2 de aplicaciones multi-tenant en SAP BTP. Un atacante que controle el subdominio del tenant puede redirigir las solicitudes de autenticación hacia un servidor bajo su control, exfiltrando el ID y secreto del cliente. La vulnerabilidad fue corregida en la versión 0.45.2 (agosto), pero seis versiones posteriores (0.53.0 a 0.55.0) reintrodujeron el fallo antes de ser parcheado nuevamente en 0.55.1.

Pluto Security raises $42M as AI gives enterprise security teams a new headache

Pluto Security, una startup que acaba de salir del sigilo con 42 millones de dólares en financiación, ayuda a las empresas a asegurar herramientas de IA y agentes que sus empleados despliegan sin supervisión formal. El problema es que aproximadamente el 60% de los riesgos detectados provienen de aplicaciones creadas por empleados no desarrolladores (finanzas, marketing, legal), lo que genera superficies de ataque nuevas que las herramientas de seguridad tradicionales no cubre adecuadamente.

CVE-2026-69227 · CVSS 9.8 · A flaw in Portal for ArcGIS allows unauthenticated access to certain /portaladmin/local API endpoints under specific conditions. This could …

Una vulnerabilidad en Portal for ArcGIS (CVE-2026-69227, CVSS 9.8) permite acceso no autenticado a ciertos endpoints de la API /portaladmin/local bajo condiciones específicas. Un atacante podría acceder a funcionalidad administrativa que requiere autenticación.

CVE-2026-110116 · CVSS 9.1 · Risesoft-y9 Digital-Infrastructure 9.6.5 through 9.6.11 contains a path traversal vulnerability in the fileManager storeFile endpoint that …

Risesoft-y9 Digital-Infrastructure 9.6.5 a 9.6.11 contiene una vulnerabilidad de path traversal en el endpoint fileManager storeFile que permite a atacantes no autenticados escribir archivos arbitrarios. Al enviar parámetros fullPath y fileName manipulados en POST /rest/storeFile, los atacantes pueden crear o sobrescribir ficheros con permisos de servicio, potencialmente logrando ejecución de código.