CVE-2026-98432 es un use-after-free en el manejo de conexiones TCP/IPv4 del kernel de Linux, explotable por red y sin autenticación. CVSS 9,8 según el kernel, 5,9 según Red Hat.
HTTP2Shell (CVE-2026-111497) afecta a programas que incluyen su propia copia de Brotli, como .NET, ClickHouse o Apache Arrow. La CISA ya lo considera explotado.
El fallo PHP2Shell se vio por primera vez en 2024, en una auditoría de PHP financiada por Alemania. El arreglo se atascó meses y el 21 de octubre la BKA y varios gobiernos regionales desconectaron sus webs.
Oracle ha publicado dos alertas urgentes, CVE-2026-91403 y CVE-2026-114820, para que Java SE y GraalVM dejen de confiar en certificados de eMudhra con claves débiles. Hay que actualizar a los nuevos builds.
El informe de amenazas de Rapid7 del tercer trimestre de 2026 sitúa en tres días el tiempo medio hasta la explotación de fallos graves, con el 79 % explotables sin credenciales.
Kaspersky documenta BlackX, un bootkit UEFI atribuido a APT41 que explota Baton Drop en equipos parcheados porque no se había revocado el certificado Windows Production PCA 2011.
El informe Tailworm describe 11 fallos sin parche en Tailscale y headscale que, en laboratorio, llevaron de un equipo comprometido a root en otros servidores. Tailscale aún no tiene boletín ni CVE.
Plex2Shell y un fallo del servidor CODE de Nextcloud entran en el catálogo KEV de CISA, Node.js corrige diez vulnerabilidades y PHP avisa de un nuevo riesgo de ejecución remota.
NVD suma 88.602 CVE en 2026 a 24 de octubre, frente a 49.972 en todo 2025. El «octubre negro» no es un pico puntual: la curva lleva meses disparándose.
PHP publica hoy a las 16:00 una actualización para dos vulnerabilidades críticas con CVSS 9,2, filtradas antes de tiempo. Qué se sabe, qué dicen los investigadores y qué hacer.
