El 12 d'octubre de 2026 Ceph va publicar la 19.2.7, setè backport de la branca Squid, amb la frase de sempre: «recomanem que tots els desplegaments actualitzin». Avui hem mirat què serveix de debò el repositori de Proxmox i la resposta és 19.2.6-pve4, amb l'índex datat el 9 de setembre. La branca mor el 31 d'octubre. Dos calendaris diferents, i el que et governa no és el que llegeixes a ceph.io.
Broadcom ha presentat avui VMware HyperArmor: una capa de pagament a part que mitiga errors de l'hipervisor ESX «sense reinicis d'amfitrió ni actualitzacions de programari». La frase més honesta del llançament la va dir un dels seus propis enginyers: «això bàsicament et compra temps». El camí gratuït per no reiniciar ja existia des de vSphere 8.0 Update 3 i ve amb una llista d'exclusions escrita: TPM, DPU i les màquines sense Fast Suspend and Resume. De les tres peces que ven HyperArmor, una ja és al teu amfitrió, apagada.
Avui, 13 d'octubre de 2026, Windows 11 versió 24H2 deixa de rebre actualitzacions a Home i Pro. La taula oficial de Microsoft posa el mateix acumulatiu, KB5124010, a quatre files amb quatre dates de fi diferents, i dues d'aquestes files porten el mateix número de build: 26100.9550. Una caduca avui; l'altra, la línia IoT Enterprise LTSC, té suport estès fins al 2034. La data no és al codi: és a l'edició i al canal.
Tres nodes connectats entre si a 25 GbE sense comprar cap switch és de les millors decisions que es poden prendre amb pocs diners. Proxmox documenta quatre maneres de cablejar-ho i només dues sobreviuen a la caiguda d'un enllaç: a les altres dues, diu la seva pròpia wiki, «els nodes tenen visions diferents» i Ceph marca com a caiguts serveis que estan perfectament vius. Des de Proxmox VE 9 aquesta malla es configura des de la interfície, amb quatre protocols de fabric. I la documentació oficial continua etiquetant aquesta capa com a tech preview.
Entre el 28 de setembre i el 5 d'octubre del 2026, l'SDK de Python del Model Context Protocol va publicar sis avisos de seguretat, tres d'ells de 7,5. El 12 d'octubre cap dels sis apareix a OSV, ni a la base global de GitHub que dispara Dependabot, ni a l'API de PyPI que consulta pip-audit per defecte; l'únic que duu CVE tampoc no és al NVD. Ho vam comprovar amb dues crides públiques que pots repetir en un minut. I dos dels sis avisen per escrit que actualitzar, tot sol, no arregla res.
Durant l'octubre del 2026 Microsoft retira el codi d'un sol ús de SharePoint Online als tenants comercials. No pots triar la data, no te'n pots sortir i no s'acota per lloc. El que deixa d'obrir-se és l'enllaç nominal, el que exigia posar el correu del destinatari; el de «qualsevol amb l'enllaç» continua igual. I l'informe que Microsoft t'assenyala per saber qui deixaràs fora exclou per escrit els enllaços enviats per correu que ningú va arribar a prémer. Què comprovar, què ja no significa la casella EnableAzureADB2BIntegration i per què l'arranjament correcte no és recompartir en bloc.
L'avís conjunt AA26-281A, que a Espanya signa el CNI, llista vuit CVE explotats amb èxit per Flax Typhoon. Un és en un aparell de xarxa, un Pulse Connect Secure; els altres set són programari sobre servidors: Bash i BIND arriben amb el sistema operatiu, Struts viatja dins d'una aplicació Java, i ProFTPD, GitLab, ONLYOFFICE Docs i Strapi els va aixecar algú un dia concret. Tres ja eren al catàleg de CISA, dos des del novembre del 2021 amb la casella de ransomware marcada. Els comptes fets sobre el JSON del catàleg, amb les ordres, i les tres preguntes que sí que aixequen aquest inventari.
El teu operador tanca la incidència com a «dins dels paràmetres contractats» i el teu SD-WAN té la gràfica del tall. Les dues xifres són correctes: el que canvia és el punt de mesura, la finestra i la classe de trànsit, i les tres coses són a les normes que hi ha sota el contracte. La recomanació ITU-T Y.1541 demana que qualsevol minut observat compleixi; un contracte de disponibilitat fa la mitjana del mes sencer, i dins d'un 99,9% mensual hi caben 129 talls de vint segons sense incomplir-lo. Les set línies d'annex que cal escriure abans de signar.
En la intrusió contra AhsayCBS que Huntress va documentar el 8 d'octubre del 2026 hi havia un script de PowerShell que atura el servei del minador quan obres l'Administrador de tasques, el rearrenca quan el tanques i tanca el mateix Administrador de tasques a les sis de la tarda. El que l'atacant va modelar no va ser l'antivirus: va ser l'horari de la persona que mira. Per què la comprovació interactiva no és una detecció, i una prova de deu minuts per saber si la teva ho és.
El 60% dels clients de VMware enquestats per Unisphere Research es planteja una estratègia multihipervisor, i les quatre barreres més citades —complexitat operativa 40%, gestió multiproveïdor 38% i, empatades al 37%, assegurar una superfície d'atac més gran i les competències de l'equip— són exactament el que instal·la tenir dues plataformes alhora. La llista del que acabes mantenint per duplicat, el que sí que es divideix de debò, i quan l'estat dual és la decisió correcta.
Microsoft va encendre l'interruptor avui, 10 d'octubre, al seu núvol multi-tenant: un tenant amb EwsEnabled a $true i la llista d'aplicacions permeses buida deixa de deixar-les passar totes i passa a no deixar-ne passar cap. El 8 i el 9 Microsoft va escriure aquesta llista per tu, amb el que va veure fer servir l'EWS els 60 dies anteriors. Si copies les bústies del Microsoft 365, la teva còpia depèn ara d'una llista que probablement no vas escriure tu, desada en un paràmetre que la documentació declara com a camp de text i que no admet afegir ni treure: només reescriure sencer.
Amb alimentació A+B no compres que no se'n vagi la llum: compres que puguin retirar mitja instal·lació elèctrica per mantenir-la sense que tu ho notis. Aquesta promesa està escrita suposant que cada aparell del teu rack té dos cables i que cadascun va per un camí diferent; la segona signatura d'aquest contracte la poses tu.
L'1 d'octubre Fortinet va publicar una fallada de 9,8 a FortiMail, explotada i sense versió corregida. L'única mitigació disponible era apagar el xifratge IBE: la via per la qual la teva empresa envia documentació confidencial a gent de fora. Les notes de la versió corregida porten data del 2 d'octubre; l'avís no ho va dir fins al 7. Si el teu disparador per retirar la mitigació és l'avís, el teu rellotge va cinc dies endarrerit. A dins: la taula de branques (i la que no rep pedaç), els indicadors que Fortinet sí que va publicar, allò que la documentació pública NO resol, i una fitxa de sis línies perquè una mitigació temporal no es quedi sis mesos.
El 8 d'octubre del 2026 IBM va traspassar «centenars» de clients del seu núvol VMware a una altra empresa. Cap d'ells no va signar aquella operació. La data que governa un núvol VMware allotjat no és al teu contracte: és a l'acord de partner que el teu proveïdor té amb Broadcom. A dins: la frase de les FAQ del gener que descriu amb nou mesos d'antelació el que acaba de passar, les set dates amb el seu amo en una taula, els dos dies que separen el 31 de març del 2 d'abril del 2027, per què «VCF 7» no existeix a la documentació de Broadcom, i quatre preguntes que caben en un correu.
El 8 d'octubre del 2026 el NVD va publicar 43 vulnerabilitats de Brocade Fabric OS el mateix dia. Cap de crítica, la més alta 8,7, i 38 de les 43 exigeixen credencials. Aquests tres números són exactament el motiu pel qual ningú no ho pedaçarà. A dins: l'atacant que el lot imagina no ve d'internet —és un altre switch de la teva pròpia fabric—, per què el 7,1 de CVE-2026-87659 enganya, l'excusa de la finestra de manteniment desmuntada amb la documentació del mateix fabricant, les dues branques de versió que no encaixen, i quatre preguntes de propietat en comptes d'un checklist.
El 7 d'octubre del 2026 Microsoft va publicar l'avís MC1490899 i va actualitzar tres pàgines de documentació el mateix dia: Targeted release es retira el gener del 2027 i el novembre del 2026 ja no se'n podrà tocar la llista. La cobertura ho explica com un canvi de nom a Standard i Deferred. No ho és. Llegint les tres pàgines juntes en surt una altra cosa: per conservar un grup de validació que vagi al davant, la recomanació de Microsoft no consisteix a avançar el pilot sinó a endarrerir trenta dies tots els altres. A dins: la taula d'equivalències oficial llegida al revés, el límit documentat de 100 usuaris on cada membre d'un grup compta d'un en un, els dos canvis que Deferred NO endarrereix, i les set comprovacions que caben en mitja hora abans del 31 d'octubre.
El dimarts 6 d'octubre del 2026 The Register va explicar que un investigador diu tenir una fuga de convidat a amfitrió a KVM, que el conseller delegat de Vercel la va confirmar dins del seu programa de recompenses, i va anomenar Proxmox entre els qui depenen de KVM. No hi ha CVE, no hi ha pedaç i no hi ha detall tècnic. Com que no hi ha res a pedaçar, el que és mesurable avui és el radi: la documentació de Proxmox VE diu que QEMU corre com a procés root, així que el salt és un i no dos; i root en un node llegeix /etc/pve/priv, que pmxcfs replica en temps real a tots els nodes. A dins: la taula dels deu fitxers amb les descripcions oficials, per què la contrasenya de les còpies hi és «in plain text» i al costat de la clau de xifratge, i la llista de rotació, línia a línia, amb el cost de cadascuna.
HPE va publicar el 6 d'octubre del 2026 l'avís HPESBNW05158 amb 28 vulnerabilitats de ClearPass Policy Manager: 10 crítiques, 11 altes i 7 mitjanes. La mitigació provisional que recomana el mateix avís anomena la CLI i la interfície web de gestió, totes dues del servidor. Hem classificat els 28 pel component que HPE anomena a cada títol: tretze són a l'agent OnGuard o al programari client, és a dir, als portàtils. Dues d'aquestes tretze són crítiques de 9,8 sense autenticació prèvia. A dins: la taula dels tretze, la nota de fi de manteniment que decideix si el teu cas és un pedaç o un salt de branca, i la pregunta que convé respondre abans de la finestra de canvi.
Veeam va publicar el 6 d'octubre del 2026 l'avís KB4934 amb tres vulnerabilitats de Backup & Replication. Dues de les tres les dispara el mateix rol: Backup Viewer, el que es reparteix sense pensar perquè serveix per mirar. La pitjor arriba a 9,4 i executa codi al servidor de còpies; l'altra, puntuada 6,1, permet esborrar la master key d'Enterprise Manager, que és el mecanisme documentat per desxifrar una còpia quan es perd la contrasenya. A dins: la taula dels tres CVE amb els seus vectors, per què PR:L és la part que importa, i la llista d'assignacions de rol que cap pla de recuperació inclou.
L'avís del CVE-2026-21589, del 5 d'octubre del 2026, afecta vuit productes autoallotjats d'Atlassian: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible i Fisheye. És un avís dels complets: dinou versions corregides, mitigacions temporals si no pots pedaçar —inclosa la de treure la instància d'internet— i un mètode per buscar rastre als access logs. Les tres instruccions arrenquen d'una pregunta que el fabricant no pot respondre per tu. A dins: la taula de versions, per què «som a la 10.2» assenyala tres productes diferents i les tretze entrades d'Atlassian al catàleg KEV de CISA.
Per rebre històries del món IT, novetats d'everyWAN i ofertes exclusives per a subscriptors, dona't d'alta a la nostra llista de correu
Microsoft 365
ES 
CAT 
EN