Noticias digitales de octubre de 2026: decreto AI Act, píxeles de seguimiento en las correos electrónicos y vulnerabilidades PHP
Desde el 23 de octubre está en vigor el decreto legislativo AI Act europeo. A partir del 29 de octubre los tracking pixels en los emails requieren información y consentimiento. El 21 de octubre PHP lanzó las parches para PHP2Shell, dos vulnerabilidades críticas que permiten ejecutar código desde un servidor remoto en servidores que no están actualizados.
Índice
Octubre no ha sido exactamente un mes tranquilo para quienes trabajan en el mundo digital.
Una Ley Ha entrado en vigor, una Fecha de caducidad Ha llegado y una vulnerabilidad Ha obligado a la mitad de la web a actualizar los servidores rápidamente.
Son tres noticias diferentes, pero tienen algo en común: También afectan a ti, Si tienes un sitio web, manda boletín o utiliza la inteligencia artificial en la empresa.
En este artículo, las explicamos sin muchos detalles y las acompañamos con los próximos pasos que te recomendamos seguir.
Las 3 noticias de octubre de 2026 en resumen
Si usted tiene solo 1 minuto, Aquí está lo que pasó, cuándo y quién debe actuar.
A continuación encontrará todas las noticias en detalle.
- Decreto AI Act 179/2026, en vigor desde el 23 de octubre de 2026. Se refiere a empresas, profesionales y administraciones públicas que utilizan sistemas de IA. ¿Qué hacer: mapear los instrumentos utilizados, formar a quienes los utilizan y actualizar las informaciones a los trabajadores.
- Directrices del Garante sobre los tracking pixels, adaptación para el 29 de octubre de 2026. Se refieren a quienes envían boletines informativos y correos electrónicos con estadísticas de apertura. ¿Qué hacer: actualizar la información y los formularios de inscripción, prever la revocación del seguimiento.
- PHP2Shell (CVE-2026-109618 y CVE-2026-109619), parche de 21 de octubre de 2026. Se aplica a cualquier persona que tenga un sitio o una aplicación en PHP, incluido WordPress. ¿Qué hacer: Actualizar PHP a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 y comprobar los sitios web.
1 Decreto AI Act 179/2026: ¿qué cambia en Italia a partir del 23 de octubre?
El AI Act existe desde 2024, pero hasta ahora en Italia faltaba un detalle: quién controla y quién sanciona.
Desde el 23 de octubre de 2026 ese trozo está ahí.
El decreto legislativo 179/2026 no reescribe las normas europeas: las hace cumplir. aplicables, con autoridades, Procedimientos e multas.
Para las empresas significa que la IA utilizada sin criterio deja de ser solo un problema teórico.
¿Qué es el decreto legislativo 179/2026?
El decreto legislativo del 7 de octubre de 2026, n. 179 ajusta la normativa italiana a la Reglamento UE 2024/1689, es decir, la Ley de IA. Se publicó en Gazzetta Ufficiale El 7 de octubre, cuenta con 54 artículos y es en vigor desde el 23 de octubre de 2026.
Ten en cuenta que no lo confunda con el Decreto Legislativo 160/2026: Son dos actos distintos, y el 179 es el segundo decreto de adaptación, con obligaciones propias.
Además de la vigilancia y las sanciones, el texto disciplina los entornos de sandbox reguladores (espacios controlados para experimentar sistemas de IA), l‘uso de la IA’ en el trabajo y Formación en las profesiones reguladas.
AgID y ACN: quién vigila la inteligencia artificial en Italia
El decreto confía los poderes nacionales a vigilancia e Sanción a dos sujetos: AgID (Agencia para la Italia Digital) y ACN (Agencia para la Ciberseguridad Nacional). Para coordinarlos hay un único punto de contacto y un comité de coordinación.
Traducido: A partir de ahora existe alguien que puede preguntarte cómo utilizas la IA y pedirte que lo demuestres.
Por eso la La documentación interna se vuelve importante: lista de los instrumentos utilizados, las finalidades, quién los supervisa y qué formación se ha impartido.
Ley AI Act: hasta 35 millones de euros o el 7% del volumen de negocios
La sanción máxima llega a 35 millones de euros o al 7% del volumen de negocios mundial anual, si es superior. Aplica para las Prácticas prohibidas por el artículo 5 de la AI Act, Como la manipulación de los comportamientos o el social scoring.
No todas las violaciones cuestan millones.
Para aquellos casos de poca ofensividad o peligrosidad, el decreto también prevé medidas no pecuniarias en lugar de la multa.
El mensaje, sin embargo, es claro: el’La Ley de Inteligencia Artificial ahora se está aplicando.
Inteligencia artificial y trabajo: las decisiones finales siguen siendo responsabilidad de una persona
Esta es sin duda la novedad de la‘Impacto más inmediato.
Si una empresa utiliza la IA en procesos que afectan a personal, La decisión final sobre la contratación, modificación y rescisión del contrato debe ser Atender a una persona física. Lo mismo vale para Medidas disciplinas y evaluaciones Prestaciones.
La IA puede entonces Ayudar seleccionar un CV o leer datos, pero No puede ser ella quien decida.
Y la persona que decide debe tener un poder efectivo: un “sí” automático no basta con la opción del algoritmo.
Las personas que trabajan con estos sistemas también deben poder recibir explicaciones claras sobre las decisiones basadas en la inteligencia artificial.
¿Se ha aplazado la Ley de Inteligencia Artificial? ¿Qué cambia con el Digital Omnibus?
No, o mejor dicho: Solo en parte.
El Digital Omnibus, es decir, el Reglamento UE 2026/1744 en vigor desde el 27 de julio de 2026, tiene Se trasladan hacia adelante, sobre todo, los requisitos para los sistemas de alto riesgo. Todo lo demás mantuvo sus fechas.
- Prácticas prohibidas (artículo 5): Sin prorroga, en vigor desde el 2 de febrero de 2025.
- Alfabetización sobre la IA (artículo 4): Sin prorroga, en vigor desde el 2 de febrero de 2025.
- Transparencia y marcación de los contenidos (artículo 50), sistemas ya en el mercado: del 2 de agosto de 2026 al 2 de diciembre de 2026.
- Sistemas autónomos de alto riesgo (anexo III): del 2 de agosto de 2026 al 2 de diciembre de 2027.
- Sistemas de alto riesgo integrados en productos (anexo I): del 2 de agosto de 2027 al 2 de agosto de 2028.
En definitiva, leer “retardo” como “pausa” es el error más común para quienes no son expertos en legislación.
Los que utilizan la IA en el trabajo ya lo hacen hoy en día obligaciones vigentes, a partir de la formación de las personas.
Ley de IA: ¿qué deben hacer las empresas ahora?
No hace falta un departamento jurídico interno para empezar. Se necesitan orden y algunas decisiones tomadas a tiempo:
- Mapea los instrumentos de IA que utiliza. Chatbots, generadores de texto e imágenes, software de RRHH y CRM con funciones predictivas: agrupe todo en un solo lugar, con quiénes los utilizan y para qué.
- Forma a las personas. La alfabetización sobre IA es una obligación vigente ya, no un curso opcional.
- Revisar los procesos que afectan al personal. Si la IA entra en selección, evaluación o medidas, la decisión final debe quedar en manos de una persona.
- Actualiza las informaciones y los procedimientos internos. Los que trabajan contigo deben saber cuándo y cómo la IA interviene en las decisiones que les afectan.
- Documenta. En caso de control, importa lo que puedas demostrar, no lo que declaras.
Si la IA ha penetrado también en tus contenidos y campañas, lo hemos hablado en este artículo de nuestro blog: “De SEO a GEO: por qué en 2026 la redacción estratégica es el verdadero motor de su visibilidad en línea”, donde explicamos cómo GEO está cambiando la visibilidad en línea.
2 Pixel de seguimiento en los correos electrónicos: las directrices del Garante de la Protección de la Privacidad en vigor desde el 29 de octubre
El índice de apertura de tu newsletter tiene un precio, y a partir de este mes se llama consentimiento.
El 29 de octubre de 2026 es El plazo para adaptarse ha expirado a las directrices del Protector de la privacidad Sobre Píxeles de seguimiento en los correos electrónicos. Aquellos que envían boletines informativos, correos electrónicos promocionales o correos comerciales con estadísticas de apertura debe haber actualizado Información, Consentimientos y sistemas de revocación.
¿Qué es un píxel de seguimiento?
Un píxel de seguimiento es una imagen transparente de un solo punto del monitor.
No está dentro del correo electrónico: es almacenada en un servidor remoto y se carga cuando el mensaje llega abierto. En ese momento comunica a quien envió el correo electrónico que algo ha sucedido.
Según el Garante, dependiendo de los casos, el pixel puede recopilar Dirección IP, dispositivo Usado, tiempo de lectura y el número de aberturas. También puede detectar si el mensaje fue cancelado, enviado o Archivado.
Si no lo sabieras, se trata del mecanismo que se encuentra detrás de casi todas las estadísticas sobre la apertura de las plataformas de marketing por correo electrónico.
¿Qué contiene el Decreto 284/2026 del Garante?
Las directrices fueron adoptadas con el Disposición n.º 284 del 17 de abril de 2026 y se publicarán en el Boletín Oficial n. 98 del 29 de abril de 2026. El plazo de seis meses para adaptarse es Extindido hasta el 29 de octubre de 2026, como recordó el Garante en el comunicado del 5 de octubre.
El punto central es la perspectiva jurídica. El Garante trata al pixel como una Acceso al dispositivo del usuario, regulada por el artículo 122 del Código de Privacidad: la misma lógica que en el caso de la cookie.
En general, por lo tanto, el uso está prohibido sin consentimiento previo, salvo algunas excepciones.
Las directrices también clarifican los roles. El responsable del tratamiento es quien decide las finalidades y los medios del seguimiento., aunque la La parte operativa se encarga a una plataforma externa.
En pocas palabras: la información sobre el seguimiento debe darse siempre, independientemente del tipo de correo electrónico y de quien sea el remitente, público o privado.
Consentimiento al uso de tracking pixels en las newsletters: cómo obtenerlo
La buena noticia es que no se necesitan dos casillas. El consentimiento para el seguimiento puede ser recogido junto con el de recibir comunicaciones promocionales. Sin embargo, el texto del opt-in debe decirlo de manera Explicito y es neutro: Un consentimiento para recibir la newsletter que no menciona el seguimiento no cubre el seguimiento.
Para los Suscriptores que ya tiene, Las directrices piden que Introducir e comunicar Un mecanismo para revocar el consentimiento, incluso solo para el seguimiento. Es esa parte más difícil desde el punto de vista técnico: La plataforma debe poder enviar un correo electrónico a un único contacto sin píxeles ni enlaces rastreados.
Cuando los píxeles de seguimiento no requieren consentimiento
El Garante prevé algunas Excepciones en el que el píxel puede ser utilizado sin consentimiento específico:
- estadísticas en forma agregada;
- finalidades de seguridad;
- necesidades técnicas estrictamente necesarias;
- comunicaciones debidas, institucionales o de servicio.
También en estos casos se aplican la proporcionalidad y la minimización de los datos. El Supervisor también recomienda Medidas de privacidad por diseño, Por ejemplo, evitar que la dirección de correo electrónico del destinatario viaje en la solicitud generada por el pixel.
Inspecciones del garante y checklist para el email marketing
La fecha límite no es solo formal. Con el Decreto n. 545 del 23 de julio de 2026, el Supervisor incluyó la verificación de estas directrices en Piano de acción para agosto-diciembre de 2026. Los controles ya están programados.
Si aún no lo has hecho, Aquí es donde empezar:
- Comprueba si tu plataforma de envío utiliza píxeles y enlaces rastreados, y qué opciones ha lanzado para adaptarse a ello.
- Actualiza la información de privacidad con una sección dedicada a los tracking pixels: funcionamiento, datos recopilados, finalidades, base jurídica, conservación y revocación.
- Modifique el formulario de inscripción a la newsletter citando explícitamente el seguimiento.
- Informar a los suscriptores actuales sobre cómo revocar su consentimiento al seguimiento.
- Compruebe que la plataforma pueda excluir de la recopilación los contactos individuales que lo soliciten.
- Revisen los KPI: si una parte de los inscritos ya no está siendo rastreada, el índice de apertura cambia de significado.
El último punto cuenta más de lo que parece. Una newsletter se mide en términos de clics, respuestas y conversiones, no solo en términos de aperturas.
Marketing digital
(estrategia + creatividad)
Branding, redes sociales, gráfica y publicidad digital: construimos una comunicación coherente y estratégica para hacer crecer tu proyecto.
3 PHP2Shell: las vulnerabilidades críticas CVE-2026-109618 y CVE-2026-109619
El 21 de octubre PHP tuvo un mal día, y con él una buena parte del web.
Se han corregido dos Vulnerabilidades críticas que permiten Ejecutar código desde la distancia en servidores no actualizados. No es una falla de cualquier plugin: es el lenguaje en el que gira gran parte de los sitios web, incluido WordPress.
¿Qué son las vulnerabilidades PHP2Shell?
PHP2Shell es el nombre dado a dos vulnerabilidades del motor PHP, CVE-2026-109618 y CVE-2026-109619. Ambas tienen un puntaje CVSS v4.0 de 9,2 de 10 y permiten a un atacante Un atacante no autenticado ejecuta código en el servidor, con los privilegios del proceso web.
- CVE-2026-109618 Se activa cuando PHP consume la memoria mientras prepara una solicitud. Algunos datos se mantienen construidos en el medio y el código de limpieza los trata como válidos, abriendo el camino para que se ejecute el código.
- CVE-2026-109619 Se produce a partir de información que permanece después de que finalice una solicitud, después de que la memoria que la contenía haya sido liberada. Si el mismo proceso gestiona una solicitud posterior, puede leer esos datos que ya no son válidos.
La situación se ha deteriorado debido a la situación actual.
Los detalles se filtraron en línea el 20 de octubre, un día antes de las parches. Según Datadog, AWS detectó intentos de explotación desde el 17 de octubre. El 26 de octubre, la agencia estadounidense CISA incluyó ambas vulnerabilidades en el catálogo de vulnerabilidades activamente explotadas.
¿Qué servidores y sitios están expuestos (incluyendo WordPress)?
Está expuesta cualquier instalación PHP que responda a solicitudes web, independientemente del sitio o la aplicación que lo ejecute. Están involucrados PHP-FPM, Apache con mod_php (según PHP, el caso con mayor riesgo), php-cgi, FrankenPHP y LiteSpeed.
Así que sí: WordPress, WooCommerce, administradores y API escritos en PHP están todos afectados si el servidor no está actualizado.
Y la autenticación del sitio no está protegida: PHP procesa la solicitud maliciosa antes de que entre en juego cualquier código de la aplicación. Palo Alto Networks estimó que más de 22,6 millones de instancias potencialmente vulnerables estaban expuestas en línea.
Versiones PHP correctas: 8.5.12, 8.4.27, 8.3.36 y 8.2.35
La solución es actualizar PHP a una de estas versiones, o al paquete correcto que se le entregue por su proveedor de alojamiento web o su distribución de Linux:
- PHP 8.5 → 8.5.12
- PHP 8.4 → 8.4.27
- PHP 8.3 → 8.3.36
- PHP 8.2 → 8.2.35
Encuentra los avisos oficiales en php.net.
Existe una Reducción temporal que bloquea el recorrido de ataque conocido, pero no sustituye la actualización: Incluso los analistas que la han descrito la desaconsejan como una solución definitiva.
Si su sitio está en WordPress y No sabes qué versión de PHP está usando, Puedes verificarlo desde Página en Herramientas > Salud del sitio > Información > Servidor.
Cómo gestionamos la actualización de PHP en nuestros servidores
Hay quienes dicen que se resuelve en tres segundos, quizás preguntando a la IA. En un único sitio web, quizás. En decenas de servidores y proyectos en desarrollo, no.
Nos han servido horas.
Tenemos actualizado todas las máquinas, Luego tenemos Cada sitio y servicio revisado, uno por uno. La actualización de PHP es la parte más rápida. La parte que requiere tiempo es Compruebe que todo lo que tenemos encima sigue funcionando.Formularios, pagos, integraciones, áreas reservadas.
Para los sitios de WordPress que seguimos con nuestro gestión técnica Fue un procedimiento urgente, pero habitual: se actualiza, se verifica y se cierra.
1 suscripción 0 preocupaciones
Con WeggPress tu sitio WordPress es gestionado cada mes por profesionales, con actualizaciones, seguridad, copias de seguridad, alojamiento y asistencia incluidos.
Sitios web y administraciones con versiones PHP obsoletas: ¿por qué el riesgo es mayor
Para quienes tienen un sitio web o un software que no funciona desde hace años, el problema es mucho más grave.
Las correcciones oficiales se han publicado para las ramas desde el 8.2 en adelante. Aquellos que se quedaron con versiones anteriores No tiene que instalar ninguna actualización: primero debe actualizar la versión.
Y saltar de una versión antigua de PHP a una reciente suele provocar problemas: temas, plugins y funciones diseñadas a medida que nunca han sido actualizadas. Mientras no puedas actualizarte, sigues expuesto.
Es aquí donde una intervención de pocas horas puede convertirse en un proyecto que se gestiona con un desarrollo personalizado como los que seguimos con Synextya.
Desarrollo personalizado y tecnologías a tu servicio
Integrazioni, automazioni e funzionalità personalizzate: con Synextya transformamos necesidades complejas en soluciones sólidas.
Seguridad y cumplimiento digital: ¿qué enseñan las noticias de octubre?
Una ley, un plazo de privacidad y una vulnerabilidad. Parecen tres mundos diferentes, pero el esquema es el mismo: Los que se mueven el día en que sale la noticia llegan tarde.
Aquellos que ya tenían un listado de los instrumentos de IA utilizados vivieron el decreto 179 con tranquilidad. Aquellos que conocían su propia plataforma de envío de correo electrónico actualizaron la información y los formularios en un solo día. Aquellos que tenían servidores mantenidos cerraron PHP2Shell en pocas horas.
Los demás siguen sudando.
Y una cosa está clara: la seguridad y la conformidad no se improvisan.
Se construyen todos los días, uno tras otro. Mantenimiento continuo del sitio, de los datos y de los procesos. No es la parte más divertida del digital, pero es la que Te evita las peores sorpresas.
Si quieres saber de dónde empezar y/o buscar apoyo técnico, Solicite una consulta.
Novedades digitales que llegarán en noviembre y diciembre de 2026 (+ 1 en 2027)
Memoriza estas fechas:
- Hasta diciembre de 2026: inspecciones del Garante. El plan de agosto a diciembre incluye la verificación de las directrices sobre los tracking pixels. Aquellos que aún no se han adaptado tienen poco tiempo.
- 2 de diciembre de 2026: transparencia de la IA (artículo 50). Se prorroga la prórroga para los sistemas de IA ya en el mercado hasta el 2 de agosto de 2026. Afecta los requisitos de transparencia y la marcación de los contenidos generados por la IA, como los sellos de agua.
- En las próximas semanas: PHP2Shell. Con los exploits públicos en circulación, los intentos de ataque contra los servidores no actualizados continuarán. Es recomendable comprobar que los entornos de prueba, staging y subdominios antiguos también hayan sido actualizados.
En poco más de 1 año, el 2 de diciembre de 2027, llegarán los requisitos para los sistemas de IA de alto riesgo. Hablaremos de ello más adelante.
Preguntas frecuentes sobre las noticias digitales de octubre de 2026
Las preguntas más frecuentes que hemos recibido de nuestros clientes y comunidad en estas semanas, con respuestas breves y directas.
¿Desde cuándo está vigente el decreto italiano sobre el AI Act?
El decreto legislativo 179/2026 está en vigor desde el 23 de octubre de 2026. Se publicó en la Gaceta Oficial del 7 de octubre de 2026 y adapta la normativa italiana al AI Act europeo.
¿Quién controla el uso de la inteligencia artificial en Italia?
Los poderes de vigilancia y sanción recaen en AgID y ACN, coordinados por un único punto de contacto y un comité de coordinación.
¿Se ha aplazado la Ley de IA?
Solo en parte. El Digital Omnibus ha pospuesto las obligaciones relativas a los sistemas de alto riesgo hasta el 2 de diciembre de 2027 y el 2 de agosto de 2028. Las prohibiciones y la alfabetización sobre la IA ya están en vigor desde el 2 de febrero de 2025.
¿Se requiere consentimiento para los píxeles de seguimiento en las newsletters?
Sí, salvo excepciones como estadísticas agregadas, seguridad o comunicaciones de servicio. El consentimiento puede ser recogido junto con el consentimiento para la newsletter, siempre que el texto del opt-in cite explícitamente el seguimiento.
¿Qué riesgos corre quien no se ha ajustado a las directrices sobre los tracking pixels?
El plazo venció el 29 de octubre de 2026 y el Garante incluyó estas verificaciones en el plan de inspección hasta diciembre de 2026. Las personas que utilicen píxeles sin información y consentimiento podrán ser objeto de controles y medidas.
¿Qué es PHP2Shell y cómo sé si mi sitio web es vulnerable?
PHP2Shell es una pareja de vulnerabilidades críticas de PHP (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar código desde un remoto. El sitio está en riesgo si el servidor utiliza una versión de PHP anterior a 8.5.12, 8.4.27, 8.3.36 o 8.2.35.
¿Está en riesgo WordPress con PHP2Shell?
Sí, si el servidor en el que gira no está actualizado. La vulnerabilidad está en PHP, no en WordPress: actualizar los plugins y el tema no es suficiente, se necesita actualizar PHP.