Categoría: En el mundo.
Patch Tuesday de noviembre: más de 1,000 CVE y un zero-day de Outlook explotado
Microsoft corrige más de 1,000 CVE en noviembre, incluido un zero-day de Outlook explotado y ya en KEV, además de críticas en Exchange, AD, Windows Search y LDAP.
CISA suma a KEV una falla de spoofing en Outlook (CVE-2026-124194) con explotación activa
CISA agregó a KEV una falla de spoofing en Outlook (CVSS 6.5) ya explotada. Qué sabemos, por qué importa en LATAM y cómo priorizar el parchado.
Chrome: use-after-free en XML (CVE-2026-125350) explotado; CISA lo suma a KEV
Google parchó en Chrome 157 un use-after-free en XML ya explotado (CVE-2026-125350). Afecta también a Edge y Opera; qué hacer para cubrir la flota.
Binance alerta por escape del sandbox de iOS 26 y 27 con exploit público; Apple no confirma parche
Un escape del sandbox de iOS 26 y 27 con exploit público pone en riesgo datos de otras apps; Binance alerta y Apple no confirma si sus parches del 9 de nov. lo corrigen.
Explotan falla crítica de evasión de autenticación en Xen Orchestra para tomar hosts XCP-ng
Vates confirmó explotación activa de una evasión de autenticación en Xen Orchestra que permite privilegios de Admin y control root de hosts XCP-ng. Ya hay parche.
SAP corrige cuatro fallas CVSS 10 sin autenticación: ICM2SHELL y PROXYGATE
SAP corrigió 35 fallas en noviembre, cuatro con CVSS 10 y sin autenticación en NetWeaver, Web Dispatcher y Gateway (ICM2SHELL y PROXYGATE). Qué parchar y qué revisar primero.
Barracuda confirma explotación activa de fallas en ESG que dan acceso root; ya hay parche
Barracuda confirmó explotación activa de dos fallas en su Email Security Gateway que, encadenadas, dan root. Hay parche desde el 2 de noviembre; la Admin UI debe quedar fuera de internet.
Google corrige el octavo zero-day de Chrome en 2026, ya explotado en ataques
Google parchó CVE-2026-125350, un use-after-free en el componente XML de Chrome con exploit en uso real. Es el octavo zero-day del navegador en 2026; actualizar a 157.0.8103.50 o posterior.
N-able baja N-central alojado y pide apagar servidores locales tras divulgarse 33 fallas
N-able bajó N-central alojado y pidió apagar servidores locales tras la publicación de unas 33 fallas sin parche (Able2Shell) con PoC. El riesgo para MSPs y sus clientes es alto.
Explotan Plex2Shell, cadena de 4 fallas, contra Plex Media Server en NAS QNAP
Atacantes explotan Plex2Shell, cadena de cuatro CVE en Plex Media Server, para comprometer NAS QNAP. Hay parche (1.43.3.10861) y conviene revisar exposición a internet.