«Patch Tuesday» de Microsoft de noviembre de 2026: una de las 1.095 vulnerabilidades obtuvo una puntuación de 6,5 y está siendo objeto de ataques

La única vulnerabilidad de Microsoft que se ha explotado este mes tiene una calificación de «moderada» y presenta el nivel más alto de madurez de explotación que otorga Microsoft. Fue descubierta por un investigador mediante inteligencia artificial y ya se estaba utilizando en el mundo real. Por otra parte, el fallo que realmente permitió obtener acceso root en los cortafuegos este mes no pertenecía en absoluto a Microsoft.

De un vistazo

El recuento de entradas corresponde a los CVE clasificados por Microsoft con una calificación de impacto, excluyendo 267 CVE de terceros republicados (paquetes de Azure Linux / Mariner, CVE de Chromium asignados por Google). Si se incluyen estos, el documento contiene 1.362 entradas. Tenable y Krebs informan de 1.093, ZDI de aproximadamente 1.090 y BleepingComputer de 1.235, según criterios diferentes. Nuestra cifra procede de la revisión del 11 de noviembre. Noviembre supone un descenso del 23 % respecto a los 1.418 de octubre —el segundo mes con cifras de cuatro dígitos, aunque no un nuevo récord—.

La liberación, por clase de impacto

1.095 CVE creados por Microsoft.

La escalada de privilegios representa el 49 % de la vulnerabilidad y requiere primero un punto de acceso. La ejecución remota de código es la categoría que se produce sin necesidad de ello. Tenable contabiliza 287 productos afectados; los más afectados son Office Word (65), Office Excel (64) y SQL Server (53).

Lo que realmente importa este mes

Cinco cosas, por orden de prioridad.

1. La única vulnerabilidad de Microsoft que se ha explotado obtuvo una puntuación de 6,5, y Microsoft califica su madurez de explotación como «alta».

Ese es el nivel más alto de la escala: código de explotación ampliamente disponible y fiable. CVE-2026-124194 es una vulnerabilidad de Outlook que filtra hash NTLM, y el CVSS la subestima porque el impacto se limita a la confidencialidad y requiere la interacción del usuario. De las 1.095 CVE, 1.084 están clasificadas como «Sin confirmar» y otro se sitúa en «Prueba de concepto». El CVSS lo calificó como «Moderado». La madurez del exploit indicaba que se podía actuar de inmediato.

2. Su parche no está incluido en la actualización acumulativa de Windows

La corrección se incluye en las — Microsoft 365 Apps for Enterprise y Office LTSC 2021/2024 —, no en KB5132061. Un entorno que implemente el paquete acumulativo mensual de Windows y dé el asunto por zanjado seguirá estando expuesto. La fecha límite de la CISA es el 24 de noviembre.

3. La IA apareció en ambos lados del mismo mes

Microsoft atribuye el descubrimiento de la vulnerabilidad de Outlook a un investigador que trabajaba «utilizando Claude con Anthropic», y la vulnerabilidad ya estaba siendo explotada cuando se detectó. En el mismo contexto, los atacantes utilizaron la asistencia de la IA para crear la cadena de explotación php2shell que les permitió obtener privilegios de root en los cortafuegos de Palo Alto. Tanto el descubrimiento como la explotación se aceleraron en el mismo ciclo de noticias.

4. El verdadero problema de este mes vino de PHP, no de Microsoft

CVE-2026-109618 y CVE-2026-109619 son vulnerabilidades de ejecución remota de código (RCE) sin autenticación en el propio núcleo de PHP — EPSS 0,9999, el valor más alto de cualquier CVE en este periodo. El honeypot de Amazon detectó un intento de explotación cuatro días antes de la divulgación pública, cuando aún estaba bajo embargo. Al menos 25 cortafuegos de Palo Alto fueron comprometidos. Nada de esto aparece en las actualizaciones del «Patch Tuesday».

5. El volumen sigue disminuyendo a medida que se reduce el riesgo

1.095 CVE de Microsoft, una de ellas explotada: un 0,09 %. Los datos de VulnCheck muestran que los CVE publicados han aumentado un 45 % respecto al año anterior, mientras que los casos de explotación confirmados han crecido un 10 %, y el porcentaje de vulnerabilidades explotadas ha descendido al 1,4 % desde un máximo del 2,7 %. Sin embargo, el tiempo medio transcurrido desde la publicación hasta la explotación se ha reducido de 120 a 80 días. La acumulación se está diluyendo; la mecha se está acortando.

Orientaciones sobre medidas de mitigación

Las cinco correcciones de Microsoft que requieren un plan, no solo un parche. Para cada una de ellas: qué hace realmente un atacante con ella, en qué hay que fijarse en tu propio entorno y qué hay que hacer además de instalar la actualización.

CVE-2026-124194 — Microsoft Outlook, divulgación de hash NTLM

VULNERABILIDAD EXPLOTADA · CVSS 6,5 · Madurez del exploit: Alta · KEV con vencimiento el 24 de noviembre de 2026 · CWE-356

Microsoft lo clasifica como suplantación de identidad; en la práctica, se trata de una filtración de credenciales. Un archivo de mensaje manipulado hace que Outlook se conecte a una ubicación controlada por el atacante sin la advertencia habitual sobre contenido externo, y Windows se autentica automáticamente, revelando el hash NTLMv2 del usuario. La puntuación de 6,5 refleja únicamente el impacto en la confidencialidad, además de la interacción necesaria; no dice nada sobre el valor que tiene una credencial de dominio retransmitida.

Cómo aprovechan esto los atacantes

• Envía un archivo de mensaje creado a medida; el usuario lo abre. El panel de vista previa no es un vector ; hay que abrir el archivo.
• Outlook se conecta al servidor de salida y Windows realiza la autenticación automática, lo que deja al descubierto el hash NTLMv2.
• Úsalo en tiempo real contra cualquier servicio que no disponga de firma SMB/LDAP o de «Protección ampliada para la autenticación», o descifralo sin conexión cuando te apetezca.

Aspectos a tener en cuenta

• Tráfico saliente SMB (puerto 445) hacia destinos externos poco después de abrir un archivo de mensajes.
• Intentos de autenticación NTLM en destinos de Internet: comprueba el registro de eventos «NTLM Operational».
• Si realmente se aplican la firma SMB, la firma LDAP y el EPA. Son estos elementos los que convierten un hash filtrado tras una brecha de seguridad en un simple inconveniente.
• No se han publicado los códigos de identificación de objetos (IOC) ni se ha identificado a ningún responsable, por lo que la única opción es la búsqueda basada en el comportamiento.

Orientaciones sobre medidas de mitigación

• Instala la actualización de Office, no solo el paquete acumulativo de Windows. Microsoft 365 Apps for Enterprise y Office LTSC 2021/2024 incluyen la corrección. Esta es la situación en la que es más probable que creas que has aplicado el parche cuando en realidad no lo has hecho.
• Los dispositivos finales antes que los servidores. La entrega se realiza por correo electrónico y el destinatario es una persona.
• Activa la firma SMB y LDAP, así como la «Protección ampliada para la autenticación», si aún no lo has hecho. Estas medidas contrarrestan el ataque de retransmisión en todas las variantes futuras de este tipo, no solo en esta CVE.
• Bloquea el tráfico SMB saliente en el perímetro. Rara vez hay una razón legítima para ello.

CVE-2026-116928 — Componente de búsqueda de Windows, ejecución remota de código

CRÍTICO · CVSS 9,8 · AV:N / PR:N / UI:N · Desencadenante: archivo adjunto indexado · Aún no se ha explotado

RCE previa a la autenticación sin interacción por parte del usuario. El detalle que la distingue de las demás vulnerabilidades con puntuación de 9,8: un archivo adjunto malicioso enviado a un servidor Exchange se procesa automáticamente al indexarse. Nadie abre nada. Para solucionarla por completo, es necesario aplicar tanto el parche de Windows como el de Exchange.

Cómo aprovechan esto los atacantes

• Envía un archivo adjunto creado a cualquier buzón de correo de un servidor Exchange que tenga activada la indexación.
• El indexador de búsqueda lo analiza y lo ejecuta antes de que un usuario vea el mensaje.

Aspectos a tener en cuenta

• Servidores Exchange con la indexación de contenidos activada —que son la mayoría—.
• Procesos secundarios inesperados procedentes del indexador de búsqueda o de los componentes de transporte de Exchange.
• Servidores de archivos con Windows Search activado en recursos compartidos que admiten subidas de archivos.

Orientaciones sobre medidas de mitigación

• Parche ambos Windows como Exchange. La mitad de la solución deja la puerta abierta.
• Trátalo con la misma urgencia que el elemento explotado: sin autenticación, sin interacción y mediante un mecanismo de distribución que todas las organizaciones ya utilizan.
• Comprueba que la actualización haya llegado a todos los servidores del DAG, no solo al que has probado.

CVE-2026-119958 — LDAP de Windows, ejecución remota de código

CRÍTICO · CVSS 9,8 · Escritura fuera de límites · AV:N / PR:N / UI:N · Aún no se ha explotado

Escritura fuera de límites sin autenticación en el servicio LDAP. El servicio LDAP se ejecuta en todos los controladores de dominio, lo que convierte este problema en el equivalente, en noviembre, al problema del DNS: el servicio vulnerable y los activos más valiosos se encuentran en el mismo servidor.

Cómo aprovechan esto los atacantes

• Envía tráfico LDAP manipulado a un controlador de dominio accesible. Sin credenciales, sin hacer clic en nada.
• Ejecutar en el contexto del servicio LDAP; en un controlador de dominio (DC), es decir, en el propio directorio.

Aspectos a tener en cuenta

• ¿Qué redes pueden acceder a los puertos 389/636 de tus centros de datos? La respuesta suele ser «más de las que te gustaría».
• El servicio LDAP se bloquea o se reinicia sin que se haya producido ningún cambio correspondiente.
• Centros de datos expuestos a segmentos de invitados, de acceso remoto o de tecnología operativa (OT).

Orientaciones sobre medidas de mitigación

• Primero los controladores de dominio, antes que el conjunto general de servidores. Todo lo demás del directorio depende de ellos.
• Limita la accesibilidad a LDAP durante la implementación. Los controles de red permiten ganar tiempo; solo el parche soluciona el error.
• Ya que estás ahí: si no se exige la firma LDAP, este mes te ofrece dos motivos independientes para solucionarlo.

CVE-2026-88218 — Windows DNS Server, ejecución remota de código

CRÍTICO · CVSS 9,8 · AV:N / PR:N / UI:N · 4 CVE de DNS en este ciclo · Aún no se ha explotado

Ejecución remota de código sin autenticación en el DNS de Windows, una de las cuatro vulnerabilidades de DNS de este ciclo y parte de las 30 CVE que ZDI considera susceptibles de propagarse como gusanos. En la mayoría de los entornos, el servicio DNS Server se ejecuta en los controladores de dominio, por lo que esta vulnerabilidad afecta al mismo lugar que la de LDAP mencionada anteriormente, lo que significa que una sola ventana de mantenimiento permite solucionar ambas.

Cómo aprovechan esto los atacantes

• Envía un paquete manipulado a cualquier servidor DNS de Windows al que se pueda acceder.
• Se ejecuta en el contexto del servicio DNS; en un controlador de dominio co-residente, esto supone una vía directa para comprometer el dominio.

Aspectos a tener en cuenta

• Servidores DNS que comparten un host con Active Directory: realiza un inventario antes de programar la tarea, no durante la misma.
• Se puede acceder al DNS de Windows desde las VLAN de los usuarios, los rangos de acceso remoto o Internet.
• Las otras tres vulnerabilidades (CVE) de DNS incluidas en esta versión deben corregirse como un todo.

Orientaciones sobre medidas de mitigación

• Combínalo con el parche LDAP en una única ventana de mantenimiento del servidor de dominio. El hecho de que haya dos versiones 9.8 en el mismo servidor justifica adelantar la ventana.
• El hecho de que el acceso sea «solo interno» no constituye una medida de mitigación cuando el punto de entrada inicial es un ordenador portátil obtenido mediante phishing.
• Comprueba el estado del servicio tras la actualización acumulativa: cuatro correcciones de DNS en un mismo ciclo suponen una superficie de regresión mayor de lo habitual.

CVE-2026-119952 — Schannel de Windows, ejecución remota de código

CRÍTICO · CVSS 8,1 · Probabilidad de explotación elevada · AV:N / PR:N / UI:N · Aún no se ha explotado

Schannel es la implementación de TLS de Windows; se encuentra en la base de cualquier proceso que establezca una conexión cifrada. Aunque tiene una puntuación inferior a la de las vulnerabilidades mencionadas anteriormente, es una de las muy pocas que en esta publicación han recibido la calificación de «Mayor probabilidad de explotación», lo que indica que Microsoft está señalando de dónde espera que provenga la próxima explotación.

Cómo aprovechan esto los atacantes

• Accede a cualquier servicio que utilice Schannel para establecer la conexión TLS: IIS, RDP, LDAPS, SMB sobre TLS.
• Ejecutar durante el proceso de establecimiento de la conexión, antes de que se complete la autenticación.

Aspectos a tener en cuenta

• Todos los servicios de Windows conectados a Internet que establecen conexiones TLS. El alcance del problema es mayor de lo que sugiere el nombre de cualquier producto concreto.
• Los errores de Schannel o los fallos en el establecimiento de conexión se acumulan en los registros de eventos del sistema.

Orientaciones sobre medidas de mitigación

• Hay que dar más peso a la evaluación de Microsoft que a la de 8,1. «Mayor probabilidad de explotación» es una valoración prospectiva; el CVSS es una descripción estática.
• Primero los terminadores TLS que dan a Internet y, después, los internos.
• No hay ninguna solución alternativa de configuración: Schannel no se puede desactivar. La actualización es el mecanismo de control.

Publicaciones de terceros

Dónde se produce realmente la explotación. Cuarenta y dos de las cuarenta y tres vulnerabilidades CVE cuya explotación se ha confirmado en este periodo procedían de fuera de Microsoft. Nueve de ellas corresponden a dispositivos periféricos o de perímetro.

PHP y Palo Alto

php2shell · EPSS 0,9999 · EXPLOTADO

CVE-2026-109618 y CVE-2026-109619 son vulnerabilidades de ejecución remota de código (RCE) sin autenticación en el propio núcleo de PHP, reveladas el 21 de octubre. Una de ellas corrompe la memoria durante la limpieza de la solicitud tras una condición de falta de memoria; la otra reutiliza un estado de solicitud obsoleto en un proceso de trabajo reciclado. Afectan a todas las instalaciones de PHP que atienden solicitudes web —PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed—, siendo mod_php el más vulnerable, ya que la explotación se produce antes de que se ejecute el código de la aplicación. Corregidas en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

El honeypot «MadPot» de Amazon registró un intento de explotación el 17 de octubre, cuatro días antes de su divulgación y aún bajo embargo. Los atacantes lo combinaron con un fallo de escalada de privilegios del kernel denominado «Fragnesia» para desplegar shells web con privilegios de root en las interfaces de gestión de los cortafuegos de Palo Alto; Dream Research detectó al menos 25 dispositivos comprometidos. Palo Alto: «No se requiere ninguna configuración especial para verse afectado». Según SecurityWeek, los atacantes utilizaron asistencia de IA para construir la cadena de ataque.

Ivanti

Conectar Secure · cadena cerrada · EXPLOTADO

El informe de octubre señalaba que la cadena «Connect Secure » tenía un eslabón sin parchear. Ahora ya se ha solucionado. Los vulnerabilidades CVE-2026-111357 (CVSS 8,8, falta de autenticación en el servicio de mantenimiento raíz dsinvoked) y CVE-2026-118527 (4,3, identificadores predecibles que permiten la carrera de carga) se publicaron el 29 de octubre en las versiones 25.1.1.3 y 22.8R2.6. Ambas entraron en KEV el 30 de octubre; la fecha límite para la 118527 es el 13 de noviembre, dentro de dos días.

Merece la pena leer el análisis detallado de Volexity sobre UTA0576: la fase «dsinvoked» ejecutó una carga útil en Python que modificó temporalmente una biblioteca en memoria, redirigió una tarea de mantenimiento para que se ejecutara como root y, a continuación, restauró la configuración original y el estado de la memoria. Sin shell web, sin puerta trasera persistente: los comandos se transmitían a través de repetidas solicitudes HTTPS. Tras la explotación, se obtuvieron las contraseñas de administrador de LAPS de Windows y las claves de recuperación de BitLocker. El dispositivo comprometido estaba totalmente actualizado en ese momento. «Un resultado limpio en la comprobación de integridad por sí solo no descarta que se haya producido una compromisión».

Adobe

110 CVE · 9 boletines · CRÍTICO

Adobe Connect es la noticia principal — APSB26-191, 24 CVE, de los cuales 18 son críticos, con una puntuación máxima de 10,0 en la escala CVSS y accesibles a través de la red sin necesidad de autenticación ni interacción por parte del usuario. ZDI lo califica como el boletín de Adobe más extenso y grave del mes. Experience Manager (APSB26-189) suma 14 más, entre los que se incluyen cuatro con una puntuación de 9,9 que solo requieren una cuenta con privilegios bajos.

Solo esos dos son de Prioridad 2; los siete boletines restantes son de Prioridad 3. Ninguna de las vulnerabilidades del lote de Adobe de este mes ha sido objeto de explotación, pero CVE-2026-48356, una vulnerabilidad que permite la subida de archivos sin restricciones en Commerce y Magento, entró en el KEV el 27 de octubre con un EPSS de 0,475. Este es el tercer mes consecutivo en el que se ha confirmado que se ha explotado una vulnerabilidad de Adobe Commerce.

SAP

43 notas · 12 Noticias destacadas · CRÍTICO

Onapsis lo califica de récord: 43 notas de seguridad nuevas y actualizadas, 12 «HotNews» y cuatro vulnerabilidades con puntuación CVSS 10.0, todas ellas sin necesidad de autenticación. Dos de ellas forman el par de vulnerabilidades de corrupción de memoria ICM2SHELL: CVE-2026-76964 (NetWeaver AS ABAP) y CVE-2026-89126 (Web Dispatcher y HANA XSA). CVE-2026-89103 es PROXYGATE, un fallo en el control de acceso en SAP Gateway, y CVE-2026-120017 es una falta de autenticación en el proveedor de servicios SAML2 de NetWeaver.

Dos trampas operativas. PROXYGATE requiere un cambio manual de los parámetros del perfil tras la aplicación del parche — el parche por sí solo no lo cierra. Además, SAP desaconseja expresamente la solución alternativa de desactivar WebSocket para ICM2SHELL. Los investigadores han facilitado a SAP exploits que funcionan; aún no se ha informado de ningún caso de explotación en el mundo real.

Dispositivos periféricos

Citrix · SonicWall · Barracuda · VULNERABILIDADES EXPLOTADAS

Barracuda Es la última novedad: CVE-2026-116606 (elusión de autenticación) y CVE-2026-111560 (inyección de comandos del sistema operativo) se encadenan de forma explícita; Barracuda confirma ataques contra «un pequeño número de organizaciones»; watchTowr ha publicado el código de explotación, y ambas vulnerabilidades vencen el 13 de noviembre.

La vulnerabilidad CVE-2026-19868 (7.1) de SonicWall permite a un usuario con credenciales válidas que no sean SAML eludir la autenticación multifactorial (MFA) impuesta por SAML en la VPN SSL. No hay solución provisional; las correcciones son las versiones 7.3.4-7013 y 8.2.3-8015, cuyo lanzamiento está previsto para el 20 de noviembre. Citrix publicó el 8 de octubre el CVE-2026-107406 (CVSS 9,5, NetScaler configurado con SAML), así como un paquete acumulativo independiente para php2shell en las versiones 14.1-73.49 y 13.1-64.32, que también incluye las correcciones de septiembre y octubre.

Mozilla Firefox

160 · 99 CVE · SIN EXPLOTACIÓN

Firefox 160 (MFSA 2026-125) se lanzó el «Patch Tuesday» con 99 CVE: 57 de nivel alto, 24 de nivel moderado, 18 de nivel bajo y ninguna de nivel crítico. También se lanzaron las versiones ESR 115.45 y 153.7, además de Thunderbird 160 y 153.7. Noventa y nueve vulnerabilidades en una sola versión del navegador superan con creces la media histórica de Mozilla y siguen el mismo patrón de volumen que el de Microsoft, aunque Mozilla no lo ha atribuido públicamente a la detección asistida por IA.

Apple

Una vulnerabilidad CVE de 2024, ya utilizada con fines maliciosos · EXPLOTADO

El 9 de noviembre, Apple lanzó las versiones 27.2.1, 26.7.3 y 18.7.12 de iOS/iPadOS, además de tres ramas de macOS. El hecho de que haya tres ramas simultáneas de iOS ya es en sí mismo una señal —Lee Neely, de SANS: «Me llama la atención cuando Apple publica correcciones para más de dos versiones».

El caso más interesante es más antiguo. CVE-2024-27834 —una vulnerabilidad de elusión de la autenticación de punteros con una puntuación CVSS de 5,5 que Apple corrigió en mayo de 2024— se incorporó a KEV el 4 de noviembre. Sekoia atribuye su explotación a APT29 / Midnight Blizzard, llevada a cabo a través de sitios web legítimos comprometidos y un ataque a la cadena de suministro del rastreador SEO Plerdy, en una cadena de ataque «zero-click» que culminaba en un infostealer dedicado al robo de cookies. Un fallo de gravedad media de hace dos años y medio, utilizado como arma por un actor estatal.

Qué significa esto si realizas envíos Software

La tendencia que define este mes no es el volumen. Es que los dos sucesos más trascendentales —el descubrimiento de la única vulnerabilidad de Microsoft que se había explotado y la violación de la seguridad de los cortafuegos de Palo Alto— estuvieron relacionados, ambos en bandos opuestos, con la asistencia de la inteligencia artificial, en un intervalo de tres semanas. Un investigador la utilizó para encontrar un fallo que ya se estaba explotando. Un atacante la utilizó para crear una cadena de ataques que le permitió obtener acceso root en los dispositivos de producción.

Y lo que realmente provocó las brechas de seguridad fue PHP: una dependencia, no un producto. Lo fundamental es saber qué hay dentro de tu producto y en tus terminales antes de que se publique el CVE. Esa es la cadena que mapea el panel de detección y aplicación de parches de OESIS: qué aplicación está instalada, qué CVE contiene y si ya existe un parche.

Matriz de prioridades

Cuatro bandas, empezando por la más grave. La clasificación se establece en función de la exposición y la explotación, no según el CVSS; por eso una puntuación de 6,5 ocupa el primer puesto y una de 10,0 se sitúa al final. El análisis se centra en el software que la mayoría de las organizaciones utilizan realmente; el conjunto de datos completo abarca las 43 vulnerabilidades CVE explotadas y todos los proveedores incluidos en el ciclo.

P1 — AHORA En las próximas 24 horas 19 de 43 explotados

Se ha confirmado su explotación en el mundo real —observada, no prevista—. Ordenadas de más reciente a más antigua: las primeras filas corresponden a lo que no se trató en el último ciclo.

Las vulnerabilidades de Microsoft y Chrome no tienen EPSS porque el modelo aún no las había puntuado cuando se tomó esta instantánea. Las 24 vulnerabilidades CVE explotadas restantes se encuentran en servidores multimedia, dispositivos de copia de seguridad, herramientas de desarrollo y el lote heredado del 8 de octubre; las 43 se pueden consultar en el panel de control de CVE de OPSWAT .

P2 — ESTA SEMANA En un plazo de 72 horas 12 de 32

Windows, sin autenticación, accesible desde la red, sin interacción del usuario. No hace falta hacer clic en nada para que estos factores modifiquen tu nivel de exposición. Server : primero los roles; y ten en cuenta que tanto el DNS como el LDAP se alojan en controladores de dominio.

Este mes no hay columna sobre el EPSS. En el momento de realizar esta instantánea, el modelo solo había detectado 1 de las 1.095 vulnerabilidades CVE de Microsoft, frente a una cobertura casi total en octubre, tras una ejecución realizada prácticamente a la misma hora. Las puntuaciones del EPSS llegan según su propio calendario, y una columna con guiones implicaría un riesgo bajo en lugar de la ausencia de datos. De todos modos, para las explotaciones confirmadas, nunca ha sido la señal de clasificación adecuada.

P3 — ESTE CICLO En un plazo de 7 días 8 CVE

Son críticas y accesibles, pero cada una requiere una condición previa: una credencial, una sesión autenticada o un archivo entregado. La fila «Prueba de concepto» debe incluirse aquí, en función de la madurez del exploit, independientemente de su puntuación.

P4 — SIN MEDIDAS Solo a título informativo 4 CVE

Por parte del servicio. Microsoft ha solucionado estos problemas en su propio entorno; el cliente no tiene que implementar nada. Cada mes publican una clasificación CVSS sin procesar, y esa es precisamente la razón por la que aparecen aquí, en lugar de dejarlos sin mencionar y crear confusión.

El plan de 72 horas

Lo que la matriz de prioridades no te dice.

¿Qué es lo próximo en el calendario?

Fuentes

En primer lugar, los avisos de los proveedores principales.

1. Centro de Respuesta de Seguridad de Microsoft, documento CVRF de noviembre de 2026, revisión del 11 de noviembre de 2026: lista canónica de CVE, puntuaciones CVSS asignadas por Microsoft y vectores temporales.
2. Catálogo de vulnerabilidades explotadas conocidas de la CISA y FIRST EPSS.
3. Zero Day Initiative: análisis de la actualización de seguridad de noviembre de 2026.
4. Tenable: el «Patch Tuesday» de noviembre de 2026 corrige 1.093 CVE; Krebs on Security; Rapid7.
5. Avisos del PHP Group sobre CVE-2026-109618 y CVE-2026-109619; el registro de productos «php2shell» del NCSC-NL; artículo de SecurityWeek sobre las brechas de seguridad en Palo Alto.
6. Volexity sobre UTA0576 e Ivanti Connect Secure; avisos de seguridad de Ivanti sobre CVE-2026-111357 y CVE-2026-118527.
7. Onapsis, Día de parches de seguridad de SAP, noviembre de 2026.
8. Boletines de seguridad de Adobe (APSB26-191, -189 y otros).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; alertas de Barracuda; The Hacker News sobre CVE-2024-27834 y APT29.
11. VulnCheck sobre vulnerabilidades detectadas mediante IA y tasas de explotación.

Metodología. El recuento total corresponde a los CVE que Microsoft ha clasificado con una calificación de impacto en el CVRF, excluyendo 267 CVE de terceros republicados. Los valores CVSS y de madurez de explotación de Microsoft son asignados por el proveedor a partir del CVRF; los valores CVSS de terceros proceden del NVD o del propio proveedor cuando la CISA no publica ninguno. El EPSS es un modelo de predicción y se incluye a título informativo, sin que se utilice nunca para clasificar las explotaciones confirmadas; este mes solo había puntuado una de las 1.095 CVE de Microsoft en el momento de la recopilación de datos, por lo que no aparece en las tablas de Microsoft. La matriz de prioridades se limita al software empresarial convencional; el conjunto de datos subyacente abarca las 43 CVE cuya explotación se ha confirmado entre el 8 de octubre y el 10 de noviembre, así como a todos los proveedores incluidos en el ciclo. El estado de explotación refleja la información del KEV de la CISA y la confirmación del propio proveedor, no las afirmaciones de terceros.

Datos a 11 de noviembre de 2026. CISA KEV y EPSS se actualizan continuamente, y Microsoft revisa el CVRF tras su publicación; las cifras aquí recogidas reflejan la revisión del 11 de noviembre y el catálogo tal y como estaba esa mañana. Las recomendaciones de mitigación son generales y se derivan de las características publicadas de cada vulnerabilidad; no sustituyen a las pruebas realizadas en su propio entorno.