NHS England Digital, en un aviso actualizado el 20 de noviembre de 2025, afirmó no haber observado una explotación activa de la vulnerabilidad CVE-2025-11001 (CVSS: 7.0), pero señaló que tiene "conocimiento de una vulnerabilidad pública de explotación de prueba de concepto".

 Fortinet ha publicado el pasado jueves 14 de noviembre un parche de seguridad para corregir una vulnerabilidad en sus productos FortiWeb calificada como de riesgo crítico y que ya está siendo explotada en entornos reales.

Google publicó actualizaciones de seguridad para su navegador Chrome para solucionar dos fallos de seguridad, uno de los cuales ha sido explotado activamente.

Los ciberdelincuentes están explotando activamente una vulnerabilidad crítica en el plugin Post SMTP instalado en más de 400.000 sitios de WordPress, para tomar el control total secuestrando cuentas de administrador.

 Sansec ha confirmado la explotación activa de la vulnerabilidad crítica CVE-2025-54236 (“SessionReaper”) con unos 250 intentos en un solo día. Se calcula que el 62% de las tiendas que utilizan estas plataformas siguen expuestas.

 Los atacante que se cree que están asociados con China han aprovechado la vulnerabilidad ToolShell (CVE-2025-53770) en Microsoft SharePoint en ataques dirigidos a agencias gubernamentales, universidades, proveedores de servicios de telecomunicaciones y organizaciones financieras.

 Microsoft ha lanzado actualizaciones de seguridad fuera de banda (OOB) para corregir una vulnerabilidad crítica del Servicio de Actualización de Windows Server (WSUS) con un código de explotación de prueba de concepto disponible públicamente.

Microsoft anunció la renovación del modo de Internet Explorer (IE) en su navegador Edge tras recibir "informes creíbles" en agosto de 2025 que indicaban que actores de amenazas desconocidos estaban abusando de la función de retrocompatibilidad para obtener acceso no autorizado a los dispositivos de los usuarios.

Veeam Software ha lanzado parches que abordan tres vulnerabilidades recientemente reveladas, incluidas dos fallas críticas de ejecución remota de código (RCE) en Veeam Backup & Replication y una vulnerabilidad de escalamiento de privilegios en Veeam Agent para Microsoft Windows.

 Decenas de organizaciones podrían haberse visto afectadas tras la explotación de un fallo de seguridad de día cero en el software E-Business Suite (EBS) de Oracle desde el 9 de agosto de 2025, según han afirmado Google Threat Intelligence Group (GTIG) y Mandiant en un nuevo informe publicado el jueves.

Unity está en problemas, puesto que ha reconocido una vulnerabilidad de seguridad que afecta a todos los juegos y aplicaciones creados desde la versión 2017.1 del motor, lo que abarca una cantidad inmensa de títulos en PC, móviles y realidad virtual. Aunque no existen pruebas de que la brecha haya sido explotada, el riesgo potencial es alto: cualquier juego lanzado en los últimos siete años para Android, Windows, macOS o Linux podría estar comprometido si los desarrolladores no actualizan sus versiones del motor. ¿Hay solución?

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE.UU. (CISA) añadió el lunes una falla de seguridad crítica que afecta a la utilidad de línea de comandos Sudo para sistemas operativos Linux y similares a Unix a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), citando evidencia de explotación activa.

Google ha publicado una actualización de seguridad urgente para su navegador Chrome después de descubrir un zero-day activo, identificado como CVE-2025-10585, el cual está siendo explotado en ataques reales.

Investigadores de la ETH de Zúrich dieron a conocer mediante una publicación de blog, un nuevo ataque denominado VMScape (CVE-2025-40300), capaz de eludir las protecciones contra Spectre-BTI y comprometer la seguridad en entornos virtualizados. Este método permite a un proceso dentro de una máquina virtual extraer datos confidenciales de los componentes del hipervisor que se ejecutan en el espacio de usuario, como QEMU-KVM.

Adobe ha emitido una advertencia urgente sobre SessionReaper (CVE-2025-54236), una vulnerabilidad crítica en sus plataformas Adobe Commerce y Magento Open Source, consideradas la base de miles de tiendas en línea a nivel mundial. Los investigadores de la firma de seguridad Sansec han catalogado este fallo como uno de los más graves en la historia del producto, lo que lo coloca al nivel de incidentes anteriores como CosmicSting, TrojanOrder, Ambionics SQLi y Shoplift.

WhatsApp ha solucionado una vulnerabilidad de seguridad en sus apps de mensajería para iOS y macOS de Apple que, que podría haber sido explotada in-situ en conjunción con una falla de Apple recientemente descubierta en ataques de Zero-Days dirigidos.

 Citrix ha publicado correcciones para abordar tres vulnerabilidades de seguridad en NetScaler ADC y NetScaler Gateway, incluyendo una que, según afirma, ha sido explotada activamente.

 Una vulnerabilidad crítica en Docker Desktop para Windows y macOS permite comprometer el host mediante la ejecución de un contenedor malicioso, incluso con la protección de Aislamiento Mejorado de Contenedores (ECI) activa.