Microsoft ha corregido 56 vulnerabilidades de seguridad en Windows, incluyendo tres ataques Zero-Day, uno de los cuales está siendo explotado activamente. Se detallan las categorías de vulnerabilidades: 28 de elevación de privilegios, 19 de ejecución remota de código, 4 de divulgación de información, 3 de denegación de servicio y 2 de suplantación de identidad. En total, Microsoft ha abordado 1.275 CVE en 2025, con una vulnerabilidad crítica, CVE-2025-62221, en el controlador de minifiltros de Windows Cloud Files que permite elevar privilegios localmente. Otras vulnerabilidades Zero-Day incluyen CVE-2025-54100 en Windows PowerShell y CVE-2025-64671 en GitHub Copilot para JetBrains. 

La CISA advierte sobre la vulnerabilidad de desbordamiento de búfer en routers D-Link que está siendo explotada en ataques Una vulnerabilidad crítica de desbordamiento de búfer que afecta a los routers D-Link ha sido añadida al catálogo de Vulnerabilidades Conocidas Explotadas de la CISA, indicando una explotación activa en la naturaleza. El fallo, rastreado como CVE-2022-37055, plantea riesgos severos a las organizaciones y redes empresariales que dependen del equipo de red D-Link afectado. 

Vulnerabilidad crítica React2Shell (CVE-2025-55182), con una puntuación CVSS de 10.0, permite la ejecución remota de código (RCE) en servidores vulnerables mediante la manipulación del protocolo Flight utilizado en React Server Components. La vulnerabilidad se debe a una falta de validación en el decoder, que asume que los datos recibidos son legítimos, permitiendo la inyección de código malicioso a través de solicitudes HTTP especialmente diseñadas.

    NHS England Digital, en un aviso actualizado el 20 de noviembre de 2025, afirmó no haber observado una explotación activa de la vulnerabilidad CVE-2025-11001 (CVSS: 7.0), pero señaló que tiene "conocimiento de una vulnerabilidad pública de explotación de prueba de concepto".

 Fortinet ha publicado el pasado jueves 14 de noviembre un parche de seguridad para corregir una vulnerabilidad en sus productos FortiWeb calificada como de riesgo crítico y que ya está siendo explotada en entornos reales.

Google publicó actualizaciones de seguridad para su navegador Chrome para solucionar dos fallos de seguridad, uno de los cuales ha sido explotado activamente.

Los ciberdelincuentes están explotando activamente una vulnerabilidad crítica en el plugin Post SMTP instalado en más de 400.000 sitios de WordPress, para tomar el control total secuestrando cuentas de administrador.

 Sansec ha confirmado la explotación activa de la vulnerabilidad crítica CVE-2025-54236 (“SessionReaper”) con unos 250 intentos en un solo día. Se calcula que el 62% de las tiendas que utilizan estas plataformas siguen expuestas.

 Los atacante que se cree que están asociados con China han aprovechado la vulnerabilidad ToolShell (CVE-2025-53770) en Microsoft SharePoint en ataques dirigidos a agencias gubernamentales, universidades, proveedores de servicios de telecomunicaciones y organizaciones financieras.

 Microsoft ha lanzado actualizaciones de seguridad fuera de banda (OOB) para corregir una vulnerabilidad crítica del Servicio de Actualización de Windows Server (WSUS) con un código de explotación de prueba de concepto disponible públicamente.

Microsoft anunció la renovación del modo de Internet Explorer (IE) en su navegador Edge tras recibir "informes creíbles" en agosto de 2025 que indicaban que actores de amenazas desconocidos estaban abusando de la función de retrocompatibilidad para obtener acceso no autorizado a los dispositivos de los usuarios.

Veeam Software ha lanzado parches que abordan tres vulnerabilidades recientemente reveladas, incluidas dos fallas críticas de ejecución remota de código (RCE) en Veeam Backup & Replication y una vulnerabilidad de escalamiento de privilegios en Veeam Agent para Microsoft Windows.

 Decenas de organizaciones podrían haberse visto afectadas tras la explotación de un fallo de seguridad de día cero en el software E-Business Suite (EBS) de Oracle desde el 9 de agosto de 2025, según han afirmado Google Threat Intelligence Group (GTIG) y Mandiant en un nuevo informe publicado el jueves.

Unity está en problemas, puesto que ha reconocido una vulnerabilidad de seguridad que afecta a todos los juegos y aplicaciones creados desde la versión 2017.1 del motor, lo que abarca una cantidad inmensa de títulos en PC, móviles y realidad virtual. Aunque no existen pruebas de que la brecha haya sido explotada, el riesgo potencial es alto: cualquier juego lanzado en los últimos siete años para Android, Windows, macOS o Linux podría estar comprometido si los desarrolladores no actualizan sus versiones del motor. ¿Hay solución?