Microsoft ha corregido silenciosamente la vulnerabilidad CVE-2025-949* en Windows LNK, explotada desde 2017 por diversos actores de amenazas, incluyendo grupos patrocinados por China, Irán, Corea del Norte y Rusia. La falla permitía ocultar comandos maliciosos en archivos de acceso directo, eludiendo la detección por parte de los usuarios. Microsoft inicialmente consideró la vulnerabilidad de baja prioridad, pero finalmente implementó un parche silencioso mostrando el comando completo en las propiedades del archivo. 0patch también ofrece un microparche que muestra una advertencia para archivos LNK con más de 260 caracteres. La corrección se realizó a través de las actualizaciones de noviembre de 2025.

Android es una plataforma ubicua con una vasta superficie de ataque, requiriendo un enfoque metódico en su seguridad. Esta publicación detalla una metodología de pentesting en Android, comenzando con el análisis estático: **examinar el código sin ejecutarlo para encontrar secretos codificados, fallos lógicos y vulnerabilidades en el `AndroidManifest.xml`** (permisos, copia de seguridad, depuración, componentes exportados) y **buscar cadenas interesantes como URL, claves API y configuraciones incorrectas de Firebase**. El análisis estático incluye la revisión de archivos APK, bibliotecas nativas y la búsqueda de configuraciones inseguras. El artículo enfatiza la importancia de entender la estructura de la aplicación y los potenciales riesgos asociados a componentes exportados y configuraciones predeterminadas. La metodología se centra en un enfoque de dispositivo rooteado para maximizar la libertad en las pruebas.

Se han descubierto vulnerabilidades críticas de ejecución remota de código (CVE-2025-55182 y CVE-2025-66478) en React Server Components (RSC) y Next.js. Afecta a las versiones 19.0-19.2.0 de React y a Next.js ≥ 14.3.0-canary.77, ≥15 y ≥16. Se recomienda actualizar a las versiones parcheadas (React 19.0.1, 19.1.2, 19.2.1 y Next.js 16.0.7, 15.5.7, etc.) lo antes posible.

    NHS England Digital, en un aviso actualizado el 20 de noviembre de 2025, afirmó no haber observado una explotación activa de la vulnerabilidad CVE-2025-11001 (CVSS: 7.0), pero señaló que tiene "conocimiento de una vulnerabilidad pública de explotación de prueba de concepto".

 Fortinet ha publicado el pasado jueves 14 de noviembre un parche de seguridad para corregir una vulnerabilidad en sus productos FortiWeb calificada como de riesgo crítico y que ya está siendo explotada en entornos reales.

  WhatsApp, con 3.500 millones de cuentas activas a principios de 2025, es la plataforma de mensajería instantánea más grande del mundo. Dada su enorme base de usuarios, WhatsApp desempeña un papel fundamental en la comunicación global.

Google publicó actualizaciones de seguridad para su navegador Chrome para solucionar dos fallos de seguridad, uno de los cuales ha sido explotado activamente.

Los ciberdelincuentes están explotando activamente una vulnerabilidad crítica en el plugin Post SMTP instalado en más de 400.000 sitios de WordPress, para tomar el control total secuestrando cuentas de administrador.

Una mala configuración de Jupyter Notebook permite a atacantes acceder al sistema con privilegios elevados. Este problema afecta especialmente a entornos Linux donde el servicio se ejecuta sin autenticación adecuada.

 Sansec ha confirmado la explotación activa de la vulnerabilidad crítica CVE-2025-54236 (“SessionReaper”) con unos 250 intentos en un solo día. Se calcula que el 62% de las tiendas que utilizan estas plataformas siguen expuestas.

 Los atacante que se cree que están asociados con China han aprovechado la vulnerabilidad ToolShell (CVE-2025-53770) en Microsoft SharePoint en ataques dirigidos a agencias gubernamentales, universidades, proveedores de servicios de telecomunicaciones y organizaciones financieras.

 Microsoft ha lanzado actualizaciones de seguridad fuera de banda (OOB) para corregir una vulnerabilidad crítica del Servicio de Actualización de Windows Server (WSUS) con un código de explotación de prueba de concepto disponible públicamente.

Microsoft anunció la renovación del modo de Internet Explorer (IE) en su navegador Edge tras recibir "informes creíbles" en agosto de 2025 que indicaban que actores de amenazas desconocidos estaban abusando de la función de retrocompatibilidad para obtener acceso no autorizado a los dispositivos de los usuarios.

Veeam Software ha lanzado parches que abordan tres vulnerabilidades recientemente reveladas, incluidas dos fallas críticas de ejecución remota de código (RCE) en Veeam Backup & Replication y una vulnerabilidad de escalamiento de privilegios en Veeam Agent para Microsoft Windows.

 Decenas de organizaciones podrían haberse visto afectadas tras la explotación de un fallo de seguridad de día cero en el software E-Business Suite (EBS) de Oracle desde el 9 de agosto de 2025, según han afirmado Google Threat Intelligence Group (GTIG) y Mandiant en un nuevo informe publicado el jueves.

 Investigadores de ciberseguridad están alertando sobre una campaña maliciosa dirigida a sitios de WordPress para realizar inyecciones de JavaScript diseñadas para redirigir a los usuarios a sitios sospechosos.

Unity está en problemas, puesto que ha reconocido una vulnerabilidad de seguridad que afecta a todos los juegos y aplicaciones creados desde la versión 2017.1 del motor, lo que abarca una cantidad inmensa de títulos en PC, móviles y realidad virtual. Aunque no existen pruebas de que la brecha haya sido explotada, el riesgo potencial es alto: cualquier juego lanzado en los últimos siete años para Android, Windows, macOS o Linux podría estar comprometido si los desarrolladores no actualizan sus versiones del motor. ¿Hay solución?

La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE.UU. (CISA) añadió el lunes una falla de seguridad crítica que afecta a la utilidad de línea de comandos Sudo para sistemas operativos Linux y similares a Unix a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), citando evidencia de explotación activa.

 

Google ha publicado una actualización de seguridad urgente para su navegador Chrome después de descubrir un zero-day activo, identificado como CVE-2025-10585, el cual está siendo explotado en ataques reales.

Investigadores de la ETH de Zúrich dieron a conocer mediante una publicación de blog, un nuevo ataque denominado VMScape (CVE-2025-40300), capaz de eludir las protecciones contra Spectre-BTI y comprometer la seguridad en entornos virtualizados. Este método permite a un proceso dentro de una máquina virtual extraer datos confidenciales de los componentes del hipervisor que se ejecutan en el espacio de usuario, como QEMU-KVM.