10 nuevas vulnerabilidades explotadas esta semana

El catálogo KEV de CISA recoge las vulnerabilidades que se están explotando en ataques reales, no las que podrían estarlo. Es la lista por la que empezar al decidir qué parchear primero.

Esta semana

• CVE-2026-118527

  Ivanti · Connect Secure

  Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability

  Añadida 30 oct 2026Corregir antes del 13 nov 2026
• CVE-2026-111357

  Ivanti · Connect Secure

  Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability

  14 días después de las primeras pruebas de explotación

  Añadida 30 oct 2026Corregir antes del 2 nov 2026
• CVE-2026-97229 Crítica10.0

  GitLab · Community Edition and Enterprise Edition

  GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability

  Añadida 29 oct 2026Corregir antes del 1 nov 2026
• CVE-2026-76418

  Cisco · Secure Firewall ASA Software and Cisco Secure FTD Software

  Cisco Secure Firewall ASA Software and Cisco Secure FTD Software Unchecked Return Value to NULL Pointer Dereference Vulnerability

  Añadida 29 oct 2026Corregir antes del 1 nov 2026
• CVE-2026-46300 Alta7.8

  Linux · Kernel

  Linux Kernel Missing Initialization of a Variable Vulnerability

  86 días después de las primeras pruebas de explotación

  Añadida 28 oct 2026Corregir antes del 31 oct 2026
• CVE-2026-41709 Baja2.7

  Broadcom · VMware ESX

  Broadcom VMWare ESX Insufficient Logging Vulnerability

  Añadida 28 oct 2026Corregir antes del 11 nov 2026
• CVE-2026-48356 Crítica9.3

  Adobe · Commerce and Magento

  Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability

  Añadida 27 oct 2026Corregir antes del 10 nov 2026
• CVE-2026-111497

  Google · Brotli

  Google Brotli Unchecked Return Value Vulnerability

  Añadida 27 oct 2026Corregir antes del 10 nov 2026
• CVE-2026-109619 Alta8.1

  PHP Group · PHP

  PHP Stale Internal Request-State Vulnerability

  Añadida 26 oct 2026Corregir antes del 29 oct 2026
• CVE-2026-109618 Crítica9.8

  PHP Group · PHP

  PHP Memory Corruption Vulnerability

  Añadida 26 oct 2026Corregir antes del 29 oct 2026

Añadidas anteriormente

• CVE-2026-114625 Crítica9.9

  Arista · VeloCloud Orchestrator

  Arista VeloCloud Orchestrator SQL Injection Vulnerability

  Añadida 23 oct 2026Corregir antes del 26 oct 2026
• CVE-2026-110447

  Collabora · Collabora Online – Built-in CODE Server

  Collabora Online – Built-in CODE Server OS Command Injection Vulnerability

  9 días después de las primeras pruebas de explotación

  Añadida 23 oct 2026Corregir antes del 26 oct 2026
• CVE-2026-96656 Alta7.2

  Plex · Media Server

  Plex Media Server External Control of File Name or Path Vulnerability

  Añadida 20 oct 2026Corregir antes del 23 oct 2026
• CVE-2026-96655 Media4.3

  Plex · Media Server

  Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability

  Añadida 20 oct 2026Corregir antes del 3 nov 2026
• CVE-2026-96654 Media6.5

  Plex · Media Server

  Plex Media Server Improper Neutralization of Encoded URI Schemes in a Web Page Vulnerability

  Añadida 20 oct 2026Corregir antes del 23 oct 2026
• CVE-2026-96652 Media4.3

  Plex · Media Server

  Plex Media Server Server-Side Request Forgery (SSRF) Vulnerability

  Añadida 20 oct 2026Corregir antes del 3 nov 2026
• CVE-2026-110936 Media6.7

  Siemens · Software Center

  Siemens Software Center Uncontrolled Search Path Element Vulnerability

  Añadida 20 oct 2026Corregir antes del 3 nov 2026
• CVE-2026-106931 Alta7.8

  EG Secure Solutions · SiteGuard Server Edition

  EG Secure Solutions SiteGuard Server Edition OS Command Injection Vulnerability

  Añadida 20 oct 2026Corregir antes del 23 oct 2026
• CVE-2026-102764

  BeyondTrust · Remote Support

  BeyondTrust Remote Support Authentication Bypass by Spoofing Vulnerability

  Añadida 16 oct 2026Corregir antes del 19 oct 2026
• CVE-2025-61624 Media6.0

  Fortinet · Multiple Products

  Fortinet Multiple Products Path Traversal Vulnerability

  Añadida 16 oct 2026Corregir antes del 19 oct 2026
• CVE-2026-21589 Alta7.5

  Atlassian · Multiple Products

  Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability

  8 días después de las primeras pruebas de explotación

  Añadida 15 oct 2026Corregir antes del 18 oct 2026
• CVE-2026-76519 Crítica9.8

  Cisco · Secure Email Gateway

  Cisco Secure Email Gateway Relative Path Traversal Vulnerability

  Añadida 14 oct 2026Corregir antes del 17 oct 2026
• CVE-2026-105134 Crítica10.0

  Ahsay · AhsayCBS

  Ahsay AhsayCBS Command Injection Vulnerability

  Añadida 14 oct 2026Corregir antes del 17 oct 2026
• CVE-2026-105133 Alta7.3

  Ahsay · AhsayCBS

  Ahsay AhsayCBS Improper Authentication Vulnerability

  Añadida 14 oct 2026Corregir antes del 17 oct 2026
• CVE-2026-0322

  Palo Alto Networks · PAN-OS

  Palo Alto Networks PAN-OS Code Injection Vulnerability

  Añadida 14 oct 2026Corregir antes del 17 oct 2026
• CVE-2026-96951 Alta8.8

  Microsoft · Windows

  Microsoft Windows Command Injection Vulnerability

  Añadida 13 oct 2026Corregir antes del 16 oct 2026
• CVE-2026-104935 Alta8.6

  Ivanti · Connect Secure

  Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability

  Añadida 13 oct 2026Corregir antes del 16 oct 2026
• CVE-2023-22894 Media4.9

  Strapi · Strapi

  Strapi Cleartext Storage of Sensitive Information Vulnerability

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2021-3199 Crítica9.8

  ONLYOFFICE · Docs

  ONLYOFFICE Docs Server Path Traversal Vulnerability

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2016-3081 Alta8.1

  Apache · Struts

  Apache Struts Command Injection Vulnerability

  77 días después de las primeras pruebas de explotación

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2015-5477 Alta7.5

  ISC · BIND

  ISC BIND Data Processing Errors Vulnerability

  4085 días después de las primeras pruebas de explotación

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2015-3306 Crítica10.0

  ProFTPD · ProFTPD

  ProFTPD Improper Access Control Vulnerability

  Añadida 8 oct 2026Corregir antes del 11 oct 2026
• CVE-2026-88779 Alta7.5

  Citrix · NetScaler

  Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability

  Añadida 4 oct 2026Corregir antes del 7 oct 2026
• CVE-2026-102490 Alta7.8

  Zammad GmbH · Zammad

  Zammad GmbH Zammad Improper Privilege Management Vulnerability

  Añadida 2 oct 2026Corregir antes del 5 oct 2026
• CVE-2026-102489 Crítica9.8

  Zammad GmbH · Zammad

  Zammad GmbH Zammad Session Fixation Vulnerability

  Añadida 2 oct 2026Corregir antes del 5 oct 2026
• CVE-2026-104286 Crítica9.8

  Fortinet · FortiMail

  Fortinet FortiMail Path Traversal Vulnerability

  Añadida 1 oct 2026Corregir antes del 4 oct 2026
• CVE-2026-76504 Crítica9.8

  Cisco · Catalyst SD-WAN Manager

  Cisco Catalyst SD-WAN Manager Hex Encoding Vulnerability

  Añadida 30 sept 2026Corregir antes del 3 oct 2026
• CVE-2026-86950 Alta8.8

  Apple · Multiple Products

  Apple Multiple Products Out-of-Bounds Write Vulnerability

  Añadida 29 sept 2026Corregir antes del 13 oct 2026
• CVE-2026-88772 Alta8.1

  Citrix · NetScaler

  Citrix NetScaler Improper Restriction of Operations within the Bounds of a Memory Buffer Vulnerability

  Añadida 27 sept 2026Corregir antes del 30 sept 2026
• CVE-2026-88771 Crítica9.8

  Citrix · NetScaler

  Citrix NetScaler Improper Input Validation Vulnerability

  Añadida 27 sept 2026Corregir antes del 30 sept 2026
• CVE-2026-87902 Alta8.1

  WordPress · Core

  WordPress Core Remote File Inclusion Vulnerability

  Añadida 25 sept 2026Corregir antes del 28 sept 2026
• CVE-2026-67279 Media6.5

  MikroTik · RouterOS

  Mikrotik RouterOS Improper Enforcement of Behavioral Workflow Vulnerability

  20 días después de las primeras pruebas de explotación

  Añadida 25 sept 2026Corregir antes del 28 sept 2026
• CVE-2026-65660 Alta8.8

  Microsoft · SharePoint

  Microsoft SharePoint Code Injection Vulnerability

  Añadida 25 sept 2026Corregir antes del 28 sept 2026
• CVE-2026-71362 Crítica9.1

  Adobe · Commerce and Magento

  Adobe Commerce and Magento Incorrect Authorization Vulnerability

  21 días después de las primeras pruebas de explotación

  Añadida 24 sept 2026Corregir antes del 27 sept 2026
• CVE-2026-5430 Crítica10.0

  WSO2 · Multiple Products

  WSO2 Multiple Products Path Traversal Vulnerability

  9 días después de las primeras pruebas de explotación

  Añadida 24 sept 2026Corregir antes del 27 sept 2026
• CVE-2026-94127 Crítica9.8

  F5 · BIG-IP APM

  F5 BIG-IP APM Heap-based Buffer Overflow Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-93952 Crítica10.0

  Arista · VeloCloud Orchestrator

  Arista VeloCloud Orchestrator Improper Input Validation Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-93616 Crítica9.8

  Check Point · Multiple Products

  Check Point Multiple Products Path Traversal Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-85102 Crítica9.8

  Check Point · Multiple Products

  Check Point Multiple Products Improper Certificate Validation Vulnerability

  Añadida 22 sept 2026Corregir antes del 25 sept 2026
• CVE-2026-7273 Alta8.8

  Zyxel · GS1900 Series Switches

  Zyxel GS1900 Series Switches Stack-Based Buffer Overflow Vulnerability

  Añadida 21 sept 2026Corregir antes del 24 sept 2026
• CVE-2026-53266 Alta8.8

  Linux · Kernel

  Linux Kernel Out-of-Bounds Write Vulnerability

  Añadida 18 sept 2026Corregir antes del 21 sept 2026
• CVE-2025-39964 Alta7.8

  Linux · Kernel

  Linux Kernel Race Condition Vulnerability

  Añadida 18 sept 2026Corregir antes del 21 sept 2026
• CVE-2025-39682 Crítica9.8

  Linux · Kernel

  Linux Kernel Improper Check for Unusual or Exceptional Conditions Vulnerability

  Añadida 18 sept 2026Corregir antes del 21 sept 2026
• CVE-2026-87886 Alta7.8

  Acronis · Backup

  Acronis Backup Incorrect Default Permissions Vulnerability

  Añadida 16 sept 2026Corregir antes del 19 sept 2026
• CVE-2026-76460 Crítica10.0

  Cisco · Identity Services Engine

  Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability

  Añadida 16 sept 2026Corregir antes del 19 sept 2026
• CVE-2026-58704 Alta8.8

  Google · Pixel

  Google Pixel Improper Authorization Vulnerability

  Añadida 16 sept 2026Corregir antes del 19 sept 2026
• CVE-2026-76461 Crítica9.8

  Cisco · Secure Email Gateway

  Cisco Secure Email Gateway SQL Injection Vulnerability

  Añadida 14 sept 2026Corregir antes del 17 sept 2026
• CVE-2026-85706 Crítica10.0

  GitLab · Community Edition and Enterprise Edition

  GitLab Community Edition and Enterprise Edition Path Traversal Vulnerability

  Añadida 11 sept 2026Corregir antes del 14 sept 2026
• CVE-2026-84869 Crítica9.9

  ConnectWise · ScreenConnect

  ConnectWise ScreenConnect Improper Privilege Management and Missing Authorization Vulnerability

  Añadida 11 sept 2026Corregir antes del 14 sept 2026
• CVE-2026-42018 Alta7.5

  JFrog · Artifactory

  JFrog Artifactory Improper Authentication Vulnerability

  Añadida 11 sept 2026Corregir antes del 25 sept 2026

Qué es el catálogo KEV

Datos del catálogo Known Exploited Vulnerabilities de CISA, obra del Gobierno de EE. UU. en dominio público. Los plazos indicados obligan a las agencias federales estadounidenses (BOD 22-01); para el resto son una buena referencia de prioridad.

Base de datos CVE