El boletín de noviembre de Google cubre de Android 14 a Android 17. El fallo más grave, CVE-2026-58868, podría permitir que un atacante ejecute código en el teléfono sin que el usuario toque nada. Google no ha informado de que se esté explotando ninguno.
Un aviso de Siemens da a CVE-2026-58115 la puntuación máxima, 10,0 en CVSS. Desde el 30 de octubre, VulnCheck ve a atacantes usarla contra sistemas señuelo para instalar un bot de Linux y puertas traseras. Los titulares dicen que hay hackers instalando puertas traseras en equipos Siemens, pero no se ha confirmado la intrusión en ningún equipo real.
El MacBook Pro de Apple con pantalla OLED tándem táctil y chips M5 Pro o M5 Max sale a la venta el 6 de noviembre. Es el primer Mac con pantalla táctil y lleva la Dynamic Island a macOS. En EE. UU. cuesta desde 2899 dólares.
Google llevó Chrome 157 al canal estable el 3 de noviembre con 213 correcciones de seguridad, siete de ellas críticas. Ninguna consta como explotada. Veintiún fallos se atribuyeron a investigadores que trabajaron con Claude o a Codex Security, de OpenAI.
Las notas de versión de la API de Gemini de principios de noviembre traen un modelo de vídeo disponible para producción, Gemini Omni 1.2 Flash, y la retirada de Gemini 2.5 Pro y 2.5 Flash. Desde el 1 de diciembre, las peticiones a los nombres antiguos irán a modelos nuevos, con cambios incompatibles. Los proyectos de pago nuevos también guardan las peticiones por defecto.
Según CISA, los atacantes encadenan fallos en los equipos VPN Ivanti Connect Secure para ejecutar comandos sin iniciar sesión, robar credenciales y llevarse datos. Otros dos fallos entraron en su lista de explotados el 30 de octubre, y el registro CVE de uno de ellos se publicó el 3 de noviembre.
CISA añadió CVE-2024-27834 a su lista de vulnerabilidades explotadas el 4 de noviembre de 2026. El fallo permite a un atacante que ya puede leer y escribir en memoria saltarse Pointer Authentication. Apple lo corrigió en mayo de 2024, así que los dispositivos actualizados están protegidos.
Entre el 26 y el 29 de octubre de 2026, CISA añadió ocho vulnerabilidades a su lista de fallos usados en ataques reales. Afectan a servidores de código, tiendas online, webs en PHP, una biblioteca de compresión, cortafuegos de Cisco, el kernel de Linux y hosts de VMware. Esto es lo que afecta cada una y qué instalar.
Una condición de carrera en el actualizador de WordPress Core permite a un atacante sin cuenta ejecutar código en el servidor mientras se instala una actualización. CISA confirmó la explotación activa el 3 de noviembre. WordPress 7.1.4 lo corrige.
Vulnerabilidades publicadas recientemente. Cada entrada abre nuestro análisis.
Lanzamientos, plataformas y los productos que la gente usa a diario.
Modelos, herramientas y las decisiones que hay detrás.
Actualizaciones de seguridad y amenazas, con qué hacer a continuación.
Instrucciones paso a paso que siguen sirviendo cuando la noticia ya pasó.
