Si sientes que este mes no paran de llegar alertas, no es tu imaginación. Las vulnerabilidades de noviembre de 2026 llegaron en cantidades que hace un año habrían parecido imposibles: más de 1.000 fallas en un solo Patch Tuesday de Microsoft, casi 100 en un lote de Fortinet y varias fallas de otros fabricantes explotadas en pocos días. En este artículo te contamos qué pasó, por qué tantos avisos están mencionando a la inteligencia artificial y qué puede hacer tu Pyme sin volverse loca.
Fortinet: 6 fallas críticas encontradas con IA
El 10 de noviembre, Fortinet publicó su lote mensual de avisos de seguridad en FortiGuard PSIRT. Según SecurityWeek, fueron 89 avisos que corrigen casi 100 vulnerabilidades. Seis críticas afectan productos muy comunes en empresas de la región:
| CVE | Producto | CVSS | Tipo | Versiones corregidas |
|---|---|---|---|---|
| CVE-2026-126251 | FortiAuthenticator | 9,1 | Autorización incorrecta | 8.0.4 y 6.6.11 o superiores |
| CVE-2026-126253 | FortiOS y FortiSASE (OSPF) | 9,3 | Bypass de autenticación | FortiOS 8.0.2, 7.6.8, 7.4.13, 7.2.14 |
| CVE-2026-126254 | FortiOS y FortiSASE (BGP) | 9,6 | Error de truncamiento numérico | FortiOS 8.0.2, 7.6.8, 7.4.13, 7.2.14 |
| CVE-2026-126259 | FortiOS (HA) | 9,0 | Función crítica sin autenticación | FortiOS 8.0.1, 7.6.8, 7.4.13, 7.2.14 |
| CVE-2026-126262 | FortiAnalyzer y FortiManager | 9,3 | Inyección SQL vía OFTP | FortiAnalyzer 8.0.2, 7.6.8, 7.4.12, 7.2.13 |
| CVE-2026-126263 | FortiMail | 9,4 | Inyección SQL | 8.0.2, 7.6.7, 7.4.7 o superiores |
Algunos detalles importantes:
- FortiOS 7.0 no tiene versión corregida en su rama para las fallas de OSPF y HA: Fortinet indica migrar a una versión corregida.
- La falla de HA (CVE-2026-126259) aplica a equipos con FGSP y standalone-config-sync, o con autoscale, y puede permitir ejecutar comandos como super admin. Fortinet ofrece un parche virtual para ganar tiempo.
- La de FortiAnalyzer y FortiManager la puede aprovechar un atacante no autenticado que llegue al puerto OFTP.
- FortiMail Cloud y FortiSASE 26.3 ya fueron actualizados por Fortinet.
¿Se están explotando? Fortinet marca las seis como “Known Exploited: No” y, al revisar hoy el catálogo KEV de CISA, ninguna aparece. Eso no es razón para esperar: las versiones corregidas existen desde el 21 y 22 de octubre, según el blog de Fortinet, y la empresa misma advierte que el tiempo entre la publicación y la explotación se está acortando.
Microsoft: una caída global no es una vulnerabilidad
Este jueves 12 de noviembre, desde poco antes de la 1 p. m. (hora de Colombia), Outlook, Teams, Copilot, OneDrive y otros servicios de Microsoft 365 presentaron fallas en todo el mundo. Según CNBC y la BBC, Microsoft explicó que varios servidores quedaron fuera de servicio de forma inesperada al fallar sus verificaciones automáticas de salud, lo que sobrecargó el resto de la infraestructura. En la tarde ya reportaba recuperación progresiva.
Vale la pena aclararlo: una caída no es una vulnerabilidad ni un ciberataque, y ninguna fuente lo atribuye a uno. Pero sí es un recordatorio de que la continuidad del negocio también es parte de la seguridad: ¿tu equipo sabe cómo comunicarse si el correo deja de funcionar una tarde?
Un mes cargado: lo que más importa de noviembre
Además de Fortinet, estas son algunas de las noticias del mes que hemos seguido:
- Patch Tuesday de Microsoft (10 de noviembre): 1.235 fallas según BleepingComputer, con un zero-day de Outlook ya explotado. Lo explicamos en zero-day de Outlook en el Patch Tuesday de noviembre.
- WordPress Core: CISA agregó una falla de WordPress a su catálogo de explotadas el 3 de noviembre. Detalles en WordPress CVE-2026-119977.
- SonicWall SSL-VPN: una falla que permite saltarse el MFA basado en SAML entró al catálogo KEV el 6 de noviembre.
- OpenSSH “SSHole” y Chrome: una falla de OpenSSH en sistemas Alpine fue explotada pocas horas después de publicarse, y Google corrigió su octavo zero-day de Chrome del año, según The Hacker News.
- N-able N-central: un investigador publicó zero-days de esta plataforma de administración remota usada por proveedores de TI; N-able sacó un hotfix (BleepingComputer).
- Apache HTTP Server: una falla crítica en el módulo HTTP/2 (CVE-2026-119618), corregida en la versión 2.4.71 (The Hacker News).
Y octubre no se quedó atrás: también te contamos de FortiSandbox y de PHP2Shell en el catálogo KEV.
¿Qué está pasando? Los números
No es solo una sensación. Según una consulta a la base de datos NVD del NIST, en octubre de 2026 se publicaron 17.481 CVEs, frente a 4.389 en octubre de 2025: casi cuatro veces más. Y entre el 1 y el 12 de noviembre ya van 7.303, frente a 1.560 en el mismo periodo del año pasado.
Cisco Talos calcula que los Patch Tuesday de Microsoft pasaron de un promedio cercano a 100 fallas al mes antes de junio a más de 1.400 en octubre.
¿La IA tiene la culpa? El caso de Claude Mythos
Aquí está la pista más clara. En los seis avisos críticos de Fortinet, la sección de reconocimientos dice que las fallas fueron “descubiertas internamente por el equipo de seguridad de producto de Fortinet con el uso del modelo de IA de frontera Claude Mythos”. En nuestra revisión de los avisos publicados ese día, 80 de 88 mencionan a Mythos.
¿Qué es Claude Mythos? Es un modelo de Anthropic con acceso restringido. Según Anthropic, puede identificar y explotar vulnerabilidades zero-day en los principales sistemas operativos y navegadores cuando se le pide, y muchas de las fallas que encuentra tienen 10 o 20 años. Por eso no está abierto al público: se entrega a través de Project Glasswing, un programa con empresas como AWS, Apple, Cisco, CrowdStrike, Google, Microsoft y Palo Alto Networks, más organizaciones que mantienen software crítico, para que lo usen en trabajo defensivo. Fortinet, por su parte, dice que integró modelos de IA de frontera en sus pruebas y agradece a Anthropic, OpenAI, Google y SpaceX.
Nuestra lectura: decir que la IA “tiene la culpa” no es justo.
- La IA no crea fallas: las encuentra. Estas vulnerabilidades ya estaban en el código. Que hoy aparezcan es mejor que el día en que las encuentre un atacante.
- En este caso, el que llegó primero fue el fabricante. Fortinet halló las fallas, publicó las correcciones en octubre y esperó a noviembre para revelar los detalles, dando tiempo para actualizar.
- Divulgar no es lo mismo que explotar. Talos reporta que los CVEs publicados crecieron 105% en un año, mientras que el catálogo de vulnerabilidades explotadas creció 37%. De 975 fallas de Microsoft en septiembre, solo 3 se explotaron.
Pero el riesgo también es real. La misma capacidad llega a los atacantes. Fortinet advierte que la IA ya ayuda a analizar parches y construir exploits “en horas o días, en lugar de semanas”, y Anthropic documentó en 2025 una campaña de espionaje orquestada con IA. La consecuencia práctica: el tiempo entre la publicación de un parche y su explotación se acorta.
En resumen: la IA explica buena parte del aumento de hallazgos, junto con la presión de fabricantes y proyectos de código abierto por revisar código antiguo. Más avisos no significan más ataques, pero sí obligan a priorizar mejor.
Checklist para Pymes: cómo no ahogarse en alertas
- Ten un inventario actualizado. No puedes parchear lo que no sabes que tienes. Te explicamos cómo en inventario de activos de TI.
- Prioriza. Primero lo expuesto a internet (firewalls, VPN, correo, servidores web) y lo que ya está en el catálogo KEV de CISA.
- Actualiza tus equipos Fortinet a la versión corregida de cada aviso.
- Saca la administración de internet. Restringe HTTPS y SSH a IP de confianza y no expongas FortiManager.
- Activa MFA para todas las cuentas de administrador.
- Revisa logs de accesos administrativos y cambios de configuración no aprobados.
- Define un proceso de parches con ventanas fijas. Lee gestión de parches.
- Monitorea tu infraestructura para detectar comportamientos raros. Más en monitoreo de infraestructura de TI.
Cómo te ayuda NESS
La gestión de vulnerabilidades de NESS ayuda a detectar versiones vulnerables en los equipos de tu red, para que sepas qué actualizar primero sin revisar aviso por aviso.
Si tienes una Pyme, el Programa Ciberseguridad para Pymes 2027 ofrece 6 meses de NESS Enterprise gratis para Pymes seleccionadas. Las inscripciones cierran el 30 de diciembre de 2026 y la inscripción no garantiza un cupo. Inscríbete aquí.
Fuentes: FortiGuard PSIRT, blog de Fortinet, SecurityWeek, NVD, CISA KEV, Cisco Talos, Anthropic, CNBC, BBC, BleepingComputer, The Hacker News. Información verificada al 12 de noviembre de 2026.
