Entre el 1 de enero y el 3 de noviembre de 2026, la agencia de ciberseguridad de Estados Unidos (CISA) agregó 283 vulnerabilidades a su catálogo KEV (Known Exploited Vulnerabilities): la lista pública de fallas con evidencia confiable de explotación en ataques reales. Microsoft fue el fabricante con más ingresos: 40, el 14,1 % del total, entre 106 fabricantes. El segundo, Cisco, sumó 20.
Si tu empresa usa Windows, Office, SharePoint o Exchange, esa es una lista concreta de fallas ya usadas en ataques. Cruzamos cada entrada con cve.org y con los boletines de seguridad de Microsoft (MSRC) para responder qué productos afecta, qué tipo de falla es, cuánto margen hubo entre parche y explotación conocida, y qué parchear primero.
Resumen en cifras
- 40 de 283 ingresos al KEV (14,1 %) son de Microsoft. Encabezan Windows y sus componentes, 17; SharePoint Server, 8; Office (Word, PowerPoint, VBA), 5.
- 17 (42,5 %) fueron días cero según nuestro criterio: entraron al KEV el mismo día en que se publicó la CVE. Microsoft marca las 17 como explotadas en su boletín.
- De las 27 CVE publicadas en 2026, la mediana entre publicación e ingreso al KEV fue de 0 días.
- 4 (10 %) tienen uso conocido en campañas de ransomware según CISA; ninguna fue día cero.
- 8 son CVE de 2015 o antes; la más antigua es de 2008.
- SharePoint Server recibió 7 de los 10 plazos de corrección de 3 días que CISA fijó para estas entradas.
Método
Usamos solo datos públicos, descargados el 4 de noviembre de 2026 (14:33 UTC):
- Catálogo KEV de CISA, versión 2026.11.03 (1.767 entradas en total), tomado del espejo oficial de CISA en GitHub en el commit
fee9528. - Registros CVE de cve.org (API cveawg.mitre.org), para la fecha de publicación de cada CVE.
- Boletines de seguridad de Microsoft en formato CVRF (API de MSRC), para el tipo de impacto y la marca de explotación. Encontramos 32 de las 40 CVE; las otras 8, todas de 2015 o antes, no figuran en esa API.
Las reglas del cálculo:
- Período: entradas cuya fecha de ingreso al KEV está entre el 1 de enero de 2026 y el 3 de noviembre de 2026, ambos incluidos. Se cuenta por fecha de ingreso, no por año del CVE.
- Producto: agrupamos el campo product del KEV en familias con una regla publicada en el script, porque el catálogo no es homogéneo (usa "SharePoint" y "SharePoint Server").
- Tipo de falla: la clasificación de impacto que publica Microsoft en su boletín (ejecución remota de código, elevación de privilegios, etc.).
- Días a explotación: fecha de ingreso al KEV menos fecha de publicación de la CVE en cve.org, en días calendario.
- Día cero: la CVE ingresó al KEV el mismo día de su publicación o antes. Es decir, cuando Microsoft publicó el parche, CISA ya tenía evidencia de explotación. Como contraste, revisamos la marca "Exploited: Yes" del boletín de Microsoft.
- Patch Tuesday: el segundo martes de cada mes, cuando Microsoft publica su actualización mensual de seguridad, normalmente a las 10:00 hora del Pacífico de EE. UU., según su documentación.
- Ransomware: campo knownRansomwareCampaignUse = "Known" del KEV.
- Verificación: cada CVE que nombramos se contrastó contra su registro en cve.org (fabricante y producto).
Cómo reproducirlo
Los registros de cve.org y de Microsoft cambian con el tiempo; la carpeta del análisis guarda la copia usada, con su SHA-256.
# 1. KEV fijado al commit usado (registra versión, fecha de descarga y SHA-256)
node analyze.mjs download fee9528c7588002b356d4f3288834169677d207b
# 2. Registros de cve.org y boletines de Microsoft (MSRC), y cálculo (Node 22 o superior, sin dependencias)
node analyze.mjs fetch
node analyze.mjs
# 3. Artículo desde results.json y verificación de cada CVE nombrado contra cve.org
node build-article.mjs
node verify-cves.mjs
# KEV 2026.11.03 · SHA-256 0e7e91681f2207c7920a338f0d2b14c67933473ecf9550153627efaaba8d2e4cEl script, los resultados, la tabla de las 40 entradas y la lista de verificación están en astrum.company/research/2026-kev-microsoft.
Hallazgos
1 · Windows concentra el volumen; SharePoint, la urgencia
Familia de producto | Ingresos | Días cero | Ransomware | Plazo de CISA ≤ 3 días |
|---|---|---|---|---|
Windows y sus componentes | 17 | 10 | 1 | 2 |
SharePoint Server | 8 | 2 | 1 | 7 |
Office (Word, PowerPoint, VBA) | 5 | 2 | 0 | 0 |
Defender | 3 | 2 | 1 | 0 |
Otros (AD FS, Configuration Manager, SQL Server) | 3 | 1 | 0 | 1 |
Exchange Server | 2 | 0 | 1 | 0 |
Internet Explorer | 2 | 0 | 0 | 0 |
Windows y sus componentes suman 17 ingresos (42,5 %), 10 de ellos días cero. SharePoint Server suma 8, todas CVE de 2026, con otro patrón: en 6 casos CISA confirmó la explotación cuando el parche ya estaba publicado, y la mediana entre publicación e ingreso fue de 21,5 días. Ese margen solo protege a quien parcha a tiempo.
CISA fijó plazo de corrección de 3 días a 7 de las 8 entradas de SharePoint y marcó 6 para triage forense. 6 de esos plazos vienen de la directiva BOD 26-04, emitida el 10 de junio de 2026 para los sistemas federales de EE. UU.; el otro se fijó antes, en marzo, bajo la directiva anterior, BOD 22-01. Según su guía de implementación, el KEV fija 3 días cuando la falla está en un activo expuesto públicamente, su impacto técnico es total y la explotación es automatizable, y el triage forense exige revisar si los sistemas fueron comprometidos. No rige en Chile, pero indica urgencia.
Fuera de SharePoint pasa lo mismo con CVE-2026-33824, falla de ejecución remota de código en Windows Internet Key Exchange (IKE) Service Extensions: entró al KEV 126 días después de publicada, con plazo de 3 días.
2 · Días cero: el parche y la explotación llegaron juntos
17 de las 40 entradas (42,5 %) fueron días cero; entre las 27 CVE publicadas en 2026, la proporción sube a 63 %. 14 se publicaron en un Patch Tuesday y 3 fuera de ciclo: CVE-2026-21509 en Office (Word, PowerPoint, VBA), y CVE-2026-41091 y CVE-2026-45498 en Defender.
Por tipo, entre los días cero predominan la elevación de privilegios (8) y la omisión de funciones de seguridad (5). Ninguna de las dos basta para entrar: la primera da más permisos a quien ya ejecuta código en el equipo y la segunda evita un control de seguridad. En estos casos no hubo margen entre el parche y la explotación conocida.
CVE | Componente | Tipo | Ingreso al KEV |
|---|---|---|---|
Desktop Window Manager | Divulgación de información | 13-01-2026 | |
Microsoft Office | Omisión de funciones de seguridad | 26-01-2026 | |
Windows Shell | Omisión de funciones de seguridad | 10-02-2026 | |
MSHTML Framework | Omisión de funciones de seguridad | 10-02-2026 | |
Microsoft Word | Omisión de funciones de seguridad | 10-02-2026 | |
Desktop Window Manager | Elevación de privilegios | 10-02-2026 | |
Windows Remote Access Connection Manager | Denegación de servicio | 10-02-2026 | |
Windows Remote Desktop Services | Elevación de privilegios | 10-02-2026 | |
Microsoft SharePoint Server | Suplantación | 14-04-2026 | |
Microsoft Defender | Elevación de privilegios | 20-05-2026 | |
Microsoft Defender | Denegación de servicio | 20-05-2026 | |
Active Directory Federation Services | Elevación de privilegios | 14-07-2026 | |
Microsoft SharePoint Server | Elevación de privilegios | 14-07-2026 | |
Windows Ancillary Function Driver for WinSock | Elevación de privilegios | 11-08-2026 | |
Windows Update Stack | Elevación de privilegios | 08-09-2026 | |
Windows Advanced Local Procedure Call (ALPC) | Elevación de privilegios | 08-09-2026 | |
Windows Shell | Omisión de funciones de seguridad | 13-10-2026 |
3 · El ransomware usó fallas que ya tenían parche
CISA marca 4 entradas de Microsoft (10 %) con uso conocido en campañas de ransomware, una proporción parecida a la de todo el catálogo del período (9,5 %). Ninguna fue día cero, y la mediana entre publicación e ingreso al KEV fue de 96,5 días:
- CVE-2023-21529 · Exchange Server. Ejecución remota de código por deserialización; publicada en 2023, ingresó al KEV 1.154 días después.
- CVE-2025-60710 · Windows y sus componentes. Elevación de privilegios; publicada en 2025, ingresó al KEV 153 días después.
- CVE-2026-33825 · Defender. Elevación de privilegios; publicada en 2026, ingresó al KEV 8 días después.
- CVE-2026-45659 · SharePoint Server. Ejecución remota de código por deserialización; publicada en 2026, ingresó al KEV 40 días después.
En los 4 casos el parche estaba publicado antes de que CISA confirmara la explotación. Eran fallas conocidas y con parche disponible.
4 · Lo antiguo sigue en la lista
8 entradas son CVE de 2015 o antes: 3 de Office, 3 de Windows y 2 de Internet Explorer. La de identificador más bajo es CVE-2008-0015, en un control ActiveX de video de Windows; la publicada primero en cve.org es CVE-2008-4250, el 23 de octubre de 2008. Entre las 13 CVE publicadas antes de 2026, la mediana de antigüedad al entrar al KEV fue de 16 años. Que CISA las agregue ahora indica que encontró evidencia de explotación, no cuándo ocurrió.
5 · Qué tipo de fallas
Según la clasificación de Microsoft (32 entradas; las 8 más antiguas no la tienen): elevación de privilegios (11), ejecución remota de código (9), omisión de funciones de seguridad (6), suplantación (3), denegación de servicio (2) y divulgación de información (1). 5 son deserialización de datos no confiables (CWE-502), todas en SharePoint y Exchange. Y 6 tienen CVSS bajo 7: un filtro de "solo críticas y altas" las habría dejado fuera.
Qué parchear primero: lista de verificación
- Servidores expuestos a internet: SharePoint, Exchange y AD FS. Aplica sus parches apenas se publiquen, sin esperar el ciclo mensual. Si no puedes, retira el acceso desde internet hasta parchear y revisa si hubo compromiso, como exige CISA en las entradas con triage forense.
- Días cero del Patch Tuesday. Revisa ese mismo martes qué CVE vienen marcadas como explotadas en el boletín de Microsoft y prioriza esos parches en estaciones de trabajo y servidores Windows.
- Actualizaciones fuera de ciclo. 3 de los 17 días cero llegaron fuera del Patch Tuesday, 2 de ellos en Defender. Comprueba que la plataforma antimalware de Defender esté al día en todos los equipos y sigue los avisos extraordinarios de Microsoft.
- Parches atrasados. Las 4 fallas usadas en ransomware tenían parche antes de entrar al KEV. Busca servidores Exchange o SharePoint y equipos Windows con meses de atraso.
- Sistemas heredados. Inventaría equipos con Internet Explorer, versiones antiguas de Office o Windows sin soporte. Si no se pueden actualizar, aíslalos o retíralos.
- Cruza el KEV con tu inventario de forma periódica. CISA recomienda a todas las organizaciones revisar y monitorear el catálogo; la frecuencia depende de ti.
Limitaciones
- El KEV es un catálogo del gobierno de Estados Unidos: incluye lo que CISA confirma, no todo lo que se explota.
- La fecha de ingreso al KEV no es la fecha de la primera explotación. Nuestro criterio de día cero depende de fechas: con un día de tolerancia serían 18, y en 4 CVE la fecha de cve.org difiere de la primera revisión del boletín de Microsoft.
- La marca "Exploited: Yes" es la vigente en el boletín de Microsoft, que puede cambiar su evaluación después de publicar. 20 entradas la tienen; 3 de ellas entraron al KEV días después de publicadas.
- Una marca de ransomware "desconocida" en el KEV no significa que la falla no se use en ransomware.
- Los plazos del KEV y la directiva BOD 26-04 obligan solo a agencias federales de EE. UU.
Fuentes
- CISA · Known Exploited Vulnerabilities Catalog (versión 2026.11.03, archivo en GitHub).
- CISA · Acerca del catálogo KEV.
- CISA · BOD 26-04 y su guía de implementación.
- CVE Program · cve.org.
- Microsoft · API CVRF de MSRC y Exploitability Index.
- Microsoft · Ciclo de publicación de actualizaciones de Windows.
- Astrum · script, resultados y verificación de este análisis.
En Astrum la ciberseguridad es nuestra línea central. Si quieres cruzar tu inventario Microsoft con el KEV y ordenar qué parchear primero, conversemos.