CISA añade CVE-2026-20182 en Cisco Catalyst SD-WAN al catálogo KEV tras confirmarse explotación activa de un bypass de autenticación crítico con CVSS 10,0. Windows afronta dos zero-days públicos, YellowKey y GreenPlasma, que afectan a BitLocker, WinRE y elevación local de privilegios sin parche oficial en el momento de publicación. Linux suma Fragnesia, CVE-2026-46300, una nueva elevación local a root por corrupción de page cache con PoC público y mitigaciones por distribución.

Microsoft publica el martes de parches de mayo con 138 vulnerabilidades corregidas, 30 de ellas críticas, incluyendo RCE en Windows DNS y Netlogon. Exim corrige CVE-2026-45185, una vulnerabilidad crítica en configuraciones con GnuTLS, STARTTLS y CHUNKING que puede permitir ejecución remota de código. Fortinet publica actualizaciones para CVE-2026-44277 en FortiAuthenticator y CVE-2026-26083 en FortiSandbox, dos fallos críticos CVSS 9,1 explotables sin autenticación.

CVE-2026-42208 en LiteLLM Proxy (CVSS 9,3): inyección SQL pre-autenticación en el proxy de IA más extendido del mercado, añadida al KEV de CISA el 8 de mayo con plazo federal vencido hoy 11 de mayo. Explotada en 36 horas desde su divulgación, expone todas las claves API de los proveedores de modelos gestionadas por el proxy. CVE-2026-0300 en Palo Alto Networks PAN-OS (CVSS 9,3): desbordamiento de búfer en el Captive Portal de firewalls PA-Series y VM-Series bajo explotación activa confirmada que permite RCE como root sin autenticación. El primer parche llega mañana 13 de mayo. CVE-2026-7482 "Bleeding Llama" en Ollama (CVSS 9,1): lectura fuera de límites en el cargador de modelos GGUF que permite a un atacante remoto no autenticado filtrar toda la memoria del proceso del servidor, afectando a más de 300.000 instancias expuestas públicamente.

Dirty Frag (CVE-2026-43284 y CVE-2026-43500): el investigador Hyunwoo Kim publica el 7 de mayo un segundo LPE universal en el kernel de Linux tras romperse el embargo de divulgación coordinada. El exploit encadena dos fallos de caché de páginas en los subsistemas xfrm-ESP y RxRPC y permite escalar a root en un único comando en todas las distribuciones modernas desde 2017. CVE-2026-43284 tiene parche en el kernel mainline desde el 8 de mayo; CVE-2026-43500 carece aún de parche. Ivanti divulga el 7 de mayo el zero-day CVE-2026-6973 en Endpoint Manager Mobile (EPMM), que permite a un atacante con credenciales de administrador ejecutar código arbitrario en instalaciones on-premises. CISA lo incorpora al catálogo KEV el mismo día con un plazo federal de cuatro días. Es la trigesimocu arta vulnerabilidad de Ivanti en el KEV desde 2021. En el mismo boletín se parchean cuatro CVEs adicionales de alta severidad. El 7 de mayo se publican además los detalles de PCPJack, un framework de robo de credenciales cloud que encadena cinco CVEs para propagarse de forma autorreplicante entre instancias expuestas, expulsa activamente los artefactos del actor rival TeamPCP y exfiltra credenciales de más de 59 plataformas cloud, de contenedores, de desarrollo y financieras.