Por Canuto  

La agencia estadounidense advierte que muchas de las vulnerabilidades más explotadas durante 2024 y 2025 no son amenazas nuevas, sino errores básicos identificados hace décadas. Su diagnóstico apunta a fallas culturales y sistémicas en la industria del software, mientras reclama una adopción real de la seguridad por diseño.
***

  • Las inyecciones XSS, SQL y de comandos, junto con la validación incorrecta de entradas, estuvieron entre las debilidades más comunes.
  • Siete de los diez CWE más frecuentes en los registros CVE y en el catálogo KEV corresponden a fallos considerados persistentes.
  • CISA pide a los proveedores asumir los resultados de seguridad, automatizar controles y ofrecer listas de materiales de software.

La mayoría de las vulnerabilidades que aparecen en los registros modernos de explotación no representan descubrimientos técnicos extraordinarios, sino errores conocidos desde hace décadas. Esa es la conclusión central de un informe de la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, conocida como CISA, que revisó los fallos observados durante 2024 y 2025 y reclamó un cambio profundo hacia el desarrollo seguro por diseño.

El diagnóstico cuestiona una práctica extendida en la industria: lanzar productos con debilidades previsibles y trasladar después a los clientes la responsabilidad de corregirlas mediante parches. Según el análisis, los actores de amenazas siguen obteniendo resultados porque encuentran vulnerabilidades simples, evitables y suficientemente documentadas, mientras las organizaciones enfrentan paquetes de actualización cada vez más numerosos y difíciles de administrar.

Errores antiguos en los registros actuales

Entre las debilidades más frecuentes identificadas durante el periodo analizado estuvieron las relacionadas con inyecciones, como el cross-site scripting, clasificado como CWE-79, la inyección de comandos del sistema operativo, conocida como CWE-78, y la inyección SQL, identificada como CWE-89. Estos fallos aparecieron con fuerza tanto en los registros de vulnerabilidades CVE como en el catálogo de Vulnerabilidades Explotadas Conocidas, o KEV.

La validación incorrecta de entradas, clasificada como CWE-20, también ocupó un lugar central en los datos revisados. El problema aparece cuando el software no comprueba adecuadamente la información que recibe antes de procesarla, una omisión que puede abrir la puerta a instrucciones maliciosas o comportamientos no previstos dentro de una aplicación.

El informe señaló que siete de los diez tipos de debilidad más frecuentes en la lista de CVE durante 2024 pertenecían al grupo de fallos que MITRE describió en 2023 como debilidades obstinadas. La misma proporción se observó en el catálogo KEV, donde esas siete categorías representaron el 41,5% de todos los errores incluidos, una coincidencia que vincula la presencia técnica con la explotación en el mundo real.

La persistencia también conecta los datos actuales con un análisis de MITRE publicado en 2007 sobre las llamadas vulnerabilidades imperdonables. Para pertenecer a ese grupo, un fallo debía derivarse de un error común y bien documentado, ofrecer una ruta de ataque evidente, permitir un exploit sencillo y poder ser localizado por un atacante en cuestión de minutos.

La explotación confirma la gravedad

La relación entre las debilidades persistentes y los ataques activos resulta especialmente visible en el catálogo KEV. Tres de sus cinco principales categorías durante el periodo revisado fueron la validación incorrecta de entradas, el path traversal, identificado como CWE-22, y la inyección de comandos del sistema operativo, clasificada como CWE-78.

Para la agencia, esa composición demuestra con qué fiabilidad ciertos errores conocidos se convierten en intrusiones concretas. No se trata únicamente de que una debilidad aparezca con frecuencia en los informes de fallos: cuando también figura entre las vulnerabilidades explotadas, la industria está observando una ruta de ataque que los adversarios ya utilizan de manera efectiva.

Los resultados de 2025 mantuvieron un patrón parecido al del año anterior, con siete de los diez principales CWE vinculados a categorías que MITRE ya había considerado imperdonables en 2007. CISA destacó que tres de los diez tipos de debilidad principales de ese año habrían recibido esa clasificación hace casi dos décadas, una continuidad que reduce el margen para atribuir el problema a la complejidad de la tecnología actual.

Las evaluaciones de riesgo y vulnerabilidad realizadas por CISA reforzaron esa advertencia desde escenarios de organizaciones reales. El informe indicó que los problemas de seguridad de memoria y la validación incorrecta de entradas fueron rutas especialmente confiables hacia la explotación: representaron el 19,7% de las vulnerabilidades del catálogo KEV en el año fiscal 2024 y el 16,7% en el año fiscal 2025.

El reclamo por un cambio de cultura

La agencia sostuvo que la permanencia de estos fallos no refleja principalmente una barrera técnica, sino deficiencias en la cultura organizacional, los flujos de trabajo de los desarrolladores y la adopción sistémica de prácticas de seguridad por diseño. En otras palabras, los equipos ya conocen muchas de las clases de errores que deben evitar, pero continúan permitiendo que lleguen a productos utilizados por clientes y entidades críticas.

La seguridad por diseño busca que los proveedores asuman desde el inicio los resultados de seguridad de sus productos, en lugar de pedir a los defensores que compensen cada debilidad después del lanzamiento. Ese enfoque implica eliminar las categorías de fallos obstinados e imperdonables, además de mejorar la automatización de las configuraciones, el monitoreo y los procesos de actualización.

En una declaración incluida en el informe, CISA afirmó que los actores de amenazas siguen teniendo éxito, en parte, porque las debilidades simples y evitables permanecen sin corregir. La agencia añadió que resolver los problemas fundamentales podría eliminar una porción significativa de los compromisos más comunes que enfrentan actualmente las organizaciones.

El llamado también alcanza a los compradores de tecnología, a quienes se recomienda elegir proveedores que cumplan con esos principios y que mantengan listas de materiales de software, conocidas como SBOM. Esos inventarios permiten rastrear los componentes de un producto y comprender mejor los riesgos que pueden aparecer en la cadena de suministro, especialmente cuando una dependencia externa contiene una vulnerabilidad explotable.

Una responsabilidad compartida

El enfoque propuesto no elimina la necesidad de priorizar vulnerabilidades, aplicar parches o realizar evaluaciones de seguridad, pero intenta cambiar el punto donde comienza la responsabilidad. Si los proveedores reducen las debilidades previsibles antes de entregar sus productos, los equipos defensivos podrían concentrarse menos en apagar incidentes repetitivos y más en riesgos realmente nuevos o difíciles de anticipar.

La dimensión del problema también afecta la capacidad de las organizaciones para administrar sus recursos. Una sucesión de paquetes de parches cada vez más grandes puede aumentar la presión sobre los equipos de seguridad, crear retrasos en la actualización de sistemas y dificultar la identificación de cuáles fallos representan una amenaza inmediata para cada entorno.

La recomendación de CISA exige, por tanto, una coordinación más estrecha entre la industria y el gobierno, junto con una atención directa de los equipos directivos. La agencia plantea que el riesgo cibernético debe tratarse simultáneamente como un riesgo empresarial, una amenaza para la seguridad nacional y un obstáculo para la resiliencia operativa.

El mensaje final es incómodo para una industria acostumbrada a presentar la seguridad como una carrera permanente contra atacantes sofisticados: muchas intrusiones todavía comienzan con errores básicos que los proveedores conocen desde hace años. Mientras esas debilidades sigan reapareciendo en los registros CVE y en el catálogo KEV, la presión para adoptar un software verdaderamente seguro por diseño continuará creciendo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados