El registro de vulnerabilidades divulgado en 2026 superó las 100.000 entradas. Josh Bressers, de VulnCheck, atribuye buena parte del aumento a la búsqueda de fallas asistida por inteligencia artificial, aunque el volumen no significa que todas puedan explotarse o representen el mismo riesgo. El desafío para las organizaciones es identificar cuáles afectan sus sistemas y priorizar su respuesta.
***

• VulnCheck contabilizó 100.222 CVE al viernes 13 de noviembre; la cifra ya duplicaba con creces el total de 2025.
• La explotación de fallas puede seguir de cerca a su divulgación: CrowdStrike observó que el 88% de los casos analizados con código de prueba de concepto público ocurrió en las primeras 48 horas.
• CISA impulsa una priorización basada en el riesgo, mientras varios proyectos tecnológicos buscan contener la presión sobre los equipos de código abierto.

La IA podría acelerar la avalancha de vulnerabilidades y el registro supera las 100.000

La cantidad de vulnerabilidades de seguridad divulgadas durante 2026 superó las 100.000 el viernes 13 de noviembre, un récord que ya duplicaba con creces el total registrado en 2025. Alrededor de las 16:00 UTC de ese día, VulnCheck contabilizaba 100.222 entradas CVE, según el reporte de The Register, que entrevistó a Josh Bressers, director de divulgación coordinada de vulnerabilidades de esa firma.

Bressers atribuyó buena parte del aumento a la búsqueda de fallas asistida por inteligencia artificial y advirtió que la industria podría considerar modesta la cifra actual dentro de unos años. Esa atribución no demuestra que la IA sea la única causa del crecimiento. Además, el aumento no significa que cada vulnerabilidad tenga el mismo peligro ni que todas puedan explotarse, pero sí eleva la cantidad de información que las organizaciones deben evaluar mientras los atacantes aceleran su respuesta.

Un registro que crece a ritmo récord

Las CVE, sigla de Common Vulnerabilities and Exposures, son identificadores asignados a vulnerabilidades de seguridad para que proveedores, investigadores y organizaciones puedan referirse al mismo problema. Las autoridades de numeración CVE, conocidas como CNA, incluyen compañías y entidades autorizadas para asignar esos identificadores; entre ellas figuran VulnCheck, Microsoft, Oracle y GitHub, además de grandes proveedores de tecnología empresarial.

El volumen reciente da una medida concreta del desafío: Microsoft añadió 1.094 fallas al registro el martes previo a la entrevista, después de incorporar 1.474 el mes anterior, según las cifras citadas en el reporte. Bressers sostuvo que las principales CNA están señalando la inteligencia artificial como un motor central de la tendencia, aunque esa apreciación no implica que cada nueva entrada surja exclusivamente de herramientas automatizadas.

La IA puede ayudar a revisar código y detectar patrones que indiquen errores, lo que amplía la capacidad para encontrar vulnerabilidades. Sin embargo, el aumento de hallazgos también eleva la carga de clasificación: los equipos tienen que determinar qué sistemas están afectados, cuánto riesgo representa cada falla y qué medidas pueden aplicar primero, en vez de tratar todas las entradas como igualmente urgentes.

El salto en el número total tampoco equivale a un crecimiento idéntico de vulnerabilidades explotadas en ataques reales. Según las cifras citadas por Bressers, 1.363 CVE publicadas en 2026, alrededor del 1,4% del total, se habían incorporado al catálogo de vulnerabilidades conocidas como explotadas que contabilizaba VulnCheck; aun así, un porcentaje pequeño aplicado a una base mucho mayor puede representar muchos más casos.

La ventana para reaccionar se estrecha

La proporción de vulnerabilidades que llega a la explotación es solo una parte del problema: también importa cuánto tiempo tienen los defensores para corregirlas antes de que alguien aproveche la información pública. CrowdStrike encontró que, entre enero y junio, el 88% de la explotación observada con código de prueba de concepto público ocurrió dentro de las 48 horas posteriores a la publicación de ese código.

En el mismo periodo, grupos vinculados a China, entre ellos Vault Panda y Genesis Panda, iniciaron ataques dentro de las 24 horas siguientes a la divulgación, según CrowdStrike. La cifra se refiere a los casos observados por la empresa y muestra cómo la disponibilidad de una prueba de concepto puede acortar el tiempo entre conocer una falla y convertirla en una herramienta de ataque.

Los datos de VulnCheck muestran otra medida del cambio: la mediana del tiempo entre la publicación de una CVE y su explotación cayó de 120 días en 2025 a 80 días durante la primera mitad de 2026. Bressers señaló que esa ventana se redujo todavía más en la segunda mitad del año y describió casos en los que los efectos aparecen en cuestión de horas.

Como ejemplo, Bressers mencionó 14 vulnerabilidades de escalada a permisos de administrador en controladores de refrigeración Copeland que VulnCheck divulgó el viernes; dos estaban bajo explotación activa. Se trata de dispositivos que, según el reporte, hackers iraníes habían utilizado para estropear alimentos y provocar incendios en supermercados de distintos puntos de Europa.

Bressers afirmó que, minutos después de publicar las CVE de Copeland, la firma observó impactos en sus honeypots, sistemas señuelo que ayudan a detectar actividad maliciosa. Consideró plausible que la IA esté contribuyendo a acelerar esta dinámica, aunque aclaró que atribuir cada actividad a una herramienta concreta puede ser difícil. El caso ilustra por qué una publicación técnica puede atraer intentos de explotación casi de inmediato, pero no confirma que la IA causara esos intentos.

De corregir todo a priorizar lo que importa

Frente al crecimiento de los registros, Bressers planteó que las organizaciones necesitan cambiar el foco: en lugar de perseguir cada CVE por separado, deben identificar cuáles afectan a sus propios sistemas. Su propuesta consiste en elaborar mapas de calor de la infraestructura y cruzar esa información con los riesgos concretos, para distinguir una falla relevante para la organización de otra que no compromete sus activos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, CISA, emitió en junio una directiva sobre la priorización de actualizaciones de seguridad basada en el riesgo. La directiva consolida y aclara las pautas para que las agencias federales atiendan vulnerabilidades; entre los factores relevantes están si un activo está expuesto a internet, si alguien explota activamente la vulnerabilidad y si un atacante puede automatizar el uso de la falla.

Ese enfoque contrasta con ordenar las tareas únicamente mediante la puntuación de severidad CVSS y atender primero todo lo clasificado como crítico. Bressers dijo que las organizaciones deben colocar arriba de la lista las vulnerabilidades que realmente las afectan; una calificación alta importa, pero no describe por sí sola la exposición de cada sistema ni el contexto operativo en el que se encuentra.

La avalancha también presiona a los mantenedores de software de código abierto, que pueden recibir más reportes de los que sus equipos tienen capacidad para verificar y atender. Bressers describió proyectos individuales sobrecargados por informes y fundaciones afectadas por agentes de IA que consultan o descargan sus paquetes millones de veces al día, una demanda que, según él, tensiona la infraestructura y los recursos disponibles.

Algunos proyectos ya modifican sus modelos de operación. La Eclipse Foundation, que alberga el registro Open VSX, lanzó en abril un nivel gestionado para organizaciones que lo usan a gran escala: la opción promete una disponibilidad de 99,95% respaldada por créditos de servicio y cuenta entre sus clientes con AWS, IBM, Google, Cursor y Windsurf, de modo que usuarios comerciales contribuyan al mantenimiento del servicio.

En otro frente, Daniel Stenberg, mantenedor de curl, actualizó en octubre las reglas para reportar errores ante lo que describió como una avalancha de informes de vulnerabilidades. Desde el 26 de octubre, los reportes de severidad baja y media van directamente al repositorio público de GitHub, mientras que el equipo reserva el tratamiento privado para fallas altas y críticas; Stenberg también había cerrado ese año el programa de recompensas por errores de curl debido a la carga de presentaciones generadas con IA.

Para Bressers, estos cambios son necesarios, aunque pueden generar resistencia cuando alteran procesos establecidos, como los registros de paquetes o las reglas para reportar errores. Su advertencia central es que la industria tendrá que ajustar pronto sus prácticas: con más fallas identificadas y menos tiempo para responder, la prioridad ya no puede ser solo acumular avisos, sino decidir con datos cuáles requieren atención inmediata.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín