Ciberamenazas 2026 en cifras: una nueva vulnerabilidad cada 6 minutos, el exploit antes de que salga el parche

En 2018, entre la divulgación pública de una vulnerabilidad y el primer ataque pasaban de media 63 días. Hoy esa cifra es de menos siete. No, no es una errata: de media, los atacantes empiezan a explotar el agujero una semana antes de que el fabricante publique el parche. Y mientras tanto, el mundo añade al catálogo público una nueva vulnerabilidad de media cada 6 minutos. 💥

En mi trabajo consulto a menudo informes de threat intelligence — en parte porque me toca, en parte por curiosidad profesional. Y desde hacía tiempo tenía la sensación de que las cifras que salen de ellos no llegan a componer una imagen completa en la cabeza de la gente. Porque cada una circula por su cuenta: aquí alguien publica un gráfico de CVE, allá otro suelta el porcentaje de phishing con IA. Así que decidí reunir en un solo sitio los datos que mejor muestran cuánto ha cambiado el terreno de juego: cuántas vulnerabilidades detectamos, con qué rapidez se convierten en armas, cuántos agujeros parchean los más grandes, cuántos errores nuevos producimos nosotros mismos y qué aporta la IA a todo esto.

Abordo el tema con orden académico: cada cifra tiene aquí su fuente y su año. Y al final, seis conclusiones que se derivan directamente de estos datos para tu empresa.

Índice de contenidos

1. Cuántas vulnerabilidades detectamos — y por qué el récord se bate cada año
2. Tiempo desde la vulnerabilidad hasta el ataque: de 63 días a menos siete
3. Los ataques a través de agujeros en el software crecen en avalancha: del 14% al 31% de las brechas en dos años
4. Cuántos agujeros parchean los gigantes — Microsoft, Google y compañía
5. ¿De dónde salen todos estos errores? La IA escribe código más rápido de lo que lo aseguramos
6. Nuevas amenazas de la IA: phishing, deepfakes e intrusiones en piloto automático
7. Polonia en cifras: más de 700 incidentes al día
8. Qué hacer con todo esto — 6 cosas que se derivan directamente de los datos
9. FAQ

Cuántas vulnerabilidades detectamos — y por qué el récord se bate cada año

Una breve explicación para los no técnicos: CVE es el catálogo público y mundial de vulnerabilidades — cada agujero divulgado en un software recibe su número (p. ej. CVE-2026-12345) para que todos hablemos del mismo fallo en el mismo idioma.

Y ese catálogo crece a un ritmo que hace apenas cinco años me habría parecido un absurdo:

• 2022: 25.084 vulnerabilidades nuevas
• 2023: 29.066 (+16%)
• 2024: 40.313 (+39%)
• 2025: 48.449 (+20%)
• 2026, a 19 de agosto: ya 53.803 — más que en todo el año récord de 2025, a cuatro meses y medio de que acabe el año. Esa es exactamente la nueva vulnerabilidad cada 6 minutos.

(Cifras de cvedetails.com, según las fechas de publicación en la base NVD, a 19.08.2026. Otras metodologías — p. ej. el «CVE Data Review» anual de Jerry Gamblin — dan valores que difieren en menos de un 1%; la dirección es la misma en todas partes.)

FIRST — la organización que, entre otras cosas, desarrolla el sistema de evaluación del riesgo de las vulnerabilidades — pronosticaba para 2026 unos 59.400 CVE nuevos, y en junio subió la previsión a ~66.000. Entre los motivos cita explícitamente el descubrimiento de vulnerabilidades asistido por IA. Una pequeña honestidad de cronista, para que las cifras no chirríen: la previsión se hizo en junio, aún antes de la aceleración del verano, y el contador de 53.800 es el estado a 19 de agosto — no el cierre del año. Al ritmo actual (más de 230 CVE nuevos al día), 2026 se cerraría más cerca de los 85.000. Las previsiones, sencillamente, no dan abasto con la realidad. A esto se suma una curiosidad del género «casi se cae»: en abril de 2025 el programa CVE estuvo a punto de pararse por la expiración de la financiación de MITRE — el contrato se prorrogó literalmente la noche antes de la fecha límite. Europa sacó sus conclusiones y ENISA puso en marcha su propia base de datos, la EUVD, que funciona bajo el paraguas de NIS2.

Ahora lo más importante, para no caer en el pánico: de esta avalancha solo se explota activamente una fracción. Del estudio del Cyentia Institute y FIRST se desprende que alrededor del 6% de todos los CVE publicados presenta algún rastro de uso en ataques. De las 35.000 vulnerabilidades del primer semestre de 2026, en la lista de las explotadas activamente (el catálogo KEV de la CISA estadounidense — hablamos de él en un momento) aterrizaron… 85, es decir, un 0,24%.

Lección n.º 1: Nadie — ni tú ni una corporación con mil administradores — va a parchear 48.000 agujeros al año. Y no hace falta. No gana quien lo parchea todo, sino quien sabe cuáles de sus agujeros están siendo atacados de verdad y cierra esos primero. El problema es que cada vez hay menos tiempo para decidirlo — de eso hablo más abajo.

Tiempo desde la vulnerabilidad hasta el ataque: de 63 días a menos siete

El time-to-exploit (TTE) es el tiempo medio desde la divulgación pública de una vulnerabilidad hasta su primer uso en un ataque real. Google Mandiant lo mide desde hace años y esta serie de datos es, para mí, el gráfico más importante de todo el sector:

• 2018–2019: 63 días
• 2020–mediados de 2021: 44 días
• 2021–2022: 32 días
• 2023: 5 días
• 2024: −1 día
• 2025: alrededor de −7 días (estimación del informe M-Trends 2026)

¿Cómo puede un tiempo ser negativo? Es simple y aterrador a la vez: una parte cada vez mayor de las vulnerabilidades explotadas son zero-days (días cero) — agujeros que el atacante encuentra y explota antes de que el fabricante sepa siquiera que existen, o sea, antes de que exista parche alguno. Google Threat Intelligence Group contó en 2025 90 zero-days explotados en ataques (78 el año anterior), con una cuota récord del 48% de productos corporativos — incluidos, oh ironía, sistemas de seguridad: VPN, firewalls y otros dispositivos perimetrales (edge).

Y el zero-day ni siquiera es el único motivo. También actúa el patch gapping: en los proyectos open source el arreglo a veces está visible en el repositorio público de código unos días antes del lanzamiento oficial — los atacantes comparan los cambios, reconstruyen el fallo a partir de ellos y escriben el exploit antes de que los usuarios lleguen a recibir la actualización (un clásico con el motor V8 de Chrome). Súmale el propio proceso de divulgación coordinada: antes de que salga el parche, del agujero ya saben el investigador que lo reportó, el equipo del fabricante y, a veces, socios avisados de antemano — y cada uno de esos eslabones ha sido alguna vez fuente de una filtración. Y no pocas veces el fabricante se entera de la vulnerabilidad precisamente porque alguien detectó un ataque en curso — el parche y el número CVE nacen solo entonces, así que la fecha de la primera explotación cae, por definición, antes del «día cero».

¿Y cuando el parche ya existe? Tampoco hay tregua:

• Según VulnCheck, el 29% de las vulnerabilidades con explotación confirmada en 2025 fue atacado el día de la publicación del CVE o antes.
• Palo Alto Unit 42 observa escaneos de internet en busca de sistemas vulnerables en un cuarto de hora desde el anuncio de un CVE.
• Mi ejemplo favorito a escala «humana»: Cloudflare registró intentos de ataque contra un agujero recién descubierto en JetBrains TeamCity 22 minutos después de la publicación del código proof-of-concept. En 22 minutos no te da tiempo ni a montar la reunión de seguimiento, no digamos ya a desplegar el parche.
• Para los dispositivos perimetrales (VPN, firewalls — todo lo que «asoma» a internet), el Verizon DBIR da una mediana de tiempo hasta la explotación masiva de 0 días.

Al otro lado de la barricada, el ritmo es este: la mediana de tiempo para parchear del todo una vulnerabilidad de la lista de las explotadas activamente es, en las empresas, de 43 días (DBIR 2026) — y solo el 26% de esas vulnerabilidades llega a parchearse por completo. ¿El resultado? En el informe DBIR de este año, la explotación de vulnerabilidades se convirtió, por primera vez en los 19 años de historia del estudio, en el vector número 1 de acceso inicial a las empresas (31% de las brechas), destronando a las contraseñas robadas.

Y un ritmo más, ya después de la intrusión: CrowdStrike midió el breakout time medio — el tiempo en el que el atacante «se propaga» por la red desde la primera máquina comprometida — en 29 minutos en 2025. El récord: 27 segundos.

¿Quieres verlo en directo? Pásate por zerodayclock.com — un dashboard que agrega datos de más de 3.500 vulnerabilidades explotadas en el mundo real (CISA KEV + VulnCheck). Es una medición independiente de la de Mandiant, con otra muestra y otra metodología — y señala exactamente la misma dirección: para las vulnerabilidades de 2018, el tiempo medio hasta el ataque era allí de 2,3 años; para las de 2026 ya es de menos 23 horas (a 19.08.2026). La mediana ya perforó los umbrales de la semana y del día, y el de la hora debería caer hacia 2027. El reloj hace tictac cada vez más rápido — literalmente.

Lección n.º 2: La «ventana de parcheo» como concepto ha dejado de existir. De media, el ataque empieza antes que el parche, y las empresas tardan semanas en parchear lo que se ataca en minutos. Por eso, junto al plan de parcheo necesitas un plan para la situación en la que el parche todavía no existe: reducción de la exposición, segmentación y detección. Si el breakout dura media hora — y no ves al intruso en media hora — lo próximo que verás será la factura.

Los ataques a través de agujeros en el software crecen en avalancha: del 14% al 31% de las brechas en dos años

Si las vulnerabilidades crecen a ritmo récord y el tiempo hasta el exploit se ha vuelto negativo, esto debería notarse en las estadísticas de intrusiones reales. Y se nota — todos los grandes conjuntos de datos sobre incidentes señalan la misma dirección: la explotación de fallos en el software es hoy la puerta de entrada a las empresas que más rápido crece:

• Verizon DBIR (unas 22.000 brechas confirmadas): la cuota de la explotación de vulnerabilidades se disparó del 14% (edición 2024), pasando por el 20% (2025), hasta el 31% (2026) — más del doble en dos años y vector número 1 por primera vez en los 19 años de historia del informe, por delante de las contraseñas robadas y del phishing.
• IBM X-Force 2026: la explotación de aplicaciones expuestas a internet supone ya el 40% de los incidentes gestionados — la causa más frecuente, +44% interanual.
• Google Mandiant: los exploits, vector de intrusión más frecuente por sexto año consecutivo (32% de los casos gestionados por sus equipos de respuesta).
• Coalition (aseguradora cyber): el 58% de las reclamaciones por ransomware empieza con la toma de un dispositivo perimetral (VPN, firewall). Encaja con el DBIR, donde los ataques a dispositivos perimetrales se multiplicaron por ocho interanual.
• CrowdStrike: el 88% de la explotación observada de vulnerabilidades con código PoC público ocurrió dentro de las 48 horas siguientes a su publicación, y el número de zero-days explotados antes de la divulgación creció un 42% interanual.

El combustible de esta avalancha es todo lo que estás leyendo en este artículo: una oferta récord de vulnerabilidades, un time-to-exploit negativo, la IA ensamblando exploits en minutos — y los equipos perimetrales, que por naturaleza están plantados de cara a internet — muchas veces sin MFA y sin EDR, es decir, sin el software que detecta intrusos y que en esa «caja» cerrada sencillamente no se puede instalar — pero eso sí, con permisos sobre toda la red.

Para ser justos, porque la honestidad obliga: no es que la ingeniería social haya menguado. El phishing mantiene un nivel estable (~16% en el DBIR, 22% según Unit 42) y cambia de formato — hacia el vishing (+134% interanual según CrowdStrike), las páginas CAPTCHA falsas (+563%) o la llamada al helpdesk — y en los datos del sector pyme (Sophos), la raíz del 67% de los incidentes sigue siendo la identidad, porque ahí el atacante no explota nada: simplemente inicia sesión. La cuestión es que los exploits han alcanzado a la ingeniería social y crecen más rápido que ningún otro vector — hoy una empresa tiene que defender los dos frentes a la vez.

Lección n.º 3: La mayor dinámica está del lado de los exploits. Si tienes equipos perimetrales y aplicaciones públicas, el ritmo de parcheo y las pruebas son tu prioridad número uno — exactamente por las razones descritas en la lección n.º 2. Eso sí, no lo financies con el presupuesto de MFA y procedimientos: la ingeniería social no ha aflojado, solo ha cambiado de canal. El atacante siempre elegirá el más barato de tus dos frentes.

Cuántos agujeros parchean los gigantes — Microsoft, Google y compañía

Me gusta esta perspectiva porque es la que mejor funciona con quienes todavía creen que «el software decente no tiene fallos». Pues miremos a las empresas más ricas del mundo, con los mejores equipos de seguridad que se pueden comprar:

• Microsoft, en sus Patch Tuesday mensuales, parcheó 1.020 vulnerabilidades en 2024 y 1.139 en 2025 (según el recuento de la Zero Day Initiative), incluidos 41 zero-days. Y 2026 bate nuevos récords: 570 parches solo en julio y unos 400 en agosto. Lo curioso: el propio Microsoft admite que parte de esta avalancha es mérito de su sistema interno de búsqueda de vulnerabilidades basado en IA — las máquinas encuentran fallos más rápido que las personas.
• Google Chrome — el navegador en el que estás leyendo esto — recibió en 2025 parches para ~250 vulnerabilidades, incluidos 8 zero-days explotados activamente en ataques. En 2026 Google también puso la IA a buscar: tres versiones consecutivas de Chrome parchearon en total 1.442 fallos de seguridad, y un agente basado en Gemini encontró, entre otras cosas, un agujero en el sandbox que llevaba 13 años en el código. Google describe, además, un sistema de agentes con un agente-crítico aparte que criba las falsas alarmas antes de que el hallazgo llegue a los humanos.
• Mozilla (Firefox) — solo en las versiones de abril corrigió 423 fallos de seguridad, frente a los típicos 20–30 al mes durante todo 2025. 271 de ellos se encontraron con la ayuda de Claude Mythos Preview (el nombre sale tal cual del artículo técnico de Mozilla). Comentario honesto del CTO de Firefox: la IA no encontró nada que no hubiera encontrado un investigador humano de élite — pero lo encontró al por mayor, y no al ritmo de un agujero por semana.
• El kernel de Linux — el equipo del kernel publicó 432 CVE en unas 30 horas (19–20 de julio de 2026). Para ser justos: el kernel asigna CVE con mucha generosidad (a cada arreglo que puede tener implicaciones de seguridad), así que no son 432 agujeros críticos — pero la magnitud del caudal impresiona de todas formas.
• Oracle — su paquete acumulativo de parches de julio (Critical Patch Update) suma cerca de 1.450 parches de seguridad que cubren 1.235 CVE únicos. Los trimestres anteriores: entre 309 y 481. Un salto de más del cuádruple en tres meses — Oracle no explica de dónde sale, pero el patrón es idéntico al de los demás.
• Apple — no es distinto: la pequeña actualización «puntual» iOS 26.6.1 del 17 de agosto de 2026 parchea por sí sola 42 vulnerabilidades (la mayoría en WebKit, el motor de Safari). Así es hoy la actualización rutinaria de ese teléfono que «no hace falta actualizar porque total, funciona».
• CISA KEV — el catálogo que mantiene la agencia estadounidense CISA con las vulnerabilidades de las que hay certeza de que se explotan en ataques reales (de ahí el nombre: Known Exploited Vulnerabilities) — cuenta hoy con 1.674 entradas, de las cuales 245 se añadieron en 2025. Esta es precisamente esa lista corta por la que debería empezar todo parcheo.

Sobre estos casos individuales se superpone una medida agregada. Epoch AI contó los CVE de severidad alta y crítica publicados por las 21 mayores organizaciones tecnológicas (desde Microsoft hasta el proyecto Apache): en julio de 2026 fueron unos 2.500 — más o menos cinco veces el récord mensual previo al anuncio de abril de Claude Mythos Preview (unos 490). El gráfico es igual en todas: plano durante años, y luego una pared.

Y aquí una honestidad importante: estos agujeros no los escribió la IA. Los escribieron personas — durante décadas. Es la deuda técnica de todo el sector, que la IA en manos de investigadores competentes empieza ahora a saldar al por mayor. Una noticia muy buena… con tres peros que veo desde la trinchera del defensor:

• Riesgo de regresión: ¿cómo despliegas parches para varios cientos de vulnerabilidades en un solo producto sin romper nada? Sin entorno de pruebas, orden de despliegue y plan de marcha atrás — de ninguna manera.
• Banalización: otra semana, otros cientos de parches. La fatiga de alertas es un mecanismo real — y basta con pasar por alto justo la que acaba de entrar en la lista KEV.
• Asimetría creciente: al atacante le basta un agujero; el defensor tiene que abarcarlos todos. La IA ha aumentado la oferta de agujeros y el ritmo en ambos bandos — solo que el atacante puede elegir.

Lección n.º 4: Si Microsoft, Google y Apple — con presupuesto ilimitado — parchean en sus productos más de mil agujeros al año, adivina si es segura esa aplicación que un subcontratista escribió para tu empresa en medio año. Los errores en el software no son una vergüenza: son matemáticas y estadística. La vergüenza empieza cuando nadie en tu casa busca activamente esos errores — porque entonces el primer «tester» acaba siendo el delincuente. Y la nueva segunda mitad de esta lección para 2026: si los parches llegan de cientos en cientos, la seguridad también se decide en el proceso de actualización — pruebas, orden, rollback. La IA no es una máquina de escupir CVE; a quien más potencia es a quien sabe qué buscar. Asegúrate de que en tu bando también haya gente así.

¿De dónde salen todos estos errores? La IA escribe código más rápido de lo que lo aseguramos

Si los récords caen del lado de la detección de vulnerabilidades, lo honesto es preguntar: ¿y cuántos errores nuevos introducimos? Aquí 2025 trajo dos estudios que deberían estar colgados sobre el escritorio de cada CTO:

Veracode examinó a más de 100 modelos de IA con 80 tareas de programación con trampas de seguridad conocidas. Resultado: el 45% de las tareas termina en código con una vulnerabilidad de la lista OWASP Top 10 (esa «lista de éxitos» del sector con los errores más frecuentes en las aplicaciones). En Java, el porcentaje supera el 70%. Y lo más interesante: los modelos sucesivos, cada vez más nuevos, escriben código sintácticamente cada vez más bonito — pero para nada más seguro.

Apiiro analizó decenas de miles de repositorios de código en grandes corporaciones y calculó que los programadores asistidos por IA entregan 3–4 veces más código — pero generan 10 veces más problemas de seguridad. El número de rutas de escalada de privilegios (o sea, de maneras de pasar de una cuenta normal a admin) en el código con IA creció un 322%. La IA elimina de maravilla las erratas y los errores de sintaxis — y a cambio produce en serie errores de arquitectura y de lógica, exactamente los que no se ven a primera vista.

Cerremos el círculo: FIRST cita como uno de los motivos para subir la previsión de CVE de 2026… el descubrimiento de vulnerabilidades asistido por IA (solo los avisos en GitHub Security Advisories crecieron un 449% interanual). O sea: la IA escribe más código vulnerable, la IA encuentra más vulnerabilidades en el código ajeno, y nosotros — los humanos — estamos en medio con el mismo presupuesto de parcheo de siempre. Una cucharada de miel: según VulnCheck, de las más de mil vulnerabilidades atribuidas a descubrimientos de la IA, de momento se ha explotado en ataques reales el 1,3%. De momento.

Lección n.º 5: La IA en la programación es una excavadora: cava más rápido tanto los cimientos como los hoyos. Si tus equipos (o tus subcontratistas) usan IA para programar — y la usan, aunque digan lo contrario 😈 — la revisión de seguridad y las pruebas tienen que ser parte del proceso de desarrollo, no una acción puntual después del despliegue.

Nuevas amenazas de la IA: phishing, deepfakes e intrusiones en piloto automático

El volumen de ataques lleva años creciendo: Check Point calculó que una organización media repelía en 2025 una media de 1.968 ataques semanales — un 70% más que dos años antes, y en julio de 2026 el contador saltó a 2.336. Pero la cifra en sí no es la novedad que profesionalmente me parece más interesante (y más aterradora). La novedad es la calidad y la automatización:

El phishing ya lo escribe la IA, no el «príncipe de Nigeria». KnowBe4 estima en su informe de este año que el 86% de los ataques de phishing está asistido por IA. Un estudio descrito en Harvard Business Review mostró que con un phishing generado íntegramente por IA picó el 60% de los participantes — lo mismo que con los mensajes escritos por expertos humanos en ingeniería social. La era del «detectarás el fraude por las faltas de ortografía» se ha acabado definitivamente.

El deepfake ha entrado en las oficinas. Entrust — a partir de los datos de sus sistemas de verificación de identidad — estima en su informe Identity Fraud 2025 que un intento de fraude con deepfake ocurre de media cada 5 minutos. El símbolo sigue siendo el caso del estudio de ingeniería Arup, de principios de 2024. Y no es una leyenda urbana: el incidente lo confirmó la policía de Hong Kong, y la propia empresa admitió que se usaron voces e imágenes falsificadas. Un empleado, tras una videoconferencia con deepfakes de su propio CFO y de sus compañeros, ejecutó 15 transferencias por un total de 25,6 millones de dólares. No hizo clic en ningún enlace sospechoso. Vio «con sus propios ojos» a sus jefes.

Las intrusiones pasan al piloto automático. Tres hitos documentados del último año largo:

• «Vibe hacking»: Anthropic describió una operación en la que un solo delincuente usó un agente de IA para robar datos y extorsionar a 17 organizaciones en un mes — la IA hacía el reconocimiento, recolectaba credenciales, analizaba las finanzas de las víctimas y calculaba el rescate «óptimo» (las exigencias llegaban a los 500.000 dólares). Un grupo APT de una sola persona.
• La primera campaña de espionaje dirigida principalmente por IA: en noviembre de 2025, Anthropic reveló una operación vinculada a un Estado en la que un agente de IA hizo el 80–90% del trabajo en los ataques contra ~30 objetivos, y el humano tomó decisiones en 4–6 puntos de toda la campaña.
• PromptLock — el primer ransomware conocido impulsado por un modelo de IA local (detectado por ESET; por suerte resultó ser un proyecto de investigación de la universidad NYU — pero el concepto ya es público). Añade frameworks tipo HexStrike-AI, tras cuyo estreno los delincuentes presumían de haber acortado el tiempo de explotación de vulnerabilidades recientes «de días a menos de 10 minutos».

Y para completar, un clásico en edición nueva: el ransomware. En 2025 se publicaron en los sitios de filtraciones los datos de 7.458 empresas víctimas (+30% interanual), y aparecieron 73 grupos criminales nuevos. La automatización ha bajado la barrera de entrada también en el lado oscuro del mercado laboral.

Lección n.º 6: La IA no ha inventado ni un solo tipo de ataque nuevo. Ha hecho algo peor: les ha quitado a los ataques el coste y el tiempo, y ha subido su calidad hasta un nivel en el que «el empleado atento» deja de ser una medida de protección. La atención tiene que ser sustituida por procedimientos que funcionen incluso cuando la persona crea a sus ojos y a sus oídos — de eso va la sección «qué hacer».

Polonia en cifras: más de 700 incidentes al día

Para cerrar con los datos, un vistazo a mi mercado local, Polonia — para que nadie piense que esto es solo cosa de Silicon Valley:

• CERT Polska recibió en 2025 658.320 avisos y registró 260.783 incidentes únicos — un aumento del 152% interanual. Son más de 700 incidentes al día. Reinan el phishing y las estafas (97% de los incidentes); los delincuentes suplantaron sobre todo a OLX (28.500 incidentes) y a Allegro (22.500), los grandes portales polacos de compraventa. El ritmo en 2026 no afloja: solo en julio, el CERT registró 31.200 incidentes (+12% interanual), y la lista de advertencias sobre dominios peligrosos ha crecido desde enero en 158.000 entradas.
• Según Check Point, una organización polaca media repelió en el último año 1.854 ataques semanales (+15% interanual) — un pelín por debajo de la media europea, pero la dirección es la misma.
• KPMG, en su «Barómetro de ciberseguridad 2026» (encuesta a 100 empresas medianas y grandes): el 96% de las empresas polacas registró en 2025 al menos un incidente de seguridad. Récord en los 9 años de historia de este estudio.
• ¿Y qué tal la resiliencia? En el informe «Ciberseguridad — Tendencias 2026» (Xopero), solo el 29% de las empresas declara una ciberresiliencia alta o muy alta, y el 64% no tiene ciberseguro.

Lección n.º 7: El cruce de estas dos cifras lo dice todo: tuvo un incidente el 96% de las empresas, declara una resiliencia alta el 29%. La pregunta «¿me atacarán?» está estadísticamente resuelta. Quedan abiertas otras dos: si te vas a dar cuenta y cuánto te va a costar.

Qué hacer con todo esto — 6 cosas que se derivan directamente de los datos

No voy a dejarte solo con los gráficos. Cada punto de abajo sale directamente de las cifras de arriba — nada de filosofía:

1. Haz inventario de lo que «asoma» a internet. La mediana de tiempo hasta la explotación masiva de los dispositivos perimetrales es de 0 días, y casi la mitad de los zero-days de 2025 apuntaba a equipos corporativos — VPN y firewalls. Si no tienes una lista actualizada de tus sistemas visibles desde internet, el atacante la hará por ti (en un cuarto de hora, como recordarás).
2. Parchea según el riesgo, no según la cantidad. 48.000 CVE al año frente a 245 entradas nuevas en la lista de las explotadas de verdad (KEV). Lo crítico y expuesto a internet — en 24–72 horas; el resto, gestiónalo como proceso. Una mediana de 43 días para parchear un agujero activamente atacado es, hoy, ir buscándose problemas.
3. Ten un plan para cuando no hay parche. Si el time-to-exploit medio es negativo, parte de los ataques llegará, por definición, antes que el parche. Limita la exposición de los servicios, segmenta la red, prepara interruptores de emergencia («¿qué podemos cortar en una hora sin matar el negocio?»).
4. Invierte en detección, no solo en murallas. El breakout time es de 29 minutos, y el traspaso de un acceso entre delincuentes puede durar 22 segundos. Una monitorización (SOC propio, un servicio MDR — lo que encaje con la escala de tu empresa) que de verdad mire las alertas de noche y en fin de semana ha dejado de ser un lujo de corporaciones.
5. Procedimientos a prueba de deepfakes. Si el 60% de la gente pica con el phishing de la IA y «el CEO en el vídeo» puede estar generado — ninguna persona debería poder, por sí sola, ejecutar una transferencia atípica ni el cambio de cuenta bancaria de un proveedor. Devolver la llamada a un número conocido, segunda firma, límites. ¿Aburrido? Justo lo aburrido es lo que salva millones.
6. Ponte a prueba antes de que lo haga otro. Microsoft y Google parchean mil agujeros al año porque alguien los busca activamente. A tu escala, ese papel lo cumple exactamente el test de penetración (un ataque controlado contra tus sistemas tras el cual recibes la lista de agujeros y las formas de cerrarlos) o un programa de bug bounty. Si quieres saber cuánto cuesta a tu escala — calcúlalo en 2 minutos con mi calculadora de precios, y si prefieres hablarlo: escríbeme.

FAQ

¿Cuántas vulnerabilidades (CVE) se detectaron en 2025?

48.449 CVE nuevos (cvedetails.com, según la base NVD; otros recuentos dan 48.200–49.900). En 2026, el contador superó todo el año anterior ya el 19 de agosto (53.803). Previsión de FIRST para todo 2026: unos 66.000.

¿Qué es el time-to-exploit y cuánto vale?

Es el tiempo medio desde la divulgación pública de una vulnerabilidad hasta su primer uso en un ataque. Según los estudios de Google Mandiant, cayó de 63 días (2018–2019) a alrededor de menos 7 días en 2025 — de media, los ataques empiezan antes de la publicación del parche, porque crece la cuota de zero-days.

¿Con qué rapidez explotan los delincuentes las vulnerabilidades recién divulgadas?

El escaneo de internet empieza unos 15 minutos después del anuncio del CVE (Unit 42), el ~29% de las vulnerabilidades con explotación confirmada fue atacado el día de la publicación o antes (VulnCheck, 2025), y para los dispositivos perimetrales la mediana de tiempo hasta la explotación masiva es de 0 días (Verizon DBIR).

¿De verdad crecen los ataques a través de fallos en el software?

Sí, más rápido que ningún otro vector: en el Verizon DBIR, la cuota de la explotación de vulnerabilidades subió del 14% al 31% de las brechas en dos años (vector n.º 1 por primera vez en la historia del informe), y en IBM X-Force ya es el 40% de los incidentes (+44% interanual). El phishing, mientras tanto, no desaparece (16% en el DBIR, 22% según Unit 42) — cambia de forma hacia el vishing y ClickFix, así que hay que tomarse en serio ambos frentes.

¿Es seguro el código escrito por IA?

No por defecto. Veracode: el 45% de las tareas de programación realizadas por modelos de IA termina en código con una vulnerabilidad. Apiiro: los equipos con IA escriben 3–4× más código, pero generan ~10× más problemas de seguridad.

¿Por qué en 2026 se parchean cifras récord de vulnerabilidades?

Porque se ha puesto a la IA a buscar fallos. Mozilla corrigió en sus versiones de abril 423 fallos (lo típico son 20–30 al mes), de los cuales 271 los encontró con ayuda de Claude; Chrome parcheó 1.072 fallos en dos versiones; Oracle publicó cerca de 1.450 parches en un solo trimestre. Según Epoch AI, el número de CVE graves de las 21 mayores organizaciones alcanzó en julio de 2026 unos 2.500 — alrededor de 5× el récord previo a la era de los agentes de IA.

¿Cuántos ataques semanales repele una empresa en Polonia?

Una media de 1.854 ataques semanales por organización (Check Point, agosto de 2026, +15% interanual). CERT Polska registró en 2025 un total de 260.783 incidentes — más de 700 al día.

Conclusión

Todas estas cifras cuentan una sola historia: la carrera que antes medíamos en semanas hoy la medimos en minutos — y en algunos puntos el tiempo se ha vuelto negativo. Las vulnerabilidades crecen al ritmo más rápido de la historia, el exploit adelanta al parche, la IA ha reducido el coste del ataque casi a cero y, al mismo tiempo, el 96% de las empresas polacas ya tiene un incidente a sus espaldas. La buena noticia es paradójica: si en realidad solo se ataca una fracción de las vulnerabilidades, no ganan los que tienen el mayor presupuesto, sino los que conocen su propio terreno, parchean según el riesgo y ven al intruso en minutos, no en meses. Eso se puede aprender — y por ahí empieza todo buen plan de seguridad. ✔️

Y si quieres comprobar cómo se ve tu empresa desde la perspectiva de un atacante — ya sabes dónde encontrarme.

Fuentes de los datos utilizados en este artículo

• cvedetails.com — estadísticas de CVE por años (a 19.08.2026); Jerry Gamblin — «CVE Data Review» (jerrygamblin.com)
• FIRST — Vulnerability Forecast 2026 (febrero y junio de 2026)
• Google Mandiant — «Time-to-Exploit Trends» (2024) y «M-Trends 2026»
• Google Threat Intelligence Group — «2025 Zero-Days in Review» (marzo de 2026)
• VulnCheck — «State of Exploitation» (enero y julio de 2026)
• Verizon — Data Breach Investigations Report 2024–2026
• IBM — X-Force Threat Intelligence Index 2025 y 2026; Sophos — Active Adversary Report 2025 y 2026; Palo Alto Unit 42 — Global Incident Response Report 2025 y 2026
• Coalition — Cyber Threat Index 2025; ENISA — Threat Landscape 2025; Red Canary — Threat Detection Report 2026
• Cloudflare — Application Security Report 2024
• CrowdStrike — Global Threat Report 2026
• Cyentia Institute & FIRST — «A Visual Exploration of Exploitation in the Wild» (2024)
• Zero Day Initiative / Tenable — resúmenes de Patch Tuesday 2024–2026; Apple — security releases (iOS 26.6.1, 08.2026)
• Mozilla Hacks — «Behind the scenes: hardening Firefox» (05.2026); Google Security Blog — «Stronger with every update» (07.2026)
• Epoch AI — «Disclosed CVEs: July Reached 5× the Pre-Mythos Record» (07.2026)
• Oracle — Critical Patch Update July 2026; The Register — «Linux kernel team publishes 432 CVEs in two days» (07.2026)
• Zero Day Clock (zerodayclock.com) — agregador de datos de explotación (CISA KEV + VulnCheck)
• Veracode — GenAI Code Security Report 2025; Apiiro — análisis de código con IA (2025)
• Check Point Research — informes 2025–2026; KnowBe4 — Phishing Threat Trends 2026
• Anthropic — informes de threat intelligence (agosto y noviembre de 2025); ESET — PromptLock (2025)
• Entrust Identity Fraud Report 2025; Searchlight Cyber — ransomware 2025
• CERT Polska — Raport roczny 2025 (informe anual) y resumen mensual de julio de 2026; KPMG — Barometr cyberbezpieczeństwa 2026; Xopero — «Cyberbezpieczeństwo — Trendy 2026»; WEF — Global Cybersecurity Outlook 2026