Las vulnerabilidades CVE marcaron un récord en 2026. El registro mundial de fallos de seguridad divulgados superó los 100.000 y cerró el viernes 13 de noviembre en 100.222, con el conteo de VulnCheck todavía en marcha y el año sin terminar.
La cifra duplica con holgura el total de 2025, que quedó en 49.972 fallos. Josh Bressers, director de divulgación coordinada de vulnerabilidades de VulnCheck, contó a The Register que el número asusta por otro motivo: dentro de un par de años, dijo, 100.000 parecerá poco. Solo Microsoft sumó 1.094 fallos el martes 10 de noviembre, tras otros 1.474 en el mes anterior.
Un CVE, sigla de Common Vulnerabilities and Exposures, es el identificador único que recibe cada fallo publicado. Lo asignan las CVE Numbering Authorities, las organizaciones autorizadas por el programa CVE para numerar vulnerabilidades: firmas de seguridad, fabricantes y proyectos grandes como VulnCheck, Microsoft, Oracle y GitHub. Entre los mayores asignadores por volumen figuran GitHub, el núcleo de Linux y Patchstack, que numera los fallos de complementos de WordPress. Cada identificador nuevo entra en la cola de trabajo de miles de equipos que deben decidir qué parchean primero.
La búsqueda de fallos con IA va a otra velocidad
Bressers atribuyó la mayor parte del aumento a la caza de vulnerabilidades asistida por inteligencia artificial. Las autoridades de numeración, afirmó, están publicando a un ritmo que nadie en el sector recuerda. El recuento independiente hecho sobre el repositorio oficial cvelistV5 apunta en la misma dirección: entre enero y octubre de 2026 se publicaron 89.849 CVE, ya por encima de los 48.151 de todo 2025. Octubre cerró con 17.049 CVE en un solo mes, contra 4.302 de enero.
Ese mismo recuento detalla quién empuja el contador. GitHub pasó de 2.256 a 12.443 identificadores asignados entre enero y octubre al comparar 2026 con 2025. VulnCheck saltó de 336 a 7.678, el núcleo de Linux de 4.476 a 8.201 y Microsoft de 1.108 a 4.437. El pronóstico que FIRST, el foro mundial de equipos de respuesta a incidentes, publicó en febrero se quedó corto: su mediana era de 59.427 CVE para el año y su techo rondaba los 118.000.
El costo lo cargan también los proyectos de código abierto. Bressers describió a desarrolladores ahogados en reportes de vulnerabilidades generados con IA. El caso de curl lo ilustra con nombre propio: su mantenedor, Daniel Stenberg, cambió las reglas el 26 de octubre y mandó los reportes de gravedad baja y media directo al repositorio público de GitHub, con trato privado solo para los graves y críticos. Meses antes, curl ya había cerrado su programa de recompensas por fallos ante la pila de envíos asistidos por IA.
Explotar un fallo ya toma horas, no meses
Del total publicado este año, el 1,4 % entró en el catálogo de vulnerabilidades explotadas de VulnCheck: 1.363 fallos con ataques reales confirmados. Bressers lo puso en proporción con una frase simple: el 1 % de 1.000 no se parece al 1 % de 100.000. Y el plazo para reaccionar se achicó: el tiempo medio entre la publicación de un CVE y su explotación bajó de 120 días en 2025 a 80 días en la primera mitad de 2026, con datos de VulnCheck.
CrowdStrike midió el mismo apriete desde el otro lado. Entre enero y junio, el 88 % de la explotación observada con código de prueba de concepto público ocurrió dentro de las 48 horas posteriores a la publicación de ese código. Grupos vinculados a China como Vault Panda y Genesis Panda se movieron en 24 horas. Esa ventana corta es la que ya obliga a parchear vulnerabilidades en horas a los equipos que administran sistemas expuestos.
The Register contó además el episodio que mejor resume el cambio de ritmo. VulnCheck divulgó el viernes 14 fallos de tipo «make-me-root» en controladores de refrigeración Copeland, equipos usados en supermercados y cadenas de frío. Dos ya estaban bajo explotación activa. Ese tipo de controlador ya sufrió abusos de atacantes iraníes para dañar alimentos y provocar incendios en supermercados de Europa. Minutos después de la publicación, los sistemas trampa de la propia VulnCheck empezaron a recibir intentos de ataque contra esos mismos fallos.
La respuesta oficial en Estados Unidos cambió en junio. La Agencia de Ciberseguridad y Seguridad de Infraestructuras, CISA, emitió una directiva que jubila la práctica de parchear por orden de gravedad CVSS y manda priorizar por riesgo concreto: si el sistema está expuesto a internet, si el fallo ya se explota y si el ataque se puede automatizar. Bressers lo resumió ante The Register con la frase que queda de esta historia: «Ya no tenemos un problema de seguridad. Tenemos un problema de datos».
Con 100.222 fallos contados el 13 de noviembre y seis semanas de año por delante, el registro de 2026 todavía no tiene techo visible: la Fundación Eclipse ya cobra una capa gestionada de su registro Open VSX, con disponibilidad del 99,95 %, para financiar el mantenimiento que el volumen nuevo exige, y entre sus clientes figuran AWS, IBM, Google y Cursor.
Fuente: The Register
Top comments (0)