La ventana de armamentización de exploits se ha reducido de semanas a horas
La brecha entre la divulgación pública de una vulnerabilidad y su primera explotación real se ha reducido de un promedio de 56 días en 2024 a unas 10 horas en la actualidad. En algunos casos registrados, la explotación comienza incluso antes de que se publique un parche. Los ciclos de parcheo diseñados en torno a cadencias mensuales y ventanas de remediación de 30 días nunca se pensaron para esto, y ese desajuste es ahora el principal motor de las brechas de seguridad que hacen noticia.
Esto no es hipotético. Es el patrón detrás de casi todas las historias de explotación importantes que IRCNF ha cubierto en las últimas dos semanas — y el patrón en sí es la noticia, no ningún CVE en particular.
Las cifras detrás del colapso
En 2025 se publicó un récord de 48.185 CVE, unos 131 al día, frente a 40.009 el año anterior. Ese volumen por sí solo hace imposible el triaje manual para la mayoría de los equipos de seguridad. El 47,7% de las vulnerabilidades añadidas al catálogo KEV de CISA en 2025 llevaban identificadores CVE de ese mismo año. Durante la primera semana tras la divulgación, más del 54% de las vulnerabilidades críticas sufren explotación activa. El tiempo mediano hasta la explotación masiva de un fallo recién divulgado es ahora de solo 5 días.
Mientras tanto, la respuesta de los proveedores no ha seguido el mismo ritmo. Incluso para vulnerabilidades ya confirmadas como explotadas activamente, los proveedores tardan una media de 15 días en publicar un parche. Para fallos críticos en general, el tiempo medio de parcheo en 2025 fue de 54,81 días.
Cuatro casos recientes que muestran el patrón
Investigadores de Wiz rastrearon una cadena de tres CVE en JFrog Artifactory que los atacantes usaron para plantar puertas traseras basadas en Rust en pipelines de construcción de empresas Fortune 100 durante una campaña de 24 días.
La Unidad de Investigación de Amenazas de Acronis documentó a un actor vinculado a China, rastreado como Red Heron, que convirtió una vulnerabilidad de Gitea (CVE-2026-60004) en un marco de hacking totalmente automatizado en cuestión de días.
Cisco Talos atribuyó la explotación activa de un fallo con CVSS 10,0 en Cisco Firepower Management Center (CVE-2026-20079) al grupo APT Sandworm y a operadores del ransomware Qilin.
Y cuando GitLab divulgó este mes una vulnerabilidad con CVSS 10,0 (CVE-2026-85706), el plazo de remediación de CISA para agencias federales llegó el mismo día de la divulgación.
Por qué la brecha sigue ampliándose
Tres fuerzas impulsan esta aceleración: primero, la ingeniería inversa asistida por IA ha hecho mucho más rápido pasar de un parche o prueba de concepto a un exploit funcional. Segundo, el modelo reactivo tipo KEV, aunque útil, es fundamentalmente un indicador rezagado. Tercero, el volumen puro: con 131 CVE publicados al día, ni siquiera los equipos de seguridad bien dotados pueden evaluar manualmente la explotabilidad de cada divulgación antes de que los atacantes lo hagan.
Qué deben cambiar realmente los defensores
La respuesta práctica no es "parchear más rápido" en abstracto, sino cambiar qué vulnerabilidades reciben atención inmediata y cómo se entrega la remediación. Los sistemas expuestos a internet, la infraestructura CI/CD y cualquier producto con historial en el catálogo KEV deberían tener un SLA de parcheo semanal, no mensual. La priorización debería ponderar señales de explotabilidad (pertenencia a KEV, disponibilidad de PoC público, puntuación EPSS) por encima de la puntuación CVSS bruta. Donde no se pueda desplegar un parche en 72 horas, el parcheo virtual mediante reglas WAF o segmentación de red debería servir de puente. Cualquier equipo que aún opere con el modelo mental de "parche del martes más 30 días" debería considerar ese modelo ya roto para cualquier sistema con exposición real a internet.