Ir al contenido
Indene
es

Artigos

La ventana entre la falla y el ataque se achica, y la corrección mensual deja de alcanzar

Microsoft afirma que la IA da ventaja al atacante y que el arma para explotar una falla está lista en menos de 24 horas. Pocas fallas son explotadas, pero las que importan llegan antes del ciclo mensual de corrección.

Por Rafael LimaCFO

4 min de lectura

Curva de perda assimétrica em traço fino sobre fundo escuro esverdeado, com o pico marcado em verde, e o título The patch window is now measured in hours.
Curva de perda assimétrica em traço fino sobre fundo escuro esverdeado, com o pico marcado em verde, e o título The patch window is now measured in hours.

El informe anual de defensa digital de Microsoft, publicado el 1 de octubre de 2026, afirma que la inteligencia artificial cambió la economía del ataque y de la defensa, con ventaja para el atacante en el corto plazo. El dato que más pesa para quien decide el presupuesto está en otra página: el tiempo mediano entre el descubrimiento de una falla en uso y el arma lista para explotarla cayó a mucho menos de 24 horas. En la lectura de Indene, esto no quiere decir que todas las fallas se volvieron urgentes. Quiere decir que las pocas que importan pasaron a ser explotadas antes de que el ciclo mensual de corrección llegue a ellas.

Lo que muestran las fuentes

indicador número fuente
Tiempo mediano entre el descubrimiento de una falla en uso y el arma lista mucho menos de 24 horas Microsoft, 2026
Tiempo típico de las empresas para corregir una falla crítica expuesta a internet 30 a 60 días Microsoft, 2026
Casos de respuesta a incidentes que empezaron por una aplicación expuesta explotada 24%, frente al 15% un año antes Microsoft, 2026
Tiempo medio hasta la explotación estimado en menos siete días (−7), es decir, antes de la corrección Mandiant, 2026
Vulnerabilidades explotadas por mes 18 de enero a agosto de 2026, frente a 10,5 en 2025 Google Threat Intelligence, 2026
Proporción de las vulnerabilidades divulgadas en 2026 que llegaron a ser explotadas 0,23% Google Threat Intelligence, 2026
Violaciones en América Latina y el Caribe que empezaron por explotación de vulnerabilidades 44% Verizon DBIR, 2026

Los números se complementan. El volumen de fallas divulgadas explotó: según Google, la cantidad de CVE publicadas por mes se duplicó entre enero y agosto de 2026. Pero solo una de cada 431 fue vista en uso por atacantes, y VulnCheck muestra que, de las fallas descubiertas con ayuda de IA en el primer semestre, solo el 1,3% fue explotada. Lo que se achicó no es el tiempo de todas las fallas; es el tiempo de las que importan, y se concentran en equipos de borde, acceso remoto e identidad.

Gartner registró el cambio del lado de quien gestiona el riesgo. En la encuesta a 316 ejecutivos y gestores de riesgo del segundo trimestre de 2026, el descubrimiento de vulnerabilidades por IA apareció por primera vez en la lista y ya en primer lugar entre los riesgos emergentes.

Lo que significa en conjunto

Las últimas semanas dieron ejemplos concretos. En Citrix NetScaler, la Unit 42 de Palo Alto Networks vio actividad de reconocimiento a partir del 21 de agosto y explotación hasta horas antes del boletín del fabricante, el 27 de septiembre. En Ivanti Connect Secure, Volexity vio explotación a partir del 3 de octubre en un equipo con todas las actualizaciones; la corrección salió el 13 de octubre. En los dos casos, quien siguió el calendario de corrección al pie de la letra quedó expuesto durante días o semanas sin saberlo.

Microsoft saca de ahí una recomendación directa: corregir en hasta 72 horas toda falla nueva que afecte a un sistema expuesto a internet o de identidad, y revisar los 90 días anteriores en busca de señales de que la falla fue usada antes de la corrección. Es una meta mucho más corta que los 30 a 60 días que el propio informe señala como práctica común.

Para el consejo, la consecuencia es de medida. El indicador "porcentaje de correcciones aplicadas en el mes" dice poco cuando una sola falla de borde, explotada durante diez días, pesa más que mil correcciones de rutina. Lo que importa es cuánto tiempo cada activo expuesto quedó vulnerable a una falla explotada y si existe prueba de que nadie entró en ese intervalo. En América Latina, donde la explotación de vulnerabilidades ya es la principal puerta de entrada de las violaciones, según Verizon, esa cuenta pesa todavía más.

También hay un efecto sobre la prueba. Una evidencia de cumplimiento tomada en marzo, como un informe de escaneo o una prueba de intrusión, pierde valor más rápido cuando la ventana entre la divulgación y el ataque cabe en una semana. La evidencia necesita fecha, y la fecha necesita ser reciente.

Qué hacer ahora

  1. Separe del resto el inventario de activos expuestos a internet y de identidad (VPN, gateways, acceso remoto, servidores de autenticación) y deles una meta de corrección en horas, no en semanas.
  2. Siga todos los días el catálogo de fallas explotadas de la CISA y los avisos de los fabricantes de esos activos, y no solo en el ciclo mensual.
  3. Para cada falla explotada que afectó a la institución, registre cuándo fue divulgada, cuándo fue corregida y el resultado de la búsqueda de señales de intrusión en el período.
  4. En el informe al consejo, cambie el volumen de correcciones por el tiempo de exposición de los activos críticos.
  5. Revise el apetito de riesgo para reflejar que el descubrimiento de fallas se volvió continuo, como recomienda Gartner.

En la lectura de Indene, la velocidad de corrección es un control como cualquier otro: vale lo que la prueba muestra, y la prueba envejece. El tiempo de exposición de un activo crítico es un dato que entra en el rango de pérdida. Lea la metodología.

Referencias

Temas

Sigue leyendo

Todas las noticias