Tres días para atacar: la explotación de vulnerabilidades pone contra las cuerdas a los ciclos de parcheo
Las empresas llevan años intentando reducir el tiempo que transcurre entre la publicación de una vulnerabilidad y la instalación del parche correspondiente. Sin embargo, los atacantes parecen estar ganando esta carrera. Según el último Quarterly Threat Landscape Report de Rapid7, correspondiente al tercer trimestre de 2026, los ciberdelincuentes tardan una media de apenas tres días en comenzar a explotar una vulnerabilidad de gravedad alta o crítica.
El informe revela que el 71 % de la actividad de explotación analizada se produjo durante los primeros siete días desde la divulgación de las vulnerabilidades. El porcentaje alcanza el 80% a las dos semanas y el 90 % durante el primer mes.
Estos plazos plantean un problema para las organizaciones que siguen trabajando con ciclos semanales o mensuales de actualización. Una vulnerabilidad puede estar siendo explotada antes de que llegue la siguiente ventana de mantenimiento.
No todas las vulnerabilidades tienen el mismo riesgo
Rapid7 identificó 43 nuevas vulnerabilidades explotadas durante el tercer trimestre, un 7% menos que en el trimestre anterior, aunque un 19% más que un año antes. Por tanto, el problema no es tanto un crecimiento descontrolado del número de fallos explotados como la rapidez con la que los atacantes aprovechan aquellos que consideran más interesantes.
De hecho, el 79 % de las vulnerabilidades explotadas no requería autenticación ni interacción del usuario. Esto significa que los atacantes podían aprovecharlas de forma remota, sin necesidad de robar previamente unas credenciales o convencer a alguien de que abriera un archivo malicioso.
Esta circunstancia obliga a revisar cómo se priorizan las actualizaciones. Una vulnerabilidad con una puntuación de gravedad elevada no siempre representa el mismo riesgo para todas las empresas. También importa si el sistema afectado está expuesto a Internet, si existen herramientas para explotarla y qué consecuencias tendría un ataque.
La investigación apunta, por tanto, a la necesidad de combinar la gestión de vulnerabilidades con una visión más precisa de la exposición real de cada organización.
La IA todavía no dirige los ataques
El informe también analiza el papel de la inteligencia artificial en las operaciones maliciosas. Aunque se habla cada vez más de ataques autónomos, Rapid7 señala que sólo el 8 % de los informes de amenazas examinados mencionaba el uso operativo de IA.
En los casos documentados, los atacantes humanos seguían decidiendo los objetivos, mientras que la IA ayudaba en tareas como seleccionar técnicas, evaluar posibles víctimas o adaptar los siguientes pasos de una operación.
Para Rapid7, el reto inmediato no está tanto en una supuesta proliferación de ataques completamente autónomos como en la capacidad de los delincuentes para aprovechar rápidamente vulnerabilidades conocidas.
La conclusión es que las empresas difícilmente podrán corregir todos los fallos al mismo ritmo al que se descubren. La prioridad debe ser identificar cuáles pueden explotarse realmente, qué sistemas están más expuestos y dónde es necesario actuar sin esperar al siguiente ciclo de actualizaciones.
La entrada Tres días para atacar: la explotación de vulnerabilidades pone contra las cuerdas a los ciclos de parcheo se publicó primero en Ciberseguridadtic.