En mayo de 2026, la base de datos de avisos de GitHub alcanzó un máximo histórico al publicar 1,560 avisos de seguridad revisados, lo que representa más de cinco veces su producción mensual habitual. A pesar de este logro, la plataforma ha tenido dificultades para seguir el ritmo del creciente volumen de informes de vulnerabilidades, lo que refleja un cambio general en el ecosistema global de divulgación de vulnerabilidades.

La Base de Datos de Avisos de GitHub alcanzó un máximo histórico en mayo de 2026, publicando 1.560 avisos de seguridad revisados, más de cinco veces su producción mensual habitual.

A pesar de este hito, la plataforma todavía tuvo dificultades para mantener el ritmo ante un volumen de informes de vulnerabilidades que se expande rápidamente, lo que refleja un cambio más amplio en el ecosistema global de divulgación de vulnerabilidades.

Según GitHub, este aumento no es un pico temporal sino parte de una tendencia sostenida. Entre marzo y mayo de 2026, la plataforma procesó más de 6.000 decisiones de avisos por mes, incluyendo nuevas publicaciones, actualizaciones y revisiones entrantes.

Al mismo tiempo, los datos entrantes aumentaron drásticamente en todas las fuentes. Los informes privados de vulnerabilidades subieron de aproximadamente 550 por semana en enero a más de 3.000 por semana en mayo, mientras que los avisos de repositorios superaron los 5.000 envíos por semana.

Las solicitudes de CVE también experimentaron un aumento dramático, con casi 4.000 enviadas a través de la CNA (Autoridad de Numeración de CVE) de GitHub solo en mayo, casi 10 veces más que el año anterior.

La Base de Datos de Avisos de GitHub alcanza un récord de vulnerabilidades

A nivel mundial, ya se han publicado más de 30.000 CVE en 2026, lo que resalta la creciente escala del descubrimiento y la divulgación de vulnerabilidades.

Este aumento ha impactado directamente en los plazos de procesamiento de los avisos. Desde mediados de abril, GitHub no ha podido cumplir sus objetivos internos de publicación de manera constante.

Los tiempos de revisión se han extendido de días a varias semanas en algunos casos, aumentando las ventanas de exposición potencial para vulnerabilidades sin parchear.

A pesar de los retrasos, GitHub afirmó que todos los avisos revisados continúan siendo sometidos a validación humana, asegurando el mapeo preciso de paquetes, las versiones afectadas y la clasificación de severidad.

Las tasas de asignación de CVE se han mantenido estables entre el 91% y el 94%, lo que indica que la calidad de los envíos no ha disminuido significativamente.

El desafío principal radica en el rendimiento y no en un fallo del sistema. La infraestructura y las canalizaciones de datos de GitHub continúan funcionando según lo diseñado. Sin embargo, la complejidad y el volumen de los avisos entrantes ahora superan la capacidad original del sistema.

No todos los avisos requieren el mismo nivel de esfuerzo. Los informes bien estructurados con nombres de paquetes claros, rangos de versiones y correcciones pueden revisarse en cuestión de minutos.

Sin embargo, un número creciente de envíos requiere una investigación más profunda, como resolver ambigüedades de paquetes en diferentes ecosistemas, reconstruir datos de versiones faltantes y conciliar información contradictoria de los proveedores originales.

Por ejemplo, una vulnerabilidad reportada en una biblioteca compartida puede afectar a paquetes de npm y NuGet, requiriendo una validación separada en cada ecosistema.

En otros casos, los datos inconsistentes entre los registros de CVE y los commits del repositorio obligan a los curadores a verificar el impacto correcto manualmente.

Para abordar estos desafíos, GitHub está escalando sus operaciones mejorando los sistemas de triaje, expandiendo la capacidad del backend y desplegando herramientas de investigación asistidas por IA.

Estas herramientas ayudan a automatizar tareas repetitivas mientras preservan la supervisión humana para los pasos de validación críticos. La empresa también está invirtiendo en mejor documentación y capacitación para incorporar nuevos revisores de manera más eficiente.

De cara al futuro, GitHub planea mejorar la priorización basada en riesgos, teniendo en cuenta señales del mundo real como la actividad de explotación y el uso de paquetes.

También está trabajando para mejorar la calidad de los datos en la fuente, fortaleciendo la integración con los sistemas de reporte originales.

La empresa enfatizó que la participación de la comunidad sigue siendo fundamental. Se anima a los investigadores y mantenedores a enviar datos de vulnerabilidades completos y precisos, incluyendo vectores CVSS, clasificaciones CWE e identificadores de paquetes precisos.

Los envíos de alta calidad pueden reducir significativamente el tiempo de revisión y mejorar la eficiencia general del ecosistema.

Este crecimiento récord refleja un cambio fundamental en la ciberseguridad. Más organizaciones están adoptando la divulgación responsable, más investigadores están identificando vulnerabilidades y más mantenedores están publicando correcciones.

Si bien esto crea presión operativa, también marca un progreso hacia una mayor transparencia y una seguridad mejorada en toda la cadena de suministro de software.