Los atacantes están explotando una parte significativa de las vulnerabilidades incluso antes de que tú, como defensor, recibas un CVE (Vulnerabilidades y Exposiciones Comunes) publicado.

En la primera mitad de 2026, el 23,43% de las vulnerabilidades explotadas conocidas presentaban evidencia de explotación activa el día de su publicación de CVE o antes. Esta cifra es ligeramente inferior al 28,93% registrado en 2025, pero en general, el ritmo de explotación está aumentando.

El tiempo medio entre la publicación del CVE y la inclusión de una vulnerabilidad en la base de datos de Vulnerabilidades Explotadas Conocidas (KEV) de VulnCheck cayó de 120 días en 2025 a solo 80 días en los primeros seis meses de 2026.

Durante este periodo, VulnCheck identificó 495 vulnerabilidades que se confirmó estaban siendo explotadas en entornos reales. Esto resalta un desafío constante para ti: la divulgación pública no crea necesariamente una ventana segura para la remediación.

En muchos casos, es posible que los atacantes ya tengan el código de explotación, estén escaneando sistemas vulnerables o hayan comprometido objetivos incluso antes de que se asigne formalmente un CVE. Además, el volumen de CVE crece más rápido que la tasa a la que se confirma que son explotados.

La emisión de CVE aumentó un 45% en comparación con el periodo anterior de seis meses, mientras que el número de vulnerabilidades explotadas conocidas aumentó un 10%. Como resultado, la proporción de KEV respecto a los CVE recién publicados cayó al 1,4%, frente a un máximo del 2,7% en la segunda mitad de 2023.

Sin embargo, esto no significa que enfrentes menos riesgos. La evidencia de explotación a menudo surge semanas, meses o incluso años después de la divulgación.

En la primera mitad de 2026, aproximadamente 200 CVE alcanzaron el estado de "explotado conocido" en tan solo 31 días desde su publicación, una tasa coherente con años anteriores. El rápido aumento de nuevos CVE ha superado la explotación temprana, pero el ritmo sigue siendo operativamente riesgoso.

Los Sistemas de Gestión de Contenidos (CMS) fueron la categoría tecnológica más atacada, representando aproximadamente un tercio de todos los KEV rastreados por VulnCheck. Gran parte de esta actividad estuvo vinculada a vulnerabilidades en plugins de WordPress.

Sin embargo, los atacantes también se dirigieron a otras plataformas, incluyendo Drupal, Ghost y Kentico Xperience. Esta tendencia enfatiza la necesidad de que realices un parcheo continuo tanto de los núcleos de los CMS como de las extensiones de terceros.

Los dispositivos de red perimetral también siguieron siendo un objetivo principal. Las vulnerabilidades recién explotadas afectaron a productos de proveedores como Cisco, Palo Alto Networks, Check Point, F5, Juniper, Fortinet, SonicWall, Ubiquiti, D-Link y Netgear.

Los dispositivos orientados a Internet son particularmente atractivos para los atacantes, ya que una explotación exitosa puede otorgarles acceso directo a las redes corporativas.

Los productos de IA también están empezando a formar parte de la superficie de ataque. VulnCheck observó ataques en herramientas utilizadas para el desarrollo de modelos de IA, escalado de carga de trabajo, pasarelas de IA, agentes y automatización de flujos de trabajo.

Se observó que los atacantes dirigidos a vulnerabilidades en LangFlow, incluyendo CVE-2026-0769 y CVE-2026-5027, estaban recolectando credenciales, desplegando mineros de criptomonedas e intentando movimientos laterales dentro de las redes.

A pesar de las preocupaciones sobre el descubrimiento de vulnerabilidades asistido por IA, los datos aún no indican que los fallos encontrados por IA tengan más probabilidades de ser explotados.

De 1.061 vulnerabilidades vinculadas al descubrimiento asistido por IA, solo 14, o el 1,3%, fueron confirmadas como explotadas en entornos reales. Deberías priorizar la remediación basada en riesgos, centrarte en los sistemas orientados a Internet y parchear las vulnerabilidades cuya explotación esté confirmada lo más rápido posible.