La nueva investigación de Microsoft muestra que los atacantes eligen fallos que les dan el control de un sistema. Alrededor del 78% de las vulnerabilidades explotadas en ataques reales permiten que un atacante tome el control de un sistema o aumente sus privilegios.

El hallazgo proviene de un estudio de datos publicado el 2 de noviembre de 2026 por Microsoft Security Research. Los fallos de software siguen acumulándose. Desde 1999 hasta septiembre de 2026, se divulgaron aproximadamente 383,000 vulnerabilidades.

Solo unas 2,000 de ellas, aproximadamente el 0.5%, estuvieron vinculadas a una explotación en el mundo real. Menos de 1 de cada 200 fallos llega a convertirse en un ataque real, por lo que tú, como defensor, ganas mucho sabiendo cuáles son los que importan.

Los investigadores de Microsoft Yair Tsarfaty y Or Begam señalaron que los atacantes buscan errores de ejecución remota de código, escalada de privilegios y omisión de autenticación mucho más que otros tipos.

Los analistas también advirtieron que la búsqueda de errores y la escritura de exploits asistidas por IA podrían reducir el tiempo que tú tienes para reaccionar. Esto sigue una tendencia ya observada cuando los atacantes explotan fallos a las pocas horas de su divulgación.

Microsoft revela que el 78% de las vulnerabilidades explotadas

El equipo estudió cada CVE de dos maneras: por impacto y por plataforma afectada. El impacto significa el mejor resultado que un atacante podría obtener. Por ejemplo, si un error omite el inicio de sesión y luego permite la ejecución remota de código, Microsoft lo cuenta como ejecución remota de código.

Las plataformas incluyeron Windows, Linux y Unix, móviles, dispositivos de red, IoT y OT, hosts de virtualización y paquetes de desarrolladores.

El conjunto total de CVE se ve muy diferente al conjunto de los explotados. De todos los CVE publicados, aproximadamente el 77% se encuentran en el código de la aplicación y el 23% en el código del sistema operativo.

Entre los errores explotados, los fallos del sistema operativo saltan al 41%. La ejecución remota de código en el lado del servidor sube del 20% de todos los CVE al 37% de los explotados. La escalada de privilegios locales sube del 11% al 18%, y la ejecución remota de código en el lado del cliente del 4% al 13%.

Los tipos de errores de bajo valor caen drásticamente. El cross-site scripting baja del 15% al 4%, y la denegación de servicio del 16% al 7%.

Microsoft explicó que un bloqueo o la ejecución de un script pequeño le dan al atacante poco en lo que basarse, mientras que la ejecución de código y los privilegios más altos proporcionan un punto de apoyo para pasos posteriores.

Un buen ejemplo es el fallo de escalada de privilegios de Windows en el controlador CLFS, que permitió que los usuarios locales alcanzaran el acceso SYSTEM.

Microsoft también advirtió que la etiqueta de un error no siempre coincide con los resultados reales. Algunos fallos descritos como ejecución remota de código pueden causar solo un bloqueo en condiciones reales. Por lo tanto, tú y tu equipo deberían comprobar qué puede hacer realmente un atacante antes de priorizar una corrección.

Por qué el parcheo lento ayuda a los atacantes

El segundo hallazgo es sobre la velocidad. Los datos de exposición de Microsoft de 2026 muestran que la corrección media tarda unas dos semanas en las estaciones de trabajo Windows.

En los servidores Windows tarda más de un mes. Los servidores Linux y las aplicaciones de macOS tardan más de 10 semanas, y los dispositivos de red tardan más de un año. Esa brecha es la ventana que utilizan los atacantes, y es más amplia en los sistemas que más importan.

La explotación se mueve mucho más rápido. VulnCheck informó que el 29% de los exploits en 2025 se lanzaron dentro del primer día de la publicación del CVE. Los datos de CISA muestran que el tiempo medio desde la publicación del CVE hasta el catálogo KEV cayó de 89 días en 2024 a 57 días en 2025.

En 2026, hasta septiembre, la media es de 20 días y la mediana es de solo 3 días. Microsoft dice que dos cosas deciden el valor de un fallo para un atacante: el impacto y la exposición. Los servidores a menudo ejecutan cuentas de servicio o identidades de nube con más permisos de los que necesitan.

Tomar el control de una de ellas da acceso a datos, derechos de administrador y rutas de red confiables. Microsoft llama a esto el radio de explosión. El código de exploit público empeora esto, como se vio cuando el zero-day MiniPlasma de Windows dio acceso SYSTEM en máquinas parcheadas.

Microsoft dijo que tú deberías corregir primero los fallos de toma de control. Detenerlos rompe una intrusión temprano, antes de que se propague. El segundo nivel incluye la denegación de servicio en sistemas donde el tiempo de actividad es crítico y las credenciales filtradas que alimentan rutas de identidad privilegiadas.

El mismo patrón se muestra en el zero-day del controlador de Cloud Files, donde los atacantes utilizaron un fallo local para obtener derechos SYSTEM. El parcheo sigue siendo clave, pero algunos sistemas antiguos o no compatibles no pueden parchearse.

Microsoft sugiere encontrar todos los activos expuestos a internet, incluyendo la IT en la sombra y las dependencias de terceros, con Defender External Attack Surface Management.

Luego, Defender Vulnerability Management clasifica las debilidades más allá de las puntuaciones CVSS, utilizando señales de exploit, exposición a internet y el valor del activo.

El Análisis de Ruta de Ataque muestra cómo un servidor expuesto podría conducir, a través de una identidad privilegiada, a datos sensibles, para que tú y tu equipo puedan cortar esa ruta. Microsoft también comparte más detalles en su publicación de investigación original.