Las vulnerabilidades registradas en 2026 superan las 100,000, más del doble que en todo 2025

VulnCheck atribuye la mayor parte del salto a la búsqueda de fallas con IA. La proporción explotada sigue cerca de 1.4 %, pero el tiempo hasta el primer ataque se acorta.

El número de vulnerabilidades registradas como CVE en lo que va de 2026 pasó de 100,000 el viernes 13 de noviembre, más del doble del total de 2025, informó The Register. Josh Bressers, director de divulgación coordinada de vulnerabilidades de VulnCheck, contó 100,222 CVE a eso de las 4:00 p. m. UTC y atribuyó la mayor parte del salto a la búsqueda de fallas con IA. Solo Microsoft sumó 1,094 fallas el martes, después de 1,474 el mes anterior.

La proporción de fallas explotadas se mantiene estable: 1,363, el 1.4 % de los CVE publicados este año, entraron al catálogo de vulnerabilidades explotadas de VulnCheck. «Pero el 1 % de 1,000 es muy distinto del 1 % de 100,000», dijo Bressers. El margen para atacar también se acorta. Según VulnCheck, la mediana entre la publicación de un CVE y su explotación bajó de 120 días en 2025 a 80 días en el primer semestre de 2026. CrowdStrike, por su parte, observó que 88 % de la explotación con código de prueba público ocurrió en las 48 horas siguientes a su publicación.

Bressers puso como ejemplo 14 fallas que VulnCheck divulgó el viernes en controladores de refrigeración de Copeland, dos de ellas ya explotadas. «Publicamos esos CVE y literalmente minutos después veíamos intentos en nuestros señuelos», dijo. Para él, el problema ya es de datos: cada organización debe identificar las fallas que de verdad la afectan. Eso pide la directiva que la agencia de ciberseguridad de Estados Unidos (CISA) emitió en junio, que prioriza los equipos expuestos a internet, las fallas ya explotadas y las que se pueden automatizar.

La avalancha también pesa sobre el código abierto. Daniel Stenberg, mantenedor de curl, cerró este año el programa de recompensas por fallas del proyecto por la cantidad de reportes generados con IA, y desde el 26 de octubre los reportes de severidad baja y media van directo al repositorio público en GitHub.

Fuente: The Register: «This year's bug count just passed 100K», 13 de noviembre de 2026.