Telemetría de Microsoft revela que el tiempo mediano de parcheo en appliances de red supera los 12 meses, justo cuando el ciclo de explotación se comprimió a 3 días en 2026.
Un análisis de Microsoft Security Research sobre aproximadamente 383,000 CVEs divulgados entre 1999 y septiembre de 2026 expone una brecha crítica en la gestión de vulnerabilidades corporativas: mientras el tiempo mediano para parchear dispositivos de red empresariales excede un año, el tiempo mediano desde la publicación de un CVE hasta su explotación activa cayó a 3 días en 2026. Los datos de parcheo provienen del producto Security Exposure Management de Microsoft y reflejan el comportamiento real de organizaciones durante 2026. Los investigadores Yair Tsarfaty y Or Begam señalaron que esa distancia entre la velocidad de explotación y la lentitud del parcheo en sistemas críticos define la ventana de oportunidad del atacante — y esa ventana es más amplia precisamente donde más daño puede hacerse.
Cuatro velocidades de parcheo según la plataforma — y ninguna alcanza
El tiempo mediano de parcheo varía drásticamente según el tipo de activo. Las estaciones de trabajo Windows registran aproximadamente dos semanas, el ciclo más corto del conjunto analizado. Los servidores Windows tardan más de un mes. En servidores Linux y aplicaciones corriendo sobre macOS, el tiempo mediano supera las 10 semanas. Los dispositivos de red empresariales — firewalls, balanceadores de carga, appliances VPN — permanecen sin parchear durante más de un año desde la divulgación del CVE.
Esa diferencia no es técnica sino operativa. Las actualizaciones de firmware en appliances de red pueden afectar operaciones críticas de negocio, lo que obliga a ventanas de mantenimiento estrechas, procesos de aprobación de cambios prolongados y pruebas exhaustivas antes del despliegue. En muchos casos, el problema no es identificar la vulnerabilidad sino coordinar equipos de red, seguridad y operaciones para remediarla sin interrumpir servicios. La dependencia de aplicaciones, la infraestructura heredada y los requisitos de disponibilidad rutinariamente retrasan las correcciones.
Mientras tanto, el ciclo de explotación se comprimió. Según cifras de CISA citadas por Microsoft, el tiempo medio desde la publicación de un CVE hasta su inclusión en el catálogo de vulnerabilidades conocidas explotadas cayó de 89 días en 2024 a 57 días en 2025. Para 2026 hasta septiembre, ese tiempo medio bajó a 20 días y la mediana a 3 días. El informe State of Exploitation 2026 de VulnCheck documentó que el 29% de los exploits en 2025 fueron lanzados dentro de un día de la publicación del CVE. En algunos casos, la explotación ocurre antes de la divulgación pública o antes de que las organizaciones completen su evaluación inicial.
Por qué los atacantes ignoran el 80% de los CVEs publicados
El perfil de las vulnerabilidades explotadas en la práctica difiere radicalmente de la población general de CVEs. Los RCE del lado del servidor representan el 20% de todos los CVEs publicados pero el 37% de los explotados en la naturaleza. La escalada local de privilegios sube del 11% al 18%, y los RCE del lado del cliente del 4% al 13%. En sentido inverso, las fallas de cross-site scripting caen del 15% de los CVEs publicados al 4% de los explotados, y las de denegación de servicio del 16% al 7%.
Las vulnerabilidades del sistema operativo constituyen el 23% de la población general pero representan el 41% de los CVEs explotados. Ese patrón es consistente con actores de amenaza que priorizan fallas capaces de entregar acceso significativo y control persistente. En conjunto, RCE, bypass de autenticación y escalada local de privilegios representan el 78% de las vulnerabilidades explotadas en el mundo real. Windows aparece como la plataforma más afectada entre los CVEs explotados en los datos de Microsoft.
El valor de una vulnerabilidad para un atacante depende de dos factores: impacto y exposición. El impacto es lo que la explotación exitosa entrega — ejecución remota de código, elevación de privilegios, acceso a datos. La exposición es el conjunto de identidades, privilegios y conexiones de red alcanzables desde el activo comprometido. Los servidores frecuentemente ejecutan cuentas de servicio, identidades de aplicación o identidades gestionadas en la nube con más permisos de los necesarios. Comprometer una de esas identidades puede abrir rutas hacia datos sensibles, derechos administrativos y redes de confianza. Una vulnerabilidad de severidad media en un sistema expuesto a internet con exploit conocido puede presentar mayor riesgo que una vulnerabilidad crítica en un activo aislado.
El impacto estructural en América Latina — donde la infraestructura heredada es norma, no excepción
Aunque el análisis de Microsoft no desglosa datos por región, el patrón de parcheo lento en dispositivos de red tiene implicancias directas en América Latina, donde la infraestructura heredada y los ciclos de actualización extendidos son norma en sectores regulados. Organizaciones financieras, de salud y de energía en México, Brasil, Colombia y Argentina operan appliances de red con firmware desactualizado durante períodos que exceden ampliamente el año mediano documentado por Microsoft, en parte por restricciones presupuestarias y en parte por la complejidad de coordinar actualizaciones en entornos de alta disponibilidad sin equipos de seguridad dedicados de tamaño suficiente.
El problema se agrava en contextos donde la misma vulnerabilidad afecta a múltiples organizaciones que dependen del mismo proveedor de appliances — un patrón común en la región, donde la concentración de proveedores de infraestructura crítica es mayor que en mercados más diversificados. Si un exploit para un firewall o balanceador específico se publica y las organizaciones tardan más de un año en parchear, la ventana de exposición no es teórica: es una superficie de ataque activa y predecible para actores que operan a escala regional.
Nuestro análisis
Este análisis de Microsoft documenta un desacople estructural entre la velocidad de los atacantes y la capacidad de respuesta de las organizaciones. El tiempo mediano de 3 días entre publicación de CVE y explotación activa en 2026 no es una anomalía — es la nueva línea de base. Ese ciclo comprimido refleja la maduración de herramientas de desarrollo de exploits asistidas por IA, la disponibilidad de infraestructura de explotación como servicio y la profesionalización de grupos de amenaza que operan con procesos de ingeniería inversa optimizados. Mientras tanto, el tiempo mediano de parcheo en dispositivos de red supera los 12 meses, lo que significa que la ventana de exposición no se mide en semanas sino en trimestres o años.
El patrón de explotación selectiva — donde el 78% de las vulnerabilidades explotadas en la práctica corresponden a tres categorías (RCE, bypass de autenticación, escalada de privilegios) — sugiere que los atacantes no explotan todo lo que pueden sino lo que les entrega control significativo con el menor esfuerzo. Eso invalida cualquier estrategia de priorización basada únicamente en CVSS: una vulnerabilidad de severidad media en un sistema expuesto con exploit público y ruta hacia identidades privilegiadas es más urgente que una crítica en un activo aislado sin exploit conocido. La pregunta que este análisis deja abierta es si las organizaciones pueden reducir esa brecha de un año en appliances de red sin cambiar radicalmente sus procesos de gestión de cambios — o si la única salida es asumir que esos dispositivos estarán permanentemente expuestos y construir controles compensatorios en capas superiores.