Más vulnerabilidades, menos tiempo: por qué revisar con regularidad sus sistemas expuestos a internet

El 17 de octubre de 2026, los servidores señuelo de Amazon registraron un intento de explotar PHP2Shell, dos fallos críticos en el propio PHP. La corrección llegó cuatro días después.

Nuestra opinión: no es una excepción, y la velocidad es solo la mitad. Cada año se publican muchas más vulnerabilidades, mientras que el tiempo para actuar sobre las que usan los atacantes sigue siendo corto. Por eso saber qué sistemas suyos son accesibles desde internet, y qué ejecutan, tiene que ser una rutina, no un proyecto anual.

El doble de vulnerabilidades que hace un año

Las vulnerabilidades reciben un número público, llamado CVE, cuando se publican. Según el índice de cve.tools, en 2022 se publicaron unas 25 000 y en 2025 unas 49 000. Este año, a 23 de octubre, ya iban más de 88 000: 2,2 veces más que en los mismos meses del año pasado.

Las críticas crecieron todavía más deprisa: casi 9000 en lo que va de año, 2,7 veces más que un año antes.

Los ataques se confirman en días

La mayoría de las vulnerabilidades nunca se ataca. CISA, la agencia de ciberseguridad de Estados Unidos, mantiene una lista de las que tienen ataques confirmados. Este año ya ha añadido 270, más que en todo 2025.

Lo que importa a una empresa es cuánto tarda en ocurrir. Cerca de la mitad de las vulnerabilidades nuevas de la lista de CISA tuvieron ataques confirmados antes de una semana desde su publicación. Lleva tres años igual: 2024, 2025 y 2026.

Y la confirmación llega después de los ataques, no antes: cuando una vulnerabilidad entra en la lista, alguien ya la ha usado. Así que esperar a esa lista es esperar demasiado. Y hay más que revisar: para encontrar las pocas vulnerabilidades que le afectan, un equipo tiene que mirar ahora el doble que hace un año.

Antes era muy distinto. Mandiant, el equipo de inteligencia de amenazas de Google, midió cuánto pasaba desde que salía una corrección hasta el primer ataque: unos dos meses en 2018–2019, un mes en 2021–2022 y 5 días en 2023.

Algunos ataques llegan antes de cualquier aviso. VulnCheck, una empresa que sigue los ataques a vulnerabilidades, comprobó que casi un tercio de las vulnerabilidades atacadas por primera vez en 2025 se atacaron el mismo día de su publicación, o antes.

La IA es parte del motivo. El equipo de seguridad de Amazon, en su análisis de PHP2Shell, afirma que las herramientas de IA abaratan convertir una corrección publicada en un ataque que funciona. Estas herramientas no dejan de mejorar, así que no esperamos que el margen para actuar vuelva a crecer.

Lo que mostró este mes

La semana de PHP2Shell, Laravel, Node.js, GitLab y la autoridad de certificación eMudhra también necesitaron correcciones. Reunimos las cinco alertas en una nota, con cuántos sitios web usan el software afectado.

Otros artículos de nuestro blog muestran el mismo patrón desde otros ángulos:

• un servidor de código Gitea propio que hubo que revisar desde fuera cuando una vulnerabilidad suya entró en la lista de fallos explotados de CISA;
• interfaces de gestión de VMware vCenter accesibles desde internet, después de que un fallo de vCenter entrara en esa misma lista.

En cada caso, la primera pregunta útil fue la misma: ¿usamos esto y se puede acceder a ello desde fuera?

Lo que puede costar una actualización pendiente

Para el responsable de una empresa, las consecuencias se reducen a unos pocos resultados concretos. Dos casos bien documentados los muestran.

• Datos de clientes robados. Desde el 27 de mayo de 2023, el grupo de ransomware CL0P aprovechó un fallo entonces desconocido en MOVEit Transfer, un producto de transferencia de archivos que las empresas exponen a internet. Según las agencias estadounidenses CISA y FBI, los atacantes instalaron una web shell, una puerta trasera oculta, y la usaron para robar datos. Ninguna actualización podía frenar la primera oleada. Pero las agencias esperaban una «explotación generalizada de servicios de software sin parchear», y las empresas que sabían que tenían un MOVEit accesible desde internet pudieron actuar en cuanto hubo corrección.
• Datos bloqueados. En febrero de 2023, la campaña ESXiArgs cifró archivos en servidores VMware ESXi, el software que ejecuta las máquinas virtuales de muchas empresas. CISA y el FBI escribieron que los atacantes podían estar aprovechando vulnerabilidades conocidas, probablemente en servidores sin los parches disponibles, y que habían comprometido más de 3800 servidores en todo el mundo.

Detrás de estos resultados hay costes que una empresa ya conoce: avisar a los clientes de que sus datos quedaron expuestos, responder al cuestionario de seguridad de un cliente con un incidente en el historial, reconstruir sistemas en lugar de atender a los clientes.

Nuestra opinión sobre un punto más: los datos robados no se quedan con el ladrón. En una campaña anterior contra otro producto de transferencia de archivos, GoAnywhere, la nota de rescate de CL0P avisaba a las víctimas de que venderían su información en el mercado negro y la publicarían en su blog. Una vez publicados, cualquiera puede leer esos datos, también un competidor. Y una vulnerabilidad pública es pública para todos: el aviso que le dice a su equipo qué corregir le dice a cualquier otro qué buscar.

Por qué revisiones periódicas y no una sola

Una evaluación anual responde a dos preguntas durante un día: qué sistemas son accesibles desde internet y qué falla en ellos. Las dos respuestas envejecen. Ya escribimos sobre la primera, el perímetro que no deja de cambiar. Este artículo trata de la segunda: aunque nada cambie por su parte, cada día se publican vulnerabilidades nuevas en software que usted ya usa, hoy más que nunca.

El análisis externo periódico repite la revisión según un calendario. En cada pasada puede mostrar:

• qué sitios web, subdominios y servicios suyos responden desde internet, incluidos los nuevos;
• qué tecnologías y versiones dejan ver a cualquiera: el servidor web, la plataforma del sitio, el lenguaje de programación;
• qué vulnerabilidades conocidas corresponden a esas versiones y cuáles de ellas tienen ataques confirmados;
• paneles de administración expuestos, copias de pruebas y otros sistemas que no deberían ser públicos.

Vea cómo SeguriScan muestra un hallazgo en uno de sus activos y qué corregir primero.

Si un sitio oculta sus versiones, es una pequeña ventaja: desde fuera es más difícil saber si está afectado. No es una protección. Las herramientas automáticas de los atacantes no se quedan en el número de versión: prueban el propio fallo. Una versión oculta también puede impedir que un análisis externo la asocie a un fallo conocido, así que su equipo de TI quizá tenga que confirmar qué hay instalado.

El análisis tiene otros límites. Ve lo que es visible desde fuera, así que no ve los componentes exactos dentro de una aplicación. Informa de problemas probables; si uno sirve de verdad para entrar es una pregunta para una prueba de intrusión. Y no corrige nada: le dice a su equipo por dónde empezar, y la actualización sigue siendo cosa suya.

¿Cada cuánto? Acuerde un calendario fijo con su equipo de TI, más frecuente para los sistemas más importantes y más expuestos. Entre análisis, revise las alertas urgentes sobre el software que usa, y vuelva a comprobar tras cada cambio importante y cada corrección.

Cinco preguntas para su equipo esta semana

1. ¿Tenemos una sola lista de todos los sitios web, subdominios y servicios que exponemos a internet, incluidos los que gestionan agencias y filiales?
2. ¿Sabemos, para cada uno, qué software ejecuta y quién lo actualiza?
3. Cuando se publica una vulnerabilidad crítica, ¿cómo sabemos si nos afecta y cuánto tardamos en saberlo?
4. ¿Cuándo se revisó desde fuera por última vez cada sistema accesible desde internet?
5. Si un sistema resultara comprometido, ¿a quién llamaríamos y a qué clientes tendríamos que informar?

Preguntas frecuentes

Este año hicimos una prueba de intrusión. ¿No es suficiente?

Es valiosa y llega más hondo que cualquier análisis. Pero describe el día en que se hizo. Las vulnerabilidades publicadas después en software que usted ya usa no están en su informe.

¿El análisis periódico evita los ataques?

No. Acorta el tiempo entre que aparece un problema y su equipo lo sabe. La corrección sigue siendo una actualización, un cambio de configuración o desconectar un sistema.

Somos una empresa pequeña. ¿Alguien nos atacaría?

Gran parte de la explotación empieza con análisis automáticos que buscan software vulnerable en todo internet, no empresas concretas. Amazon vio los primeros intentos contra PHP2Shell en sus propios servidores señuelo, instalados solo para captar este tipo de ataques. Importa menos el tamaño que lo que usted expone.

¿Quiere ver cómo sería para su empresa? SeguriScan, la plataforma de IntruForce, examina desde fuera los sistemas de su empresa accesibles desde internet. Solicite un piloto gratuito de SeguriScan con el formulario de abajo. Primero acordamos con usted el alcance y los sistemas que se evaluarán, y confirmamos que tiene autorización para solicitar la revisión. No se analiza nada antes. Después obtiene acceso a la plataforma SeguriScan con los activos descubiertos, los hallazgos y los informes. Sin compromiso de continuar.

---

Fuentes (en inglés)

• Número de vulnerabilidades y cifras del catálogo KEV de CISA: índice de cve.tools, consultado el 23 de octubre de 2026. CVE de todas las fuentes, solo publicados, por año de publicación: 25 490 (2022), 29 231 (2023), 40 912 (2024), 49 399 (2025), 88 271 (1 de enero–23 de octubre de 2026, frente a 39 594 en el mismo periodo de 2025). Críticas = etiqueta de gravedad: 8997 frente a 3348; 10 465 CVE de 2026 aún no tenían gravedad. Entradas de KEV por fecha de inclusión: 186 (2024), 245 (2025), 270 (2026 hasta la fecha). De los CVE con menos de un año al incluirse, parte que entró en KEV antes de 7 días desde la publicación o antes de ella: 55,3 %, 51,3 %, 51,8 %.
• Mandiant (Google Cloud): How Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends (16 de octubre de 2024). Medias sin algunos casos extremos: 63, 44, 32 y 5 días; con ellos, 47 días en 2023.
• VulnCheck: State of Exploitation 2026. 884 vulnerabilidades explotadas por primera vez en 2025, el 28,96 % el día de su publicación o antes.
• Amazon Threat Intelligence: explotación de PHP2Shell anterior a la divulgación pública, detectada en MadPot (21 de octubre de 2026).
• CISA y FBI: aviso AA23-158A sobre CL0P y la vulnerabilidad CVE-2023-34362 de MOVEit Transfer; aviso AA23-039A sobre el ransomware ESXiArgs.