Dos fuentes contadas la misma mañana

A las siete de la tarde del 27 de julio, CISA publicó la versión 2026.07.27 de su catálogo de vulnerabilidades explotadas conocidas. Entraron dos: un fallo en Fortinet FortiOS y una inyección de comandos en el VeloCloud Orchestrator de Arista. El catálogo quedó en 1.655 entradas, que es todo lo que la agencia ha podido confirmar como atacado desde que abrió la lista en 2021.

A la mañana siguiente consultamos la otra fuente. La National Vulnerability Database, gestionada por el NIST, indica cuántas vulnerabilidades llevan fecha de publicación dentro de cualquier intervalo que se le pida. Para el 1 de enero al 28 de julio de 2026 la respuesta es 45.601. Para el mismo intervalo de 2025 son 28.032. Para 2024, 23.486.

Ambas cifras son públicas, ambas son gratuitas y casi nadie las pone una al lado de la otra. Juntas dicen algo que la cobertura de esta semana ha pasado por alto por completo.

No se está duplicando

Empecemos por la afirmación que más ha viajado. Desde el lunes circula la cifra de unos 45.000 fallos y el pronóstico de que el año duplicará al anterior. La primera mitad es correcta. La segunda no.

209 días de 2026 han producido 45.601 vulnerabilidades publicadas. Manteniendo el mismo ritmo hasta el 31 de diciembre se llega a unas 79.600. Todo 2025 sumó 49.972. Eso es un múltiplo de alrededor de 1,6, no de 2.

La distinción no es quisquillosa, porque la cifra menor sigue siendo extraordinaria. Una subida del 60 por ciento en un solo año es la más pronunciada que contiene el registro, y 2026 ya ha superado el 91 por ciento de todo lo que produjo 2025 cuando aún faltan cinco meses. Insistir en el dato exacto importa porque el inflado invita a la respuesta equivocada. Duplicarse suena a emergencia que justifica duplicar un equipo. 1,6 veces suena a lo que es: un cambio estructural en la oferta que ninguna contratación va a absorber.

La curva de explotación no siguió el mismo camino

Aquí está el número que debería gobernar la decisión. De las 45.601 vulnerabilidades publicadas este año, 171 se han añadido al catálogo de explotación confirmada. Solo cien entradas de todo el catálogo llevan siquiera un identificador de 2026.

Haga el mismo cálculo del lado de la explotación. 171 incorporaciones en 209 días son un ritmo de unas 299 para el año. CISA añadió 245 en todo 2025. Así que mientras la publicación subió un 63 por ciento, la explotación confirmada subió alrededor de un quinto.

Las dos curvas se han separado y la distancia se ensancha cada mes. Sea lo que sea lo que impulsa la avalancha de publicaciones, y los fabricantes reconocen con bastante franqueza que el descubrimiento automatizado pesa mucho en ello, está generando hallazgos más rápido de lo que nadie los convierte en ataques. El número publicado ha dejado de ser un indicador del trabajo que tiene delante. Ahora mide cuánta investigación es capaz de sostener el sector, que es otra pregunta con otra respuesta.

Una salvedad honesta, porque cambia la instrucción en lugar de debilitarla. La ausencia del catálogo no prueba que nadie esté explotando algo. La lista registra lo que una agencia puede confirmar, y la confirmación llega tarde. Eso es un argumento para tratar la evidencia de explotación como la señal más sólida disponible, no para leer su ausencia como una absolución.

Qué le pide en realidad la norma

Casi todas las políticas de vulnerabilidades escritas en Europa en los últimos tres años contienen una frase de esta forma: todo lo que alcance 7,0 se corrige en treinta días. Quien escribió esa frase en 2023 se comprometió a una carga de trabajo que desde entonces ha crecido dos tercios sin que nadie le pidiera permiso.

Conviene comprobar de dónde salió la frase, porque no la puso el regulador. La NIS2 sitúa el tratamiento y la divulgación de vulnerabilidades entre las medidas de gestión de riesgos que debe aplicar una entidad afectada, y ata toda la obligación a que sea proporcionada al riesgo real. No nombra ningún sistema de puntuación ni fija ningún umbral. DORA hace lo mismo con las entidades financieras: priorizar la corrección según la criticidad de lo afectado, sin ninguna cifra fija escrita en el texto.

El umbral fue, por tanto, un invento de la casa, adoptado porque era auditable. Auditable sigue siendo. Simplemente ha dejado de ser asumible, y ninguno de los dos instrumentos lo pidió nunca.

Reescriba la norma, no la plantilla

El cambio práctico es pequeño y cabe en este trimestre. Ponga la explotación confirmada en cabeza de la cola con un reloj en días. Todo lo demás conserva un orden por gravedad pero pierde el plazo automático y se atiende en el ritmo de mantenimiento normal, sobre los sistemas que de verdad le importan.

Dos apoyos hacen eso defendible ante un auditor. Deje por escrito qué fuente externa considera autorizada y por qué, para que la priorización sea un método documentado y no un criterio personal. Y registre la decisión de exposición de los sistemas que aplaza, porque lo que un regulador pregunta después de un incidente es si hubo un proceso razonado, no si se cumplió una cifra.

Los equipos que sufrirán en los próximos dieciocho meses son aquellos cuya política es aritméticamente imposible y cuyos auditores todavía no se han dado cuenta. La cuenta va a seguir subiendo. El conjunto de lo que de verdad se está usando contra usted no sube ni de lejos al mismo ritmo, y se publica cada semana sin coste alguno.

Leer a continuación: Atacaron su sandbox un mes antes del aviso  |  Un solo mensaje alcanzó las claves SSH