Santo Domingo.- Las vulnerabilidades CVE y los parches de seguridad viven un octubre desbordado: 13 mil 934 registros nuevos en solo 25 días.
El conteo, publicado este 26 de octubre por Thorsten Meyer a partir de datos de la National Vulnerability Database (NVD), triplica los 4 mil 389 registros de todo octubre de 2025 y deja el año en 88 mil 772 fallos publicados.
Esa cifra de 2026 ya supera en 78% los 49 mil 972 registros de todo 2025, y octubre ni siquiera terminó.
Un CVE, sigla en inglés de Vulnerabilidades y Exposiciones Comunes, es el identificador público que recibe un fallo de seguridad cuando una autoridad de numeración lo registra.
Contar CVE no equivale a contar ataques: mide actividad de divulgación, el trabajo de encontrar, documentar y publicar fallos. La diferencia importa, y mucho, para leer bien la ola.
Un octubre con 13 mil 934 registros y un ritmo de 557 al día
El ritmo diario impresiona más que el total.
El análisis contó 267 registros por día en junio, 320 en julio, 410 en agosto y 502 en septiembre, el mes récord con 15 mil 74 publicaciones.
Entre el primero y el 25 de octubre la media subió a 557 por día, con crecimientos mensuales que pasaron de entre 20 % y 28 % en verano a cerca de 11 % en octubre.
La curva sigue subiendo, pero perdió velocidad.
La proyección de cerrar el mes cerca de 17.000 registros es una estimación del autor, no un conteo cerrado.
Pocas manos firman gran parte de la subida. VulnCheck pasó de 163 registros en octubre de 2025 a 2.085 este año; Microsoft, de 180 a 1.455; GitHub, de 276 a 1.159, y Oracle, de 78 a 1.078.
El núcleo de Linux creció con más calma, de 660 a 925. En total publicaron 217 autoridades de numeración, frente a 163 un año atrás.
El Patch Tuesday de octubre de Microsoft corrigió 1.413 fallos en una sola entrega, una cifra que SecurityWeek marcó como récord para la compañía.
Otros dos datos ordenan la lectura. El 98 % de los registros de octubre lleva un identificador de 2026, y la mediana entre reservar ese identificador y publicarlo fue de 15 días.
No se trata de un archivo viejo vaciado de golpe ante los equipos de seguridad.
Son fallos recientes, documentados a una velocidad que las empresas medianas, con dos o tres personas para todo lo técnico, reciben como una lluvia de avisos imposible de leer completa.
Encontrar fallos corre más rápido que corregirlos
Anthropic ofrece la foto más clara de esa brecha. Su panel público de divulgación coordinada, actualizado el 2 de octubre, muestra 29.439 hallazgos candidatos encontrados por modelos Claude entre noviembre de 2025 y octubre de 2026.
Seis firmas externas de seguridad revisaron 6.123 de esos hallazgos y confirmaron 5.674 como válidos, un 92,7 % de aciertos. La empresa reportó 6.157 vulnerabilidades a los responsables de 591 proyectos de código abierto. ¿Corregidas? 516, que Anthropic sepa.
La distancia entre 6.157 reportes y 516 correcciones no acusa a un culpable único. Corregir exige reproducir el fallo, escribir el arreglo, probarlo sin romper otra pieza y distribuirlo a millones de instalaciones.
La propia Anthropic advierte que un parche publicado en el proyecto original no garantiza que los usuarios lo hayan instalado.
VentureBeat, al cubrir el programa Cyber Mission anunciado el 8 de octubre, recogió la misma queja de voces del sector: el problema ya no es detectar, es reparar. CrowdStrike, socio de ese programa, lleva meses repitiendo que los equipos de mantenimiento quedarán desbordados si los hallazgos se multiplican por diez.
¿Y cuánta culpa tiene la inteligencia artificial en la ola? Los registros responden con un dato incompleto.
El 54 % de las publicaciones de octubre no nombra a quien encontró el fallo, y solo 200 registros, un 1,4 %, acreditan de forma explícita a un laboratorio de inteligencia artificial, un modelo o una firma de seguridad con IA.
El autor del análisis trata ese 1,4 % como un piso, no como el total real: muchos registros omiten herramientas y nombres. Atribuir la subida entera a la IA sería inventar una certeza que los datos no traen.
Priorizar por explotación real, la salida práctica para los equipos
Para un negocio en República Dominicana, Puerto Rico o Florida que opera una tienda en línea, la respuesta útil no pasa por perseguir 557 avisos diarios.
Pasa por ordenar: primero los fallos con explotación confirmada, como los que recoge el catálogo de vulnerabilidades explotadas conocidas de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA), después los que afectan a programas expuestos a internet y al final el resto.
Un servidor sin actualizar con un fallo explotado pesa más que cien registros de productos que la empresa ni usa.
Ese orden cambia el trabajo diario de los parches de seguridad.
En lugar de correr detrás de cada vulnerabilidad CVE nueva, el equipo revisa su inventario real, aplica las correcciones de los programas que sí tiene instalados y programa ventanas de mantenimiento cortas y frecuentes.
Las vulnerabilidades CVE seguirán creciendo mientras los modelos automatizan la búsqueda; los registros de noviembre dirán si octubre cerró cerca de esos 17.000 estimados o si el ritmo de 557 por día se enfrió del todo.
Por Henry Ramírez