Ranking de fabricantes por CVSS 10.0 en 2026: quién publica más críticos

Cuando un CVSS 10.0 golpea tu infraestructura (como CVE-2026-76460 en Cisco ISE esta semana), la pregunta inmediata es «¿estamos parcheados?». La pregunta del consejo que viene después es más difícil: ¿qué fabricantes de nuestra pila publican de forma sistemática las vulnerabilidades de peor clase, y con qué frecuencia se explotan de verdad? Estos son los datos para esa conversación.

El lote de avisos de Cisco de septiembre de 2026: el detonante

El 16 de septiembre de 2026, Cisco publicó 77 CVE nuevos en un solo ciclo de avisos. Las cifras son inusuales para cualquier fabricante:

• 41 CVE afectan a Identity Services Engine (ISE), el motor de políticas de acceso a la red
• 28 CVE afectan a Secure Firewall
• 14 entradas con CVSS 10.0, la máxima severidad posible

Las entradas de CVSS 10.0 abarcan varias líneas de producto:

CVE	Producto	CVSS	Tipo
CVE-2026-76460	Cisco ISE / ISE-PIC	10.0	Omisión de autenticación → RCE como root (explotado activamente)
CVE-2026-20030	Cisco ISE	10.0	Inyección SQL
CVE-2026-20357	Cisco ISE	10.0	Omisión de autenticación
CVE-2026-20358	Cisco ISE	10.0	Omisión de autenticación
CVE-2026-20131	Secure Firewall Management Center	10.0	Inyección SQL → RCE
Crosswork Network Controller: 9 fallos distintos con CVSS 10.0
Secure Workload: 2 fallos con CVSS 10.0

No es un ciclo de avisos normal. Como referencia, la media de todos los fabricantes entre 2017 y 2023 fue de unas 40 entradas de CVSS 10.0 al año, en total, sumando todos los fabricantes. Cisco aportó 14 por sí solo en una única publicación de septiembre. Y 2024 ya había roto el patrón con 231 entradas de CVSS 10.0 en toda la industria, una cifra que 2026 lleva camino de superar.

Ranking de fabricantes: vulnerabilidades CVSS 10.0 por número y explotabilidad

La tabla ordena 12 grandes fabricantes de infraestructura empresarial por su recuento acumulado de CVE con CVSS 10.0 hasta septiembre de 2026, junto con su volumen total de CVE (todas las severidades, 1999–2026), el número con explotación confirmada (entradas en el catálogo Known Exploited Vulnerabilities de CISA o con explotación documentada en entornos reales) y una valoración del nivel de explotabilidad.

Puesto	Fabricante	CVE totales (todas las severidades)	CVE con CVSS 10.0	Explotación confirmada (KEV / ITW)	Explotabilidad
1	Microsoft	27.090	85+	40+ en el KEV de CISA	Crítica
2	Oracle	12.989	70+	15+ en KEV	Alta
3	Cisco	6.844	55+	30+ en KEV (13 en 2026)	Crítica
4	Adobe	7.838	50+	25+ en KEV	Crítica
5	Apache (OSS)	4.200+	40+	Log4Shell, Struts y otros	Crítica
6	Google	16.880	30+	Chrome/Android en KEV	Alta
7	Apple	15.518	25+	Zero-days de iOS/macOS	Alta
8	Kernel de Linux	19.931	20+	Cadenas de escalada de privilegios	Moderada
9	IBM	8.980	18+	Baja-moderada	Moderada
10	Fortinet	1.200+	15+	FortiOS atacado activamente	Crítica
11	VMware / Broadcom	1.100+	10+	Campañas de ransomware contra ESXi	Crítica
12	Palo Alto Networks	600+	8+	Zero-days de PAN-OS 2024–2026	Alta

Cómo leer esta tabla

CVE totales es el recuento acumulado del fabricante en todas las severidades desde 1999 hasta septiembre de 2026, según los datos de NIST NVD y MITRE. CVE con CVSS 10.0 es el subconjunto que obtuvo la severidad máxima. Explotación confirmada refleja las entradas del catálogo Known Exploited Vulnerabilities (KEV) de CISA o con explotación documentada en entornos reales (ITW). Explotabilidad es una valoración editorial que combina tres factores:

1. Cuántos CVE con CVSS 10.0 ha acumulado el fabricante
2. Qué proporción tiene explotación confirmada
3. Con qué frecuencia los productos del fabricante están en posiciones expuestas a internet o en la ruta crítica

Tres cosas que destacan

1. El 2026 de Cisco es históricamente excepcional

13 CVE explotados activamente en un solo año, más de 55 entradas de CVSS 10.0 en su historia y un único aviso de septiembre que aportó 14 entradas de CVSS 10.0 entre ISE, Crosswork, Secure Firewall y Secure Workload. Para una organización con infraestructura Cisco, la carga de parches de este año es cualitativamente distinta a la de años anteriores.

2. Los fabricantes de infraestructura de red tienen tasas de explotación desproporcionadas

Cisco (6.844 CVE totales), Fortinet (1.200+) y Palo Alto Networks (600+) tienen muchos menos CVE totales que Microsoft, Google o el kernel de Linux, pero sus entradas de CVSS 10.0 se explotan a tasas bastante más altas. La razón es arquitectónica: estos productos están en el perímetro de la red, donde los atacantes los alcanzan directamente, y comprometerlos a menudo elude por completo la seguridad de endpoints. Un CVSS 10.0 en un firewall o un appliance NAC no es el mismo riesgo que un CVSS 10.0 en una aplicación de escritorio, aunque la puntuación sea idéntica.

3. El recuento total de CVE por sí solo es la métrica equivocada

El kernel de Linux tiene ~20.000 CVE, más que cualquier fabricante salvo Microsoft. Pero su recuento de CVSS 10.0 (20+) y su tasa de explotación son muy inferiores a los de Fortinet, que tiene una dieciseisava parte de los CVE totales pero cuyos 10.0 convertidos en arma aparecen en campañas de ransomware. El volumen de CVE se correlaciona con el tamaño del código y la transparencia en la divulgación, no con el riesgo. Usarlo como indicador de la seguridad de un fabricante lleva al consejo a la conversación equivocada.

Para la conversación con el consejo

Si eres un CISO que presenta estos datos, el encuadre importa más que las cifras. Esto es lo que el consejo necesita entender de verdad:

• La pregunta no es «cuántos CVE tiene el fabricante X». Es: «¿cuál es nuestra exposición a los fabricantes que generan más vulnerabilidades de clase crítica explotadas, y con qué rapidez las parcheamos?».
• El riesgo de fabricante no es hipotético. CVE-2026-76460, una omisión de autenticación con CVSS 10.0 en el sistema que controla el acceso a la red, pasó de la divulgación a la explotación activa y a un plazo federal de tres días de CISA en un solo día. El intervalo entre «el fabricante publica el aviso» y «el atacante lo usa contra ti» se mide ahora en horas, no en semanas.
• La velocidad de parcheo es la métrica que importa. Los fabricantes de la parte alta de esta tabla no van a dejar de publicar vulnerabilidades críticas. Lo que marca la diferencia es la rapidez con la que tu organización aplica la corrección cuando existe. Un CISO cuyo equipo parchea de forma sistemática los CVE de clase crítica en 72 horas convierte esta tabla en una confirmación de proceso. GitLab autogestionado es un ejemplo vivo: GitLab CVE-2026-110264, un RCE sin autenticación con CVSS 10.0, necesitó un segundo parche en octubre de 2026 porque la primera corrección no bastó. Un CISO cuyo equipo mide los ciclos de parcheo en semanas la convierte en un registro de riesgos activo.
• Es una conversación recurrente, no un informe puntual. El salto de 2024 a 231 entradas de CVSS 10.0 entre todos los fabricantes (frente a una media de ~40 al año) no fue una anomalía: 2026 lleva camino de superarlo. El consejo debería esperar estos datos con cadencia trimestral, no solo cuando algo sale en las noticias.

Explora los datos de forma interactiva

Este ranking también está disponible como herramienta interactiva, donde puedes filtrar por año, categoría de fabricante y nivel de explotabilidad, desplegar cualquier fabricante para ver la evolución interanual de sus CVSS 10.0 y sus CVE destacados, y exportar el conjunto de datos completo en CSV para presentaciones al consejo o registros de riesgos.

Evalúa tu propia postura

El Security Readiness Scorecard de PlayCISO incluye la postura de gestión de parches y la evaluación de riesgo de fabricantes como dimensiones puntuadas. Si quieres ver dónde está tu organización en las prácticas que determinan si un CVSS 10.0 es un simulacro de incendio o un ciclo de parcheo rutinario, lleva dos minutos y no requiere registro.

Para un ejercicio más profundo, el generador de modelos de amenazas de PlayCISO puede mapear tu pila concreta de fabricantes contra patrones de ataque conocidos, y las simulaciones Cyber War Room permiten a tu equipo practicar el flujo de respuesta a incidentes para exactamente este escenario: una vulnerabilidad crítica de infraestructura en explotación activa con una ventana de remediación de 72 horas.

Preguntas frecuentes

¿Qué fabricante tiene más vulnerabilidades CVSS 10.0? Según los datos acumulados de CVE hasta septiembre de 2026, Microsoft lidera con más de 85 entradas de CVSS 10.0, seguido de Oracle (70+), Cisco (55+), Adobe (50+) y los proyectos de Apache/código abierto (40+). Sin embargo, el recuento total no equivale a riesgo: los fabricantes de infraestructura de red como Cisco, Fortinet y Palo Alto Networks tienen tasas de explotación desproporcionadamente altas porque sus productos están en el perímetro de la red.

¿Qué pasó en el ciclo de avisos de Cisco de septiembre de 2026? Cisco publicó 77 CVE nuevos en un solo ciclo. De ellos, 41 afectan a ISE y 28 a Secure Firewall. El lote incluye 14 entradas de CVSS 10.0 entre ISE (incluido CVE-2026-76460), Crosswork Network Controller (9 con 10.0), Secure Firewall Management Center y Secure Workload.

¿Cómo se determina el nivel de explotabilidad? Es una valoración editorial que combina tres factores: cuántos CVE con CVSS 10.0 ha acumulado el fabricante, qué proporción tiene explotación confirmada en entornos reales o figura en el catálogo KEV de CISA, y con qué frecuencia sus productos están en posiciones expuestas a internet o en la ruta crítica, donde los atacantes pueden alcanzarlos directamente.

¿Por qué el recuento total de CVE engaña al medir el riesgo de un fabricante? El volumen de CVE se correlaciona más con el tamaño del código y la transparencia en la divulgación que con el riesgo real. El kernel de Linux tiene ~20.000 CVE pero muchas menos entradas de CVSS 10.0 y una tasa de explotación más baja que fabricantes con un tercio de ese recuento. Un fabricante con 1.200 CVE totales pero 15 de CVSS 10.0 explotados activamente supone un riesgo más inmediato que uno con 20.000 CVE que rara vez se convierten en arma al nivel 10.0.

¿Cómo debería presentar esto un CISO al consejo? Encuádralo en torno a la exposición, no al recuento bruto. La pregunta del consejo no es «cuántos CVE tiene el fabricante X», sino «cuál es nuestra exposición a los fabricantes que generan más vulnerabilidades de clase crítica explotadas, y con qué rapidez las parcheamos». La tabla de este artículo está pensada justo para esa conversación.