El riesgo cibernético se dispara: CVE críticos ×6 en 2026

Dos gráficos de malas noticias llegaron la misma semana, y riman. Primero, a16z publicó una gráfica —titulada sin rodeos «Cyber Risk Goes Parabolic»— que muestra cómo las vulnerabilidades críticas y altas reportadas en 21 de los mayores fabricantes de software se curvan casi en vertical en 2026. Segundo, el fundador de Mandiant, Kevin Mandia, contó que han encontrado más de 90 zero-days en producción en clientes este año con una IA que trabaja en caja negra, desde internet y sin código fuente. Una es la señal macro; la otra, cómo se siente desde el terreno.

Como siempre, separamos lo confirmado de lo reportado o afirmado y luego pasamos a lo que un líder de seguridad debería hacer.

El gráfico: los CVE críticos rompieron un techo de cuatro años

El gráfico de a16z usa datos de Epoch.ai y cuenta los CVE mensuales de severidad crítica y alta en 21 grandes fabricantes: Adobe, AMD, Apache, Apple, AWS, Cisco, GitHub, Google, IBM, Intel, Linux, Microsoft, Mozilla, NVIDIA, OpenSSL, Oracle, Qualcomm, Red Hat, Samsung, SAP y VMware. La forma es la historia:

• Severidad crítica: durante unos cuatro años (de 2022 a principios de 2026), la línea prácticamente nunca superó unos 100 reportes al mes. Desde la primavera (boreal) de 2026 salta a más de 600 al mes: un cambio de escalón de alrededor de 6× en pocos meses.
• Severidad alta: durante mucho tiempo se mantuvo en unos pocos cientos y luego se dispara hacia unos ~2.200 al mes en el extremo derecho del gráfico.

La ciberseguridad, como dice el planteamiento, está viviendo su momento.

La advertencia honesta (sacada del propio gráfico)

La nota al pie de a16z importa: «Los procedimientos de reporte, el etiquetado y el ritmo varían sustancialmente entre organizaciones». Así que parte de esta curva es una divulgación mejor y más rápida —más fabricantes, más automatización en el triaje, emisión de CVE más consistente—, no solo más fallos que aparecen de la nada. Una parábola en un gráfico de conteos reportados nunca es 100 % «más bugs». Mantén esa disciplina.

Pero «es en parte el reporte» no es un consuelo. Cada vez más problemas de severidad alta y crítica se vuelven conocidos y aprovechables, y más rápido, y esa es justo la variable contra la que compite tu ciclo de parches.

Los datos de campo: la IA está encontrando los zero-days

Y aquí entra la segunda señal. En una conversación de a16z (con David George, de a16z), Kevin Mandia —fundador de Mandiant— describió su nueva empresa, Armadin. Las citas son suyas; trata las cifras como afirmaciones de su empresa y no como datos auditados de forma independiente, pero encajan con la curva macro:

«Cuando tienes un ataque basado en IA, encuentra fallos de lógica más que fallos de código en aplicaciones a medida. Agota todas las rutas todo el tiempo».

«Armadin: desde enero de este año hemos encontrado más de 90 zero-days en clientes, todos en producción».

«Hemos hecho post-entrenamiento de todos nuestros modelos con red teamers reales, gente real que sabe desarrollar exploits».

«Cuando escaneamos redes, no tenemos código fuente que revisar… Somos caja negra, llegando desde internet».

«Normalmente en 48 horas [estamos llamando a un CISO]: “Oye, tenemos ejecución remota de código en tu DMZ”. … Eso no es un pentest. Es como un adversario real yendo a por ti».

Detente en el mecanismo, porque explica el gráfico. Los escáneres tradicionales buscan firmas conocidas; un modelo con post-entrenamiento para pensar como un desarrollador de exploits busca fallos de lógica desconocidos en tu código a medida —la comprobación de autenticación que se puede saltar, la máquina de estados que se puede llevar fuera de orden— y lo hace sin descanso, enumerando todas las rutas. Cuando encontrar un bug nuevo pasa de «una persona experta durante semanas» a «un modelo durante horas», el número de críticos descubiertos sube y el tiempo hasta el descubrimiento se desploma. Las dos curvas se doblan a la vez.

Por qué esto cambia las cuentas de los defensores

La suposición silenciosa de la mayoría de los programas de vulnerabilidades es que tienes tiempo: una ventana de parcheo de días o semanas entre que un bug se conoce y un atacante lo usa. El descubrimiento acelerado por IA borra ese margen por los dos lados: más críticos que triar y adversarios capaces de encontrar zero-days en tus apps a medida sin esperar siquiera a un CVE. Un backlog ordenado por número bruto y parcheado cada mes ahora va estructuralmente por detrás.

El playbook del líder de seguridad

No puedes parchear una parábola trabajando más con el mismo ritmo. Cambias lo que optimizas:

• ☐ Prioriza por explotabilidad, no por cantidad. Ordena la corrección por exposición a internet, potencial de bypass de autenticación o RCE y si se sabe que se explota, no por cuántos CVE pasaron por delante. Regístralo como riesgo con responsable en el Risk Register →.
• ☐ Reduce y vigila la superficie externa. Los ataques que describe Mandia llegan desde internet, en caja negra. Encuentra lo que expones antes que ellos —incluidos endpoints y runtimes de agentes olvidados— con el Open Agent Exposure Scanner →, y mantén una vista en vivo en lugar de un escaneo trimestral.
• ☐ Haz red teaming de tus apps a medida buscando fallos de LÓGICA. Escanear CVE conocidos no detectará el salto de autenticación de tu propio código. Modela las amenazas de lo hecho a medida y busca rutas de abuso con el AI Threat Model Builder → y el Threat Model Studio →.
• ☐ Prepara mitigaciones para las joyas de la corona. Asume que llegará un crítico antes de que puedas parchear: ten listas reglas de WAF, segmentación e interruptores de emergencia para tus apps de mayor valor expuestas a internet, para ganar horas.
• ☐ Vigila también la cadena de suministro. La misma IA que encuentra tus zero-days se está apuntando a los paquetes que instalas: escanéalos de forma continua con el NPM Scanner → y el Package Scanner →.
• ☐ Ensaya la llamada de las 48 horas. Alguien de fuera llama con RCE en tu DMZ: ¿quién se encarga de los dos días siguientes, qué aíslas, a quién avisas? Hazlo como ejercicio de mesa en la Cyber War Room → antes de que sea un martes real.
• ☐ Conoce tu cifra. Si no puedes decir con un número qué tan preparado estás para esto, empieza con el CISO Scorecard →.

La conclusión

El gráfico «parabólico» y el informe de campo de «90 zero-days en producción» son la misma historia contada de dos formas: el coste de encontrar un fallo explotable se está desplomando, así que tanto la cantidad como la velocidad de los descubrimientos críticos se curvan hacia arriba a la vez. Parte del gráfico es un mejor reporte, pero la dirección no está en duda, y un programa que prioriza por número bruto y parchea cada mes ya está perdiendo la carrera. A los líderes que les irá bien triarán por explotabilidad, mantendrán su superficie externa pequeña y vigilada, harán red teaming de su propia lógica y ya habrán ensayado la mañana en que un desconocido llama por su DMZ.

Empieza con tu CISO Scorecard, mapea la exposición en el Risk Register, encuentra lo que expones con el Open Agent Exposure Scanner y ensaya la respuesta en la Cyber War Room. Relacionado: un modelo de seguridad ofensiva de pesos abiertos y la economía de la brecha, y el gusano de npm que sigue volviendo. Gráfico: a16z, datos de Epoch.ai (3 de septiembre de 2026); citas: Kevin Mandia / Armadin vía a16z.