Tendencias de CVE 2026: por qué las vulnerabilidades críticas se dispararon
Los CVE críticos de 21 grandes fabricantes pasaron de menos de 100 al mes a más de 600 en 2026. Los datos, la causa, las advertencias y qué hacer.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Durante unos cuatro años, las vulnerabilidades de severidad crítica reportadas en 21 de los mayores fabricantes de software nunca superaron unas 100 al mes. Desde la primavera (boreal) de 2026 esa línea se vuelve casi vertical y supera las 600 al mes; los reportes de severidad alta se acercaron a unos 2.200 al mes en el pico. Fuente: a16z, con datos de Epoch.ai, publicado el 3 de septiembre de 2026. La lectura honesta tiene dos partes: la IA ha reducido el tiempo necesario para encontrar fallos explotables, tanto para investigadores como para atacantes, y a la vez la divulgación ha madurado, así que parte del aumento es reporte más rápido y mejor, no solo más bugs. Los propios autores lo advierten. Los datos de campo coinciden en la dirección: Armadin, la empresa de Kevin Mandia, fundador de Mandiant, afirma haber encontrado más de 90 zero-days en producción en clientes durante 2026; trata esas cifras como afirmaciones de esa empresa, no como datos auditados. El gráfico interactivo es una función Pro.
- Revisa el gráfico mensual de CVE críticos y altos de 2022 a 2026 para ver dónde se quiebra la tendencia.
- Lee la advertencia de los autores: parte del salto es mejor divulgación, no solo más vulnerabilidades.
- Prioriza por explotabilidad y exposición, no por el número bruto de CVE.
- Reduce y vigila tu superficie de ataque externa, y ensaya la llamada de «alguien de fuera encontró ejecución remota de código en nuestra DMZ» antes de que sea real.
Preguntas frecuentes
¿Por qué se dispararon los CVE críticos en 2026?
Por dos fuerzas a la vez. La IA está reduciendo el tiempo para encontrar fallos explotables, para investigadores y atacantes, así que se descubren y reportan más vulnerabilidades reales. Además, las prácticas de divulgación han madurado, por lo que parte del aumento medido es un reporte mejor y más rápido. Los autores del gráfico de a16z señalan esta advertencia; la forma de la curva y los informes de equipos ofensivos coinciden en que el ritmo de descubrimiento se aceleró de verdad.
¿Qué es el gráfico «Cyber Risk Goes Parabolic»?
Un gráfico publicado por a16z el 3 de septiembre de 2026 con datos de Epoch.ai, que muestra los CVE mensuales de severidad crítica y alta de 21 grandes fabricantes, entre ellos Apple, AWS, Microsoft, Google, Cisco y Oracle. La línea crítica se mantuvo por debajo de unos 100 al mes durante cerca de cuatro años y supera los 600 al mes desde la primavera de 2026; la de severidad alta se acerca a unos 2.200 al mes.
¿Qué debería hacer un líder de seguridad?
Dejar de contar CVE en bruto y ordenarlos por explotabilidad y exposición. Medir y reducir la superficie de ataque externa, porque los atacantes con IA la escanean sin parar. Acortar el tiempo entre detección y parche en sistemas expuestos a internet y críticos, y ensayar la llamada de «encontraron ejecución remota de código en nuestra DMZ», que hoy es un escenario realista de 48 horas.
¿Es un feed en vivo de todos los CVE?
No. Esta página explica y visualiza el aumento de 2026 a partir de un conjunto de datos concreto y citado. Para revisar tus propias dependencias frente a CVE conocidos están el NPM Scanner y el Package Scanner de PlayCISO, que también son herramientas Pro (3 usos con una cuenta gratuita, luego Pro).