La carrera por cada nuevo CVE
Según múltiples informes de la industria de 2025: Aproximadamente entre el 50 y el 61 por ciento de las vulnerabilidades recién descubiertas tenían códigos de explotación convertidos en armas en 48 horas. Utilizando el catálogo de vulnerabilidades explotadas conocidas de CISA como referencia, ahora se confirma que cientos de fallas de software están bajo ataque activo a los pocos días de su publicación. Cada nuevo anuncio desencadena ahora una carrera global entre atacantes y defensores. Ambos lados monitorean las mismas transmisiones, pero uno se mueve a la velocidad de una máquina mientras que el otro se mueve a la velocidad humana.
Los principales actores de amenazas han industrializado completamente su respuesta. Tan pronto como aparece una nueva vulnerabilidad en las bases de datos públicas, los scripts automatizados la escanean, analizan y evalúan su potencial de explotación, y ahora estos esfuerzos se están volviendo cada vez más eficientes con el uso de la IA. Mientras tanto, los equipos de TI y seguridad suelen entrar en modo de clasificación, leyendo avisos, clasificando la gravedad y poniendo en cola las actualizaciones para el siguiente ciclo de parches. Este retraso es exactamente el vacío legal que aprovechan los opositores.
El ritmo tradicional de parches trimestrales o incluso mensuales ya no es sostenible. Los atacantes ahora utilizan como arma las vulnerabilidades críticas a las pocas horas de su divulgación, mucho antes de que las empresas las hayan analizado o validado y, por lo general, mucho antes de que hayan implementado la solución.
La economía de explotación de la velocidad.
El ecosistema de amenazas actual se basa en la automatización y el volumen. Los corredores de exploits y los grupos afiliados actúan como cadenas de suministro, cada uno de los cuales se especializa en una parte del proceso de ataque. Utilizan fuentes de vulnerabilidad, escáneres de código abierto y herramientas de toma de huellas digitales para hacer coincidir los nuevos CVE con los objetivos de software revelados. Muchos de estos objetivos ya han sido identificados y estos sistemas saben de antemano qué objetivos tienen más probabilidades de ser vulnerables al próximo ataque. Este es un juego de sorteo rápido donde gana el arma más rápida.
La investigación de Mandiant muestra que la explotación suele comenzar dentro de las 48 horas posteriores a la publicación. En muchas empresas, la TI está operativa ocho horas al día, lo que permite a los atacantes aprovechar las 32 horas. Esta eficiencia operativa resalta cómo los atacantes han eliminado casi todos los pasos manuales de su flujo de trabajo. Una vez que se confirma que un exploit funciona, se empaqueta y comparte en foros de la web oscura, canales internos y kits de malware en cuestión de horas.
El fracaso a escala es aceptable
Los atacantes también disfrutan de un lujo que los defensores no pueden permitirse: Fallar. Si bloquean mil sistemas antes de comprometer cien sistemas, el esfuerzo sigue siendo un éxito. Sus métricas se basan en los ingresos, no en el tiempo de actividad. Los defensores, por el contrario, deben conseguir una estabilidad casi perfecta. Una sola actualización fallida o interrupción del servicio puede tener impactos de gran alcance y provocar una pérdida de confianza del cliente. Este desequilibrio permite a los oponentes asumir riesgos imprudentes mientras los defensores permanecen limitados, y también ayuda a garantizar que la brecha operativa siga siendo lo suficientemente grande como para ser explotada consistentemente.
De la defensa a la velocidad humana a la resiliencia a la velocidad de las máquinas
La conciencia no es el problema. El desafío radica en la velocidad de ejecución. Los equipos de seguridad saben cuándo se publican las vulnerabilidades, pero no pueden responder con la suficiente rapidez sin la automatización. Si desea seguir siendo competitivo en esta lucha, pasar de la aplicación de parches manual o basada en tickets a una remediación orquestada e impulsada por políticas ya no es opcional.
Los sistemas automatizados de curado y reacción pueden acortar drásticamente los períodos de exposición. Al aplicar continuamente parches críticos, hacer cumplir las líneas base de configuración e implementar reversiones condicionales cuando sea necesario, las organizaciones pueden mantener la seguridad operativa y al mismo tiempo eliminar demoras. Y una lección difícil que muchos simplemente tienen que asimilar es el daño Tú Es casi seguro que el daño que puede ser la causa será menor y más fácil de recuperar que un ataque. Es un riesgo calculable y manejable. La lección es simple: ¿preferirías revertir una actualización del navegador para 1000 sistemas o restaurarlos completamente desde una copia de seguridad? No estoy sugiriendo que seas descuidado en este asunto, pero compara el valor de tu vacilación con el valor de tu acción, y si la acción gana, escucha tu instinto. Los líderes de TI deben comprender esto y los líderes empresariales deben reconocer que ésta es la mejor estrategia de TI. Asegúrese de probar y tener en cuenta la importancia del negocio al elegir la velocidad a la que aborda los sistemas críticos, pero diseñe todo el proceso para una automatización optimizada y una acción rápida.
Reducir la curva de agotamiento
La automatización también reduce la fatiga y los errores. En lugar de perseguir alertas, los equipos de seguridad definen reglas una vez para que los sistemas puedan hacerlas cumplir continuamente. Este cambio transforma la ciberseguridad en un proceso adaptativo y autosostenible en lugar de un ciclo de clasificación y muestreo manual. En casi todos los casos, los procesos de prueba y revisión llevan menos tiempo que implementarlos.
Esta nueva clase de sistemas de automatización de ataques no duerme, no se cansa, no les importan las consecuencias de sus acciones. Te concentras únicamente en un objetivo y obtienes acceso a tantos sistemas como sea posible. No importa a cuántas personas le confíes este problema, el problema se agrava entre departamentos, políticas, personalidades y egos. Si quieres luchar contra una máquina incansable, necesitas una máquina incansable en tu rincón del ring.
Cambiar lo que no se puede automatizar
Ni siquiera las herramientas más avanzadas pueden automatizarlo todo. Algunas cargas de trabajo son demasiado sensibles o están sujetas a marcos de cumplimiento estrictos. Sin embargo, estas excepciones aún deben considerarse desde una única perspectiva: ¿Cómo pueden hacerse más automatizables, si no al menos más eficientes?
Esto podría significar estandarizar configuraciones, segmentar sistemas heredados o optimizar dependencias que ralentizan los flujos de trabajo de parches. Cada paso manual que aún se realiza representa una pérdida de tiempo, y el tiempo es el recurso que los atacantes explotan con mayor eficacia.
Necesitamos observar de cerca las estrategias de defensa para determinar qué decisiones, políticas o procesos de aprobación están creando una carga. Si la cadena de mando o la gestión del cambio están ralentizando la remediación, puede que sea el momento de hacerlo cambios políticos de gran alcance diseñado para eliminar estos cuellos de botella. La automatización de la defensa debe ocurrir a un ritmo que coincida con el comportamiento del atacante, no por razones administrativas.
Defensa acelerada en la práctica.
Muchas organizaciones con visión de futuro ya han adoptado el principio de defensa acelerada, combinando automatización, orquestación y reversión controlada para mantener la agilidad sin causar caos.
Plataformas como Acción1 Facilite este enfoque permitiendo a los equipos de seguridad identificar, implementar y revisar parches automáticamente en entornos empresariales. Esto elimina los pasos manuales que ralentizan la implementación de parches y cierra la brecha entre el conocimiento y la acción. SI sus políticas son sólidas, su automatización es sólida y sus decisiones son sólidas en la práctica porque todas están acordadas de antemano.
Al automatizar la corrección y la validación, Action1 y soluciones similares demuestran cómo se ve la seguridad a la velocidad de una máquina: rápida, controlada y resistente. El objetivo no es simplemente la automatización, sino Automatización impulsada por políticasdonde el juicio humano define límites y la tecnología se implementa instantáneamente.
El futuro está en la defensa automatizada
Tanto los atacantes como los defensores dependen de los mismos datos públicos, pero es la automatización basada en esos datos la que determina quién gana la carrera. Cada hora entre la divulgación y la remediación representa una compensación potencial. Los defensores no pueden frenar el ritmo del descubrimiento, pero pueden cerrar la brecha mediante el fortalecimiento, la orquestación y la automatización sistémica. El futuro de la ciberseguridad pertenece a aquellos que hacen de la acción inmediata e informada su modo de operación predeterminado, porque en esta carrera el respondedor más lento ya está en riesgo.
Conclusiones clave:
- Ningún equipo humano podrá jamás superar la velocidad y eficiencia de los sistemas de ataque automatizados que se están desarrollando. Más gente genera más decisiones, retrasos, confusión y oportunidades de error. Esto es un tiroteo: debes aplicar la misma fuerza, automatizar o perder.
- Los actores de amenazas están creando canales de ataque totalmente automatizados en los que se inyecta fácilmente nuevo código de explotación en el sistema o incluso se desarrolla mediante IA. Trabajan 24 horas al día, 7 días a la semana, 365 días al año, no se cansan, no toman descansos, buscan y destruyen como medio de subsistencia hasta que los apagan o les instruyen lo contrario.
- La mayoría de los actores de amenazas masivas operan mediante el recuento de cadáveres, no mediante disparos de precisión. No buscan tanto a “ti” sino a “alguien”. Su tamaño y valor no tienen significado en la primera fase de compromiso, que se evalúa DESPUÉS de obtener el acceso.
- Los actores de amenazas no consideran utilizar grandes cantidades de sus ganancias mal habidas en nuevas tecnologías para mejorar sus capacidades de ataque; Para ellos es una inversión. Al mismo tiempo, la industria ve esto como una reducción de beneficios. El sistema que te ataca tiene muchos desarrolladores talentosos involucrados en su construcción y mantenimiento, y presupuestos que superan los sueños más descabellados de cualquier defensor. No se trata de delincuentes aficionados, sino de empresas bien organizadas que son tan capaces y más dispuestas a invertir en recursos que el sector empresarial.
El año 2026 ya está aquí. ¿Está su red preparada para esto?
Nota: Este artículo fue escrito y contribuido por Gene Moody, director de tecnología de campo de Action1.
About The Author
