Los atacantes tardaron de media tres días en explotar las vulnerabilidades de gravedad alta y crítica publicadas en el tercer trimestre de 2026, según el último informe trimestral de amenazas de Rapid7, que sitúa el 71 % de esas explotaciones en la primera semana. El documento, publicado el 21 de octubre, concluye además que las personas siguen dirigiendo la mayoría de los ataques que la empresa rastrea, aunque la automatización y la IA ganan peso en la ejecución.
Las claves del informe de amenazas de Rapid7 del tercer trimestre en 20 segundos
- Las vulnerabilidades graves se explotaron, de media, tres días después de hacerse públicas.
- El 79 % de los fallos explotados no requería credenciales ni interacción del usuario.
- Estados Unidos concentró 1.112 víctimas publicadas en sitios de filtración de ransomware.
- La IA formó parte operativa del 8 % de los incidentes rastreados.
El informe de Rapid7, empresa estadounidense de ciberseguridad, combina datos de su servicio de detección y respuesta gestionada, de sus plataformas de inteligencia de vulnerabilidades, de su telemetría de investigación y del seguimiento de mercados clandestinos. Sus conclusiones apuntan a un problema que los equipos de sistemas conocen bien: los ciclos de parcheo mensuales se quedan cortos cuando la ventana real entre la publicación de un fallo y su explotación se mide en días.
Tres días para parchear
Según el informe, el 71 % de las vulnerabilidades de gravedad alta y crítica (CVSS de 7 a 10) que acabaron explotadas lo fueron en los primeros siete días, el 80 % en dos semanas y el 90 % en un mes. Rapid7 contabilizó 43 vulnerabilidades explotadas por primera vez en el trimestre, un 7 % menos que en el anterior pero un 19 % más que un año antes, mientras que el número de nuevas CVE de gravedad alta y crítica creció un 133 % interanual.
El dato más relevante para priorizar es el perfil de esos fallos: 34 de los 43, en torno al 79 %, se podían explotar en remoto, sin autenticación y sin que el usuario hiciera nada, la combinación que el sector llama a veces el santo grial del atacante. El propio informe recoge en otra tabla un 46 % para esa misma categoría, sin aclarar si se refiere al conjunto de fallos analizados o solo a los explotados, y contiene algún otro desajuste entre cifras, así que conviene tomar los porcentajes como orientación. Rapid7 calcula también que solo una de cada diez pruebas de concepto publicadas acabó en ataques reales en 30 días. OpenSecurity ya contó que las CVE publicadas en 2026 casi duplican ya todo 2025, un volumen que hace imposible parchearlo todo a la vez.
La recomendación de Rapid7 es identificar los activos expuestos, evaluar qué podría explotar un atacante en ellos, priorizar por impacto en el negocio y aplicar cuanto antes los parches de fallos explotables en remoto, sin esperar a la ventana de mantenimiento programada.
Ransomware, accesos en venta y actores estatales
En ransomware, Estados Unidos acaparó el 60,4 % de las víctimas publicadas en sitios de filtración, con 1.112 entradas, unas ocho veces más que Alemania (7,3 %), seguida de Italia y Canadá (5,3 % cada una) y Reino Unido (4,7 %). Los grupos más activos fueron The Gentlemen, con 342 publicaciones, Qilin, con 339, e INC Ransom, con 99. Por sectores, lideran los servicios empresariales (17 %), la industria (16,1 %) y la sanidad (14,9 %), y las víctimas de la administración pública subieron de 48 a 55 respecto al trimestre anterior.
En los foros clandestinos, 41 de los 63 anuncios analizados vendían acceso a redes o a escritorio remoto (RDP), y 14 ofrecían exploits o supuestos días cero, en su mayoría de fallos ya incluidos en avisos de fabricantes o en el catálogo KEV de la CISA (Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos). Entre los ejemplos, el informe cita un anuncio que combinaba acceso por Tailscale y RDP a una empresa, un recordatorio de que las redes privadas también son un activo que se compra y se vende, en los mismos días en que se ha conocido el informe Tailworm sobre Tailscale SSH.
Rapid7 relaciona 15 CVE con seis actores o grupos, con APT31, vinculado a China, a la cabeza con ocho, y documenta un conjunto de herramientas para Linux no descrito hasta ahora y atribuido a Corea del Norte. Incluye una puerta trasera llamada «ted» escondida en una compilación troyanizada de HAProxy 2.8.12, un registrador de pulsaciones para SSH y un troyano de acceso remoto basado en curl, y se ha usado contra organizaciones surcoreanas de automoción y medios, probablemente desde principios de 2025.
La IA, todavía en un papel secundario
Según Rapid7, la IA fue un componente operativo en el 8 % de los incidentes rastreados. En todos los casos documentados, las personas eligieron los objetivos y los fines, y la IA ayudó en la parte táctica: escoger técnicas, valorar objetivos o recuperarse cuando un paso fallaba. El informe describe también a atacantes que reparten un objetivo malicioso entre varias sesiones de IA para esquivar las salvaguardas de los proveedores, que rechazan con más facilidad las peticiones concentradas en una sola conversación. Christiaan Beek, vicepresidente de Rapid7 Intelligence, considera que la cuestión no es si la explotación agéntica crecerá, sino cuándo.
Preguntas frecuentes
¿Cuánto tardan los atacantes en explotar una vulnerabilidad grave?
Según Rapid7, tres días de media en el tercer trimestre de 2026, con el 71 % de las explotaciones en la primera semana y el 90 % en el primer mes.
¿Qué grupos de ransomware fueron más activos?
The Gentlemen, con 342 víctimas publicadas, Qilin, con 339, e INC Ransom, con 99.
¿Qué recomienda Rapid7?
Identificar los activos expuestos, priorizar por impacto en el negocio y parchear cuanto antes los fallos explotables en remoto, sin esperar al ciclo de mantenimiento.
¿Usan IA los atacantes?
Sí, pero de forma limitada: la IA fue un componente operativo en el 8 % de los incidentes rastreados y siempre con personas eligiendo los objetivos.
Fuentes:
