La inteligencia artificial está permitiendo descubrir vulnerabilidades más rápido que nunca. Sin embargo, el resto del ecosistema de gestión de vulnerabilidades no puede seguir el ritmo de este crecimiento, lo que plantea un desafío significativo para los defensores de entornos empresariales.
El volumen de vulnerabilidades supera la capacidad del sistema
En abril, NIST anunció cambios en las operaciones de la NVD en respuesta a la escala necesaria. El volumen de CVE ha superado lo que el modelo de enriquecimiento actual estaba diseñado para manejar. Como parte de este cambio, aproximadamente 30,000 vulnerabilidades publicadas antes del 1 de marzo de 2026 fueron reclasificadas como 'No programadas'.
En principio, la priorización, automatización y el procesamiento selectivo son ajustes razonables. Sin embargo, en la práctica, esta modificación introduce riesgos que quizás no se comprenden completamente, especialmente para quienes son responsables de defender los entornos empresariales.
La presión no es teórica. Según el informe de Action1 sobre calificaciones de vulnerabilidades de software de 2026, el número de vulnerabilidades divulgadas en las categorías de software empresarial analizadas aumentó un 92% en 2025 en comparación con 2024. Las vulnerabilidades críticas y de alta gravedad aumentaron un 103% cada una, mientras que las que permiten ejecución remota de código aumentaron un 128%.
Hoy en día, el volumen de divulgaciones que deben validarse, enriquecerse, priorizarse y finalmente remediarse probablemente ejercerá una presión aún mayor sobre sistemas diseñados para una era más lenta de descubrimiento de vulnerabilidades.
Por lo tanto, el problema central no es simplemente la existencia de un atraso. Los atrasos son un resultado esperado en cualquier sistema que opera bajo un crecimiento rápido. La preocupación es cómo se gestiona ese atraso y, más importante aún, qué señales crea la decisión de priorizar vulnerabilidades más recientes sobre otras más antiguas y sin procesar.
¿Qué sucede cuando el enriquecimiento se queda atrás?
Al centrar los esfuerzos de enriquecimiento solo en CVEs recientes, el sistema deprioriza implícitamente vulnerabilidades que pueden ya ser conocidas, confirmadas y, en algunos casos, discutidas activamente por proveedores o investigadores, pero que carecen del contexto completo de la NVD.
Esto crea una asimetría de información particularmente difícil: inteligencia parcial sin la segunda parte que la hace fácilmente accionable. Los equipos de seguridad que dependen en gran medida de la NVD como fuente normalizada de información de vulnerabilidades pueden ver datos incompletos o retrasados.
Mientras tanto, los atacantes no necesitan esperar un enriquecimiento estandarizado antes de correlacionar avisos de proveedores, investigación de seguridad, lanzamientos de parches, información de exploits y divulgaciones públicas.
Esa brecha importa porque el enriquecimiento no es cosmético. Los metadatos estructurados, la información de plataformas afectadas, la puntuación de gravedad, los detalles de configuración y otra información contextual permiten a los defensores determinar si una vulnerabilidad realmente se aplica a su entorno y con qué urgencia debe abordarse.
Cuando esa información falta o se retrasa, las organizaciones a menudo se ven obligadas a esperar más contexto o a tomar decisiones con información fragmentada. Ninguno de estos resultados es ideal en un panorama de amenazas donde la explotación puede avanzar más rápido que los procesos internos de validación y remediación.
Pero eso no es todo
También hay un efecto de segundo orden que es más difícil de cuantificar pero igualmente importante. Un atraso continuo que se alimenta constantemente mientras se drena de manera selectiva crea incertidumbre sobre la cobertura. Sin un compromiso claro de procesar las entradas más antiguas en un plazo definido, el atraso se convierte en una condición semipermanente.
Algunas vulnerabilidades se enriquecerán rápidamente, otras permanecerán en el limbo, y habrá visibilidad limitada sobre en qué categoría cae un CVE determinado en un momento dado.
Para los profesionales, esto complica excesivamente la priorización. Si la información de productos afectados, como los datos CPE, está incompleta o es demasiado amplia, las organizaciones enfrentan un mayor riesgo de falsos positivos. Los equipos pueden pasar tiempo investigando vulnerabilidades que no se aplican a su entorno mientras pasan por alto riesgos que sí lo hacen.
Con el tiempo, esto erosionará la confianza en el conjunto de datos y empujará a las organizaciones a construir canales de inteligencia alternativos. Eso generará costos adicionales, herramientas y complejidad operativa, así como, como se puede predecir, mayores tasas de fallos.
Vea lo que significa el aumento de vulnerabilidades para los defensores
El informe de Action1 sobre calificaciones de vulnerabilidades de software de 2026 encontró que la explotación de aplicaciones empresariales aumentó un 800% en el último año.
Explore qué categorías de software experimentaron los mayores cambios en vulnerabilidades, gravedad y actividad de atacantes.
La gestión de vulnerabilidades está cambiando
Nada de esto sugiere que NIST esté actuando de manera irresponsable. El problema de escala es real, y el modelo existente no fue diseñado para el volumen de información de vulnerabilidades que ahora entra al ecosistema. Sin embargo, la compensación introducida empuja más responsabilidad hacia los usuarios finales.
Las organizaciones necesitarán depender menos de una única fuente autorizada y más de la correlación de múltiples fuentes, incluida la NVD, avisos de proveedores, proveedores independientes de inteligencia de vulnerabilidades, plataformas de inteligencia de amenazas e inventarios internos de activos.
Si se observa en perspectiva, la gestión de vulnerabilidades se está convirtiendo menos en consumir una lista curada y más en sintetizar inteligencia precisa a partir de datos incompletos en tiempo casi real. Eso requiere madurez, herramientas y disciplina de procesos que no todas las organizaciones poseen actualmente.
Si esta dirección continúa, la NVD seguirá siendo un componente crítico del ecosistema de gestión de vulnerabilidades, pero ya no funcionará como una línea base integral por sí sola. En cambio, se convierte en una entrada más entre muchas, y una que puede quedarse significativamente atrás de las realidades de explotación en el campo.
La pregunta más importante entonces no es simplemente '¿Qué vulnerabilidades existen?' sino '¿Cuáles nos afectan, cuáles representan el mayor riesgo y con qué rapidez podemos actuar?'
Cómo deberían adaptarse los defensores
La primera lección es que la gestión de vulnerabilidades ya no puede depender de una única fuente de enriquecimiento. La NVD sigue siendo enormemente valiosa, pero los equipos de seguridad necesitan cada vez más suscribirse a los trabajos acumulados de proveedores y organizaciones que agregan los datos disponibles en inteligencia utilizable.
Más importante aún, recopilar fuentes adicionales es solo parte de la respuesta. Más información puede simplemente crear otro problema de priorización. El objetivo real es convertir la inteligencia fragmentada de vulnerabilidades en una decisión: ¿Esta vulnerabilidad nos afecta, qué tan urgente es y qué podemos hacer al respecto ahora?
Este es el modelo que Action1 ha adoptado para la gestión de vulnerabilidades. En lugar de depender exclusivamente del enriquecimiento de la NVD, Action1 combina inteligencia de fuentes como VulnCheckNVD++, NIST NVD, el catálogo KEV de CISA, los datos MSRC de Microsoft y las notas de lanzamiento de los proveedores, y luego puntúa cada vulnerabilidad según datos CVE, gravedad CVSS, estado KEV de CISA y uso conocido en campañas de ransomware, proporcionando una priorización inicial en minutos.
Esa inteligencia se correlaciona con datos de endpoints en tiempo real para que los equipos puedan determinar qué vulnerabilidades afectan realmente al software desplegado en su entorno y priorizar la remediación en consecuencia.
Una vez que se ha identificado un endpoint afectado, la remediación no debería requerir otra exportación, ejercicio de correlación manual o transferencia prolongada antes de comenzar los parches.
Action1 integra la evaluación y remediación de vulnerabilidades en el mismo flujo de trabajo, lo que permite a las organizaciones pasar de saber que una vulnerabilidad existe a reducir la exposición real mucho más rápido, todo desde una sola consola.
La era de la IA en vulnerabilidades no se definirá por la rapidez con que los equipos de TI y seguridad encuentren fallos, sino por la rapidez con que puedan comprenderlos, priorizarlos y parchearlos. El descubrimiento se está acelerando, por lo que la remediación también debe acelerarse.
Vea cómo Action1 conecta la inteligencia de vulnerabilidades de SO y terceros en tiempo real con la remediación automatizada para ayudar a su equipo a reducir la exposición más rápido. Comience gratis y escale cuando esté listo. Patrocinado y escrito por Action1.
Deja una respuesta