Vulnerabilidad crítica — ¿y qué? Wiz explica por qué un CVSS alto muchas veces no significa nada

Los problemas más peligrosos en la nube cada vez con más frecuencia no se presentan como vulnerabilidades sonoras con la máxima puntuación, sino como una combinación favorable para el atacante: un servicio expuesto, un secreto robado y permisos excesivos. Los especialistas de Wiz, en un nuevo informe sobre los riesgos de la infraestructura en la nube, llegaron a la conclusión de que el 78% de los problemas detectados de alta y crítica gravedad se concentran en tres categorías: divulgación de información, credenciales y secretos expuestos, y acceso no autorizado.

La ejecución remota de código, que tradicionalmente atrae mucha atención, representó solo el 9% de los riesgos detectados que podían explotarse. Según Wiz, el 33% fueron filtraciones de información, el 23% correspondió a credenciales y secretos expuestos, y otro 22% ofreció oportunidades de acceso no autorizado. Una única puntuación de criticidad en la escala CVSS no refleja bien el peligro real si no se sabe si el recurso está accesible desde Internet y hasta dónde podrá llegar el atacante tras la primera intrusión.

Las estadísticas de incidentes reales confirman el problema desde otra perspectiva. En retrospectiva, la explotación de vulnerabilidades proporcionó el 40% de los casos de acceso inicial en ataques en la nube desde febrero hasta diciembre de 2025. Otro 21% se debió a secretos expuestos, y un 19% a errores de configuración. En conjunto, estas dos últimas fuentes aportaron el mismo 40% que la explotación de vulnerabilidades.

Los principales multiplicadores del daño son los permisos y las conexiones entre recursos en la nube. En el 30% de los entornos estudiados, Wiz detectó al menos una máquina accesible desde Internet que abría un camino hacia sistemas con alto potencial de daño. En el 19% de los entornos había software expuesto al exterior relacionado con el sistema de gestión de identidad y acceso (IAM), y las cuentas asociadas tenían permisos sobre recursos internos sensibles. Esa cadena puede convertir un error de configuración ordinario en una ruta hacia sistemas críticos.

La situación se complica porque la IA se está implantando rápidamente en todas partes. Según un estudio independiente de Wiz, al menos el 81% de los entornos en la nube estudiados usan servicios de IA gestionados, el 90% ejecutan su propio software de IA, y el 80% de las organizaciones emplean servidores Model Context Protocol (MCP) —un protocolo para conectar la IA con herramientas y datos externos. Aproximadamente el 5% de esos servidores están accesibles desde Internet. Agentes de IA, claves API, cuentas de servicio y procesos automáticos añaden nuevas conexiones entre sistemas y amplían la superficie de ataque.

Al mismo tiempo, el tiempo de respuesta se reduce. Los datos del proyecto ZeroDayClock, que cita Wiz, muestran que el tiempo medio entre la publicación de una vulnerabilidad y su explotación confirmada se redujo de 2,3 años en 2018 a 21,5 días en 2025. El valor mediano en el mismo periodo cayó de 2,1 años a cero horas.

La IA puede acelerar aún más la búsqueda de puntos débiles. El grupo Google GTIG en 2026 detectó por primera vez a un atacante que explotó una vulnerabilidad de día cero y, según la valoración de los especialistas de Google, la IA le ayudó en ello. Debido a la automatización de la recopilación de inteligencia, el análisis de código y la preparación de exploits, a los defensores les queda cada vez menos tiempo entre la aparición de información sobre una vulnerabilidad y los intentos de explotarla.

Wiz propone evaluar no la cantidad de alertas, sino el contexto alrededor de cada riesgo. Este enfoque permitió reducir el número de hallazgos que requieren respuesta urgente en un 53–67% en cuatro categorías analizadas. El informe se basa en la telemetría de entornos corporativos en la nube recopilada de enero a mayo de 2026. La muestra incluye empresas de distintos sectores y tamaños, entre ellas más del 65% de Fortune 100. Los especialistas llegan a la conclusión principal: hay que priorizar las cadenas en las que el acceso externo se combina con privilegios elevados y la posibilidad de alcanzar datos sensibles.