Revelan las vulnerabilidades de software más explotadas que aún permiten comprometer redes corporativas
CISA revela por qué fallos ya conocidos por los equipos de seguridad siguen siendo un arma eficaz para los atacantes.
Los ataques llamativos a menudo se atribuyen a vulnerabilidades desconocidas y a herramientas complejas, pero una revisión reciente de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) muestra un panorama más realista. En 2024–2025 la mayoría de las compromisiones se basó en debilidades simples y conocidas desde hace tiempo en sistemas accesibles desde Internet, y no en vulnerabilidades de día cero.
CISA comparó datos de CVE, el catálogo de vulnerabilidades realmente explotadas KEV y los resultados de auditorías prácticas de organizaciones. El patrón se repitió en diversas fuentes: los atacantes emplearon una y otra vez errores de validación de entrada, problemas de seguridad de memoria, inyecciones y fallos de control de acceso. Ese tipo de debilidades ofrece vías de intrusión predecibles y escalables.
El catálogo KEV es especialmente ilustrativo. En dos años, el 41,5% de las entradas correspondía a las llamadas debilidades persistentes, que MITRE ha documentado durante muchos años. Parte de los problemas se consideraba inaceptablemente simple ya en 2007; sin embargo, siguieron apareciendo en productos en 2025. CISA atribuye esa recurrencia no a la complejidad de los ataques, sino a deficiencias sistémicas en el desarrollo.
La situación se agrava por el estado de la infraestructura externa. Entre los objetos de infraestructura crítica evaluados, el 26% mantenía servicios de red vulnerables accesibles, el 51% utilizaba software sin soporte y el 91% dependía de versiones obsoletas de SSL/TLS. Para los protocolos obsoletos, la mediana del tiempo durante el cual el problema permaneció sin resolver fue de 459 días, lo que mantenía puntos de entrada convenientes para los atacantes.
Ante el aumento del número de vulnerabilidades, CISA propone dejar de basarse únicamente en la evaluación CVSS. La agencia aconseja tener en cuenta cuatro factores: si el sistema es accesible desde Internet, si la vulnerabilidad figura en KEV, si la explotación puede automatizarse y qué nivel de control obtiene el atacante tras un ataque exitoso. Este enfoque debería priorizar más rápidamente los problemas realmente peligrosos.
Para reducir el riesgo, CISA recomienda en primer lugar corregir las vulnerabilidades de KEV accesibles desde Internet y revisar los sistemas en busca de signos de compromiso. También se aconseja que las organizaciones desactiven servicios inseguros innecesarios, apliquen cifrado y una autenticación estricta, actualicen el software regularmente y que los desarrolladores eliminen clases recurrentes de errores ya en la fase de diseño.