Moody’s: 87 días para corregir las vulnerabilidades explotadas

La agencia de calificación Moody’s publicó el 19 de octubre un informe sobre el riesgo cibernético de las organizaciones que califica: el tiempo mediano para corregir una vulnerabilidad conocida y ya explotada por los atacantes es de 87 días. Es decir, la mitad de estos fallos sigue abierta tres meses después de su publicación. En los mismos días, Rapid7 midió en su informe trimestral de amenazas que las vulnerabilidades graves elegidas por los atacantes se explotan de media en tres días. La distancia entre estas dos cifras es el punto de partida para revisar tu proceso de parcheo.

Qué dice el informe de Moody’s

Según Infosecurity Magazine, el informe utiliza datos de Bitsight Technologies de febrero de 2026, relativos a las vulnerabilidades publicadas en los dos años anteriores. Las cifras principales:

• 87 días de tiempo mediano de corrección para las vulnerabilidades conocidas y explotadas;
• 107 días para las vulnerabilidades sin pruebas de explotación: cuando no consta que el fallo se use en ataques, el retraso es aún mayor;
• según LeMagIT, el análisis abarca unos 9.500 emisores calificados por Moody’s, y el 60 % tenía en su red al menos una vulnerabilidad conocida y explotada sin corregir (dato que solo publica LeMagIT).

La propia Moody’s advierte que, desde febrero, los avances en las capacidades ofensivas de la inteligencia artificial podrían haber reducido todavía más el tiempo necesario para explotar un fallo, y que también los tiempos de corrección podrían haber cambiado.

El informe vincula el problema con el riesgo de crédito. Según Moody’s, las organizaciones con prácticas de parcheo débiles son las más expuestas, sobre todo si tienen redes digitales extensas y, por tanto, una superficie de ataque mayor. Las pequeñas y medianas empresas, añaden los analistas, podrían convertirse en objetivos económicamente más rentables a medida que la IA reduce el coste y el esfuerzo de los ataques. LeMagIT resume la consecuencia: una postura de seguridad débil puede encarecer el coste del capital.

Mientras tanto, el volumen crece: Moody’s recuerda que Microsoft batió sus propios récords de número de actualizaciones de seguridad en tres Patch Tuesday consecutivos.

La inteligencia artificial y la ventana de explotación

Según el informe, recogido por Infosecurity Magazine, los agentes de IA ya son capaces de explotar vulnerabilidades y comprometer sistemas en cuestión de días. El documento cita fallos de contención durante las pruebas de los desarrolladores de OpenAI y Anthropic; en el caso de OpenAI se trataba de una evaluación interna, no de un ataque. Moody’s precisa que hasta ahora no se ha documentado públicamente ninguna campaña de atacantes de escala comparable, pero considera temporales los obstáculos actuales: costes de computación y acceso limitado a los modelos más avanzados. El informe recoge también la estimación del AI Security Institute británico: la diferencia de capacidades cibernéticas entre modelos de pesos abiertos y modelos de frontera se ha reducido a 4–7 meses, frente a los 6–10 de la estimación anterior.

Los datos de Rapid7: la ventana se mide en días

CSO Online publica los datos del Quarterly Threat Landscape de Rapid7 sobre el tercer trimestre de 2026. No forman parte del informe de Moody’s, pero ayudan a leerlo:

• 43 vulnerabilidades explotadas por primera vez en el trimestre, un 19 % más que un año antes;
• las nuevas CVE de gravedad alta (puntuación de 7 a 10) aumentaron un 133 % y las pruebas de concepto públicas alrededor de un 86 %: los fallos explotables crecen mucho más deprisa que los que los atacantes eligen de verdad;
• las vulnerabilidades graves elegidas por los atacantes se explotaron de media en tres días, y el 71 % de la explotación observada llegó en una semana;
• casi el 80 % de lo explotado era accesible en remoto, sin autenticación y sin interacción del usuario: el terreno de la técnica MITRE ATT&CK T1190 (Exploit Public-Facing Application);
• en los foros clandestinos, la mayoría de los mensajes se referían a CVE ya presentes en los avisos de los fabricantes o en el catálogo KEV de CISA a los pocos días de su publicación: un reempaquetado comercial de fallos conocidos, más que un mercado de nuevos zero-day.

Según Rapid7, la IA tuvo un papel operativo solo en un 8 % aproximado de los ataques observados, en la parte táctica (elección de la siguiente técnica, selección de objetivos), mientras que la decisión de a quién atacar seguía siendo humana.

En conjunto, los datos indican que en uno de cada dos fallos explotados la corrección llega casi tres meses después, mientras que el atacante puede estar listo en pocos días.

Qué significa para las empresas europeas e italianas

Para las entidades incluidas en NIS2 (en Italia, el Decreto Legislativo 138/2024), la gestión de vulnerabilidades es una de las medidas de seguridad exigidas: meses de espera para corregir fallos ya explotados son difíciles de justificar. El vínculo que establece Moody’s con la solvencia crediticia añade un argumento económico en la conversación con la dirección. Según Chris Cochran (SANS Institute), citado por LeMagIT, el consejo de administración necesita pocos indicadores: superficie expuesta explotable, latencia de los parches, accesos privilegiados y tiempo de recuperación probado.

Qué hacer ahora

• Empieza por el perfil que prefieren los atacantes: haz una lista de los sistemas expuestos a Internet y accesibles sin autenticación, y decide para cada uno cuántos días de exposición son aceptables (la recomendación que recoge CSO Online).
• Da prioridad a las vulnerabilidades del catálogo KEV de CISA y a las que tienen un exploit público, con plazos de corrección de días para los activos públicos y no ciclos mensuales. Rich Mogull (Cloud Security Alliance), citado por LeMagIT, habla de «VulnOps»: la gestión de vulnerabilidades como proceso continuo, al estilo DevOps.
• Mide tu propio tiempo de corrección de las vulnerabilidades explotadas y compáralo con los 87 días del informe.
• Contén lo que no puedas corregir: en los sistemas heredados, segmentación, restricción de accesos, controles compensatorios y recuperación probada.
• Reduce la superficie: cierra las exposiciones innecesarias y limita los privilegios.
• Practica la gestión de varios incidentes simultáneos, con ejercicios de red team y tabletop, como sugiere Rob Lee (SANS).

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete, con su antigüedad, las ya explotadas por los atacantes destacadas y la evolución día a día: los datos para medir tu propio tiempo de corrección. ARX Expose te enseña la superficie de ataque desde fuera, con las vulnerabilidades conocidas en los servicios públicos, y ARX Scout comprueba qué puertos y servicios están realmente expuestos.

Última actualización: 22 de octubre de 2026