El informe trimestral de Rapid7 sobre el panorama de amenazas del tercer trimestre de 2026 sitúa en tres días el tiempo promedio que transcurre entre la divulgación de una vulnerabilidad de alta gravedad y su primer uso en ataques. La firma de ciberseguridad se refiere a vulnerabilidades con puntaje CVSS de 7 a 10 y señala que 71% de toda la explotación registrada ocurrió en los primeros siete días, mientras que 90% se concentró dentro de los primeros 30.
De acuerdo con el documento, 43 vulnerabilidades nuevas fueron explotadas en el periodo, 7% menos que en el trimestre anterior y 19% más que en el mismo lapso de 2025. De esas 43, 34 no requerían autenticación ni interacción del usuario, lo que Rapid7 describe como el tipo de falla más atractivo para un atacante. Con esos plazos, la empresa sostiene que los ciclos de parches semanales o mensuales resultan lentos.
Otras mediciones apuntan en la misma dirección. El informe M-Trends 2026 de Mandiant estima que el tiempo medio de explotación fue de menos siete días en 2025, es decir, que el ataque suele comenzar antes de que exista un parche. La cifra partió de 63 días en 2018 y 2019. Las metodologías difieren, de modo que los números de Rapid7 y Mandiant no son directamente comparables. En el lado defensivo, el informe de brechas de datos de Verizon de 2026 halló que la mediana para remediar por completo una vulnerabilidad del catálogo KEV de CISA subió a 43 días.
En ransomware, The Gentlemen encabezó el trimestre con 342 publicaciones en sitios de filtración, apenas por delante de Qilin, con 339. INC Ransom aparece en tercer lugar con 99. Estados Unidos concentró 1,112 listados, alrededor de ocho veces los de Alemania, y 60.4% de los incidentes globales. En el sector gubernamental, la participación estadounidense entre los diez países con más casos pasó de 33% (16 de 48 incidentes) en el segundo trimestre a 45% (25 de 55) en el tercero. Los servicios empresariales, la manufactura y la salud fueron los sectores más afectados, con 17%, 16.1% y 14.9%, respectivamente.
El ascenso de The Gentlemen ya venía documentado. Según Check Point, el grupo pasó de 40 víctimas en el cuarto trimestre de 2025 a 166 en el primero de 2026. Unit 42, de Palo Alto Networks, indica que opera como ransomware como servicio desde al menos julio de 2025. Los conteos varían según quién los elabore: Brandefense, por ejemplo, registró para el segundo trimestre 305 víctimas de Qilin y 239 de The Gentlemen. Además, estas cifras reflejan solo lo que los grupos publican, por lo que no incluyen a quienes pagan antes de aparecer en un sitio de filtraciones.
En el mercado clandestino, 41 de 63 publicaciones ofrecían accesos, como credenciales de escritorio remoto o entradas a redes corporativas. Las 14 que trataban sobre exploits o vulnerabilidades de día cero se referían en su mayoría a fallas ya publicadas en avisos de fabricantes o en el catálogo KEV, lo que Rapid7 interpreta como una reventa rápida de fallas conocidas y no como una oleada de vulnerabilidades inéditas.
Respecto de la inteligencia artificial, 8% del reporte de amenazas que Rapid7 sigue la menciona como componente operativo. En todos los casos documentados, afirma la compañía, una persona eligió el objetivo y el propósito, mientras que la IA asistió en tareas intermedias como la selección de técnicas o la recuperación ante pasos fallidos. El informe añade que, según datos divulgados por un proveedor de IA, las solicitudes maliciosas en una sola sesión eran rechazadas con frecuencia, pero los controles fallaban más cuando el mismo objetivo se dividía en varias sesiones.
El documento también describe un conjunto de herramientas para Linux, hasta ahora no documentado y vinculado a Corea del Norte, usado contra organizaciones surcoreanas de los sectores automotriz y de medios, probablemente desde comienzos de 2025. Incluye una puerta trasera integrada en una versión modificada de HAProxy 2.8.12.
Para los equipos del sector público, Rapid7 recomienda priorizar la detección frente a técnicas comunes de ransomware y no seguir listas fijas de grupos. También aconseja vigilar el uso de interfaces de IA desde equipos inesperados.
Fuente: Informe de Rapid7 | Editado por CDOL
