Un fallo de software ya no necesita ser explotado después de publicarse para convertirse en un problema. En la cadena de suministro digital, muchas vulnerabilidades ya están siendo utilizadas antes incluso de que el sector sepa que existen.
Esta es una de las principales conclusiones que se pueden extraer del Informe de Vulnerabilidad de la Cadena de Suministro 2026, auspiciado por Black Kite Research Group. El documento describe un cambio estructural en la ciberseguridad empresarial donde la velocidad ha superado por completo a la visibilidad.
Durante el pasado ejercicio se publicaron más de 48.000 CVE (con unas 800 explotadas activamente), pero solo 58 representaban una amenaza real y directa para las cadenas de suministro. La paradoja es evidente, puesto que existe un volumen masivo de alertas, pero el riesgo real se concentra en un número extremadamente reducido de vulnerabilidades críticas.
Además, esto muestra un problema de ‘ruido’. Este gran volumen de vulnerabilidades publicadas hace imposible cualquier estrategia de revisión exhaustiva. Durante el pasado ejercicio el catálogo de fallas explotadas conocidas por la CISA se incrementó un 32%, pero el trabajo advierte de un desfase entre el compromiso real y su catalogación.
Uno de los datos más disruptivos del informe es la inversión del ciclo de explotación. Según el ecosistema de inteligencia de amenazas de Mandiant, los atacantes están explotando vulnerabilidades una media de siete días antes de su divulgación pública. Esto rompe el modelo tradicional de seguridad basado en parches posteriores a la publicación. Así, cuando una brecha se anuncia, en muchos casos ya es demasiado tarde.
A esta aceleración se suma un segundo fenómeno igual de preocupante. Una vez que el atacante accede a un proveedor, la transición hacia actores de ransomware puede producirse en apenas 22 segundos como promedio. Lo que antes era una cadena de intrusión que podría llevar horas o incluso días hoy es prácticamente instantáneo.
Eso significa que, en la práctica, el acceso comprometido no ‘permanece en manos’ de quien lo obtiene inicialmente, sino que entra de inmediato en un circuito automatizado o altamente coordinado de ciberdelincuencia donde se monetiza al instante.
La inteligencia artificial como nuevo vector de ataque
La irrupción de la inteligencia artificial añade una capa adicional de complejidad. En 2025 se identificaron más de 2.130 vulnerabilidades relacionadas con sistemas de IA, con un crecimiento superior al 30% interanual. Este tipo de fallos no solo afecta a herramientas emergentes, sino también a asistentes de desarrollo y entornos de programación cada vez más integrados en el ciclo de producción de software.
Técnicas como la inyección de prompts se están consolidando como una nueva clase de vulnerabilidad, comparable en impacto a la ejecución remota de código en sistemas tradicionales. El riesgo ya no reside únicamente en los programas que ejecuta una empresa, sino también en los modelos que interpretan y generan ese software.
El informe también revela una brecha creciente entre organizaciones con capacidades avanzadas de detección y el resto del ecosistema. Mientras las grandes empresas han reducido significativamente sus tiempos de respuesta gracias a herramientas basadas en IA, muchos proveedores medianos y proyectos de código abierto siguen operando con ciclos de detección que superan los seis meses.
El software de código abierto representa alrededor del 14% del riesgo detectable mediante OSINT, lo que confirma su papel estructural como punto de entrada en numerosas cadenas de suministro. A medida que las grandes corporaciones refuerzan sus defensas, los atacantes desplazan su foco hacia estos eslabones menos visibles, pero ampliamente integrados.
La conclusión del estudio apunta a una transformación profunda en la forma de entender la ciberseguridad de terceros. En lugar de depender de métricas tradicionales como CVSS, el documento propone un enfoque basado en la combinación de detectabilidad, probabilidad de explotación y exposición real dentro del ecosistema de proveedores.
