Microsoft acaba de lanzar una actualización de seguridad récord: corrigió casi mil vulnerabilidades en un solo día. Y lo más aterrador no es la cifra, sino que las dos fallas que los atacantes estaban aprovechando activamente ni siquiera estaban marcadas como críticas.
Esto es lo que significa para tu negocio y por qué el verdadero problema no son los parches que necesitas aplicar, sino los que ni siquiera sabes que deberías buscar.
Déjame darte un número: 974. Así de vulnerabilidades corrigió Microsoft en un solo día este septiembre. Más de 100 eran críticas. La empresa ya ha parcheado más de 2.700 fallos en lo que va de 2026, y aún nos quedan tres meses.
Pero lo que realmente me quita el sueño es otra cosa: dos de esas vulnerabilidades de septiembre ya estaban siendo explotadas por atacantes antes de que existieran los parches. ¿Y lo mejor? Ninguna fue calificada como "crítica". Las dos decían simplemente "importante".
Una se escondía en Windows Update Stack. La otra vivía en algo llamado Advanced Local Procedure Call. Las dos permitían a un atacante ya dentro de tu máquina convertirse en administrador con control total. Y si estabas usando la calificación de Microsoft para decidir qué parchear primero, probablemente habrías dejado ambas de lado.
Entonces, ¿cuál es la verdadera lección? No se trata de si puedes absorber mil parches al mes. La mayoría de pequeñas empresas no puede, seamos honestos. La pregunta real es mucho más simple y mucho más difícil: ¿Sabes realmente qué tienes?
Algo que me sorprendió cuando leí sobre esta tendencia: el software no se ha vuelto peor. Estos errores no aparecieron porque los desarrolladores se hayan vuelto perezosos. Muchos llevan años escondidos en el código, algunos décadas.
¿Qué cambió? La inteligencia artificial.
Microsoft, Google, Adobe, Cisco, Mozilla y Oracle están usando herramientas de IA para escanear millones de líneas de código buscando fallos de seguridad. Y los encuentran a una velocidad que los investigadores humanos jamás podrían igualar. La pipeline de IA de Google, por ejemplo, corrigió más de mil errores de seguridad en dos versiones de Chrome, más que en los dos años anteriores juntos.
Dustin Childs, de Zero Day Initiative, lo llama "la nueva normalidad", y honestamente, creo que tiene razón. No esperes que estos números bajen a lo que considerábamos normal hace unos pocos años.
¿Es mala noticia? En su mayor parte, no. Que los buenos encuentren y corrijan más agujeros es una victoria. El aluvión de parches no ha venido acompañado de un aluvión de ataques, al menos todavía. Pero hay un detalle: cuando algo sí se convierte en arma, la ventana entre el momento en que se revela la vulnerabilidad y cuando los atacantes comienzan a explotarla se hace cada vez más corta. Antes esa ventana te daba tiempo para parchear. Ahora apenas te da tiempo para terminar el café.
Déjame pintarte un escenario. Es Patch Tuesday (o el día que Microsoft decida soltar su paquete mensual ahora). Abres tu consola de gestión y ves 50 actualizaciones esperando. Quizás 100. Quizás más. ¿Cuál es tu estrategia?
Si eres como la mayoría de pequeñas empresas, probablemente empiezas por las críticas, sigues hacia abajo y esperas lo mejor. O quizás configuras todo en actualización automática y listo.
El problema con ese enfoque: "crítico" no significa "te va a afectar seguro" e "importante" no significa "no importa".
Una debilidad de DNS en Windows Server es devastadora si ejecutas Windows Server. Es completamente irrelevante si no lo ejecutas. Pero si no sabes si tienes servidores Windows, y seamos honestos, ¿cuántos dueños de pequeñas empresas pueden responder eso sin verificarlo?, básicamente estás jugando a proteger tu negocio con los ojos vendados.
La mayoría de pequeñas empresas con las que hablo no tienen un inventario confiable de lo que realmente tienen. ¿Cuántos portátiles hay en circulación? ¿Cuáles siguen recibiendo actualizaciones de seguridad y cuáles usan sistemas operativos sin soporte desde 2017? ¿Qué software de servidor está corriendo y cuándo fue la última vez que alguien lo tocó? ¿Hay móviles antiguos flotando por ahí con acceso al correo de la empresa?
Cuando el volumen de parches era manejable, una cobertura aproximada era suficiente. Podías sobrevivir con algunas suposiciones porque los números eran lo bastante pequeños como para que estar generalmente actualizado fuera casi lo mismo que estar realmente actualizado.
Con mil correcciones al mes, las suposiciones dejan de funcionar. No puedes triagear un pajar que nunca has medido.
Aquí está la solución nada glamurosa a este lío: haz una lista.
Ya sé, ya sé. No es exactamente el equivalente a ponerse una capa de superhéroe en ciberseguridad. Pero escúchame.
Un inventario de activos suena aburrido hasta que te das cuenta de lo que hace por ti. Convierte un número inmanejable (974 parches este mes) en uno pequeño (tres parches que aplican a tu configuración real). Hace que cada otra decisión de seguridad sea más barata porque ya no estás adivinando.
No necesitas una herramienta sofisticada para esto. Empieza simple. ¿Qué dispositivos se conectan a tu red? ¿Qué software corre en ellos? ¿Qué se usa de verdad versus qué se instaló y se olvidó? Cuando digo "simple", lo digo en serio. Una hoja de cálculo sirve. Una ronda documentada por tu oficina sirve. Lo que importa es que lo hagas y que lo actualices cuando algo cambie.
Los negocios que manejarán bien esta nueva realidad no son los que parchean más rápido. Son los que pueden responder una pregunta básica: ¿Qué ejecutamos y dónde está?
Algo que apostaría a que no has considerado: tus asistentes de IA son software. El software tiene fallos. Los fallos pueden ser explotados.
Piensa en lo que algunas de estas herramientas pueden acceder. Un copiloto con acceso a tu bandeja de entrada, tus archivos, tu base de datos de clientes: eso es un perfil de riesgo completamente diferente al de un programa de hojas de cálculo. Estas herramientas pueden leer tus correos, redactar respuestas en tu nombre y, cada vez más, tomar acciones basándose en lo que encuentran.
Las pequeñas empresas han adoptado herramientas de IA casi orgánicamente. Alguien instaló una extensión útil del navegador. Alguien conectó un tomador de notas de reuniones al calendario de la empresa. Alguien le dio acceso a un asistente a la carpeta compartida para ahorrar una tarde de trabajo.
Cada una de esas decisiones tenía todo el sentido en su momento.
Lo que se quedó atrás fue cualquier registro de que pasó. Pregunta a la mayoría de dueños de negocios qué herramientas de IA están en uso en su empresa y qué datos pueden alcanzar realmente, y получишь thoughtful pause.
Eso es shadow AI, y es un hueco de visibilidad con tu nombre escrito.
La solución no es entrar en pánico y prohibir las herramientas de IA. Algunas son genuinamente útiles y tus competidores probablemente ya las usan. La solución es añadirlas a esa aburrida hoja de cálculo de la que hablamos. ¿Qué herramientas están conectadas a qué? ¿Qué pueden ver?
Déjame reunir todo esto con algo práctico.
El aluvión de parches no va a desaparecer. El descubrimiento de vulnerabilidades asistido por IA llegó para quedarse, y eso es mayormente buenas noticias: más agujeros se cierran que nunca antes. Pero cambia las reglas de cómo las pequeñas empresas deben abordar la seguridad.
No puedes salir de esta por volumen de parches. No puedes leer cada boletín de seguridad y tomar decisiones informadas sobre todos. No hay suficientes horas en el día, y siendo honestos, la mayoría no somos investigadores de seguridad.
Lo que sí puedes hacer es tomarte en serio saber qué tienes. Construye ese inventario de activos. No tiene que ser sofisticado. Solo tiene que existir.
Una vez que sepas qué estás ejecutando, de repente ese aluvión de parches se convierte en un flujo mucho más manejable. Puedes ignorar las vulnerabilidades que no te aplican y concentrarte de verdad en las que sí.
No puedes parchear lo que no puedes ver. Es el consejo más viejo en ciberseguridad, y de alguna manera nunca ha sido tan relevante como ahora mismo.
Los pajares se hacen más grandes. Eso significa que las apuestas de saber dónde están tus agujas nunca han sido más altas.
Etiquetas: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']