El Informe de amenazas X-Force 2026 afirma que el problema de seguridad más urgente sigue siendo dolorosamente práctico: los atacantes están explotando sistemas expuestos más rápido de lo que las organizaciones pueden parchearlos. IBM informó de que la explotación de vulnerabilidades causó 40% de los incidentes observados por X-Force en 2025, mientras que 56% de las vulnerabilidades divulgadas no requerían inicio de sesión para ser explotadas. Si gestionas aplicaciones orientadas al público, tu cola de parches es ahora una superficie de ataque.
Informe de amenazas X-Force 2026: las cifras que importan
IBM publicó el X-Force Threat Intelligence Index 2026 el 25 de febrero de 2026. Su mensaje más claro no es que los atacantes se hayan vuelto de repente mágicos con la IA. Es que las brechas básicas de seguridad, la exposición de identidades y el software orientado al público siguen dándoles puntos de entrada claros.
El informe de amenazas X-Force 2026 sitúa la explotación de vulnerabilidades en lo más alto de la lista de accesos iniciales, representando 40% de los incidentes observados por IBM X-Force en 2025. IBM también informó de un aumento interanual de 44% en los ataques que comenzaron con la explotación de aplicaciones orientadas al público. Versión corta: si está en internet, alguien lo está probando.
Una cifra merece especial atención. En 2025, IBM dijo que 56% de las vulnerabilidades divulgadas no requerían autenticación para explotarse con éxito. Eso cambia el cálculo del riesgo porque un atacante no necesita credenciales robadas, éxito en phishing ni una posición interna antes de probar el fallo.
| Métrica del informe de IBM X-Force | Año medido | Cifra reportada | Por qué es importante |
|---|---|---|---|
| Incidentes causados por la explotación de vulnerabilidades | 2025 | 40% | Principal causa inicial de ataque observada |
| Vulnerabilidades divulgadas que no requieren autenticación | 2025 | 56% | Explotables antes del inicio de sesión o de las comprobaciones de identidad |
| Aumento de los ataques que comienzan con la explotación de aplicaciones orientadas al público | 2025 | 44% interanual | Las aplicaciones expuestas a internet siguen siendo objetivos prioritarios |
| Proporción del sector manufacturero en los incidentes observados | 2025 | 27.7% | Sector más atacado por quinto año |
| Proporción de Norteamérica en los casos observados | 2025 | 29%, frente a 24% en 2024 | Región más atacada en el conjunto de datos de IBM |
| Grupos distintos de ransomware/extorsión | 2025 | 109, frente a 73 en 2024 | Aumento de 49% en grupos activos |
Un cálculo útil hace que el riesgo sea más fácil de comprender. Si tu equipo clasifica 1.000 vulnerabilidades recién divulgadas que afectan a tu entorno, la cifra de 56% de IBM implica que unas 560 podrían explotarse sin autenticación antes de tener en cuenta la gravedad, la exposición o la madurez del exploit. Incluso si solo una de cada diez afecta a un servicio expuesto a internet, eso supone aproximadamente 56 problemas sin autenticación que exigen una revisión prioritaria.
Por qué “no requiere inicio de sesión” cambia las prioridades de parcheo
Los equipos de seguridad suelen ordenar el parcheo por puntuación CVSS, gravedad del proveedor y si un sistema es crítico para el negocio. Es razonable. Pero el X-Force threat report 2026 recuerda que los requisitos de autenticación deberían estar cerca de la parte superior de la hoja de clasificación.
Un fallo no autenticado en un endpoint público tiene una propiedad desagradable: puede sondearse a escala. Los atacantes pueden escanear internet, identificar versiones y lanzar intentos de explotación sin necesitar una contraseña, un token de sesión ni un email de phishing exitoso. Tu pila de identidad puede ser excelente y seguir siendo irrelevante para el primer movimiento.
Aquí está el problema que muchos paneles de parcheo ocultan. Una vulnerabilidad en un servidor de staging olvidado, un dispositivo VPN, un portal de transferencia de archivos o una antigua pasarela API puede no aparecer en la misma cola de prioridad que tu aplicación de producción y, aun así, ofrecer una vía de entrada más limpia. El inventario de activos no es trabajo administrativo. Es reducción de amenazas.
Para los equipos que intentan conectar el escaneo a velocidad de IA con controles prácticos, el debate más amplio sobre La IA encuentra puntos débiles de seguridad más rápido es relevante, pero la solución sigue empezando por hechos aburridos: qué posees, qué versión ejecuta, si está expuesto y con qué rapidez puedes dejarlo fuera de línea si es necesario.
¿Cuáles son las vulnerabilidades más explotadas?
La mejor respuesta pública en 2026 no es una entrada genérica de blog con un top 10. CISA describe su catálogo Known Exploited Vulnerabilities como la fuente autorizada sobre vulnerabilidades explotadas en entornos reales. Si necesitas saber qué están usando realmente los atacantes, consulta primero el catálogo KEV y compáralo con tus activos.
El X-Force threat report 2026 respalda el mismo modelo operativo: no apliques parches solo por el titular. Aplícalos según la evidencia de explotación, la exposición y el impacto empresarial. Un fallo de gravedad media con explotación activa en tu perímetro público puede tener prioridad sobre un problema con mayor puntuación oculto tras controles compensatorios.
Los nombres CVE importan aquí. El CVE Program y NIST definen CVE como un identificador o registro común para vulnerabilidades de ciberseguridad conocidas públicamente, de modo que herramientas, proveedores y personas puedan hablar del mismo fallo sin ambigüedad. Cuando un escáner, un aviso del proveedor y una entrada de CISA KEV hacen referencia al mismo ID de CVE, tu equipo puede moverse más rápido y con menos errores de traducción.
Un flujo de trabajo práctico es el siguiente:
- Exporta tus activos expuestos a internet, incluidos portales de administración SaaS, VPN, dispositivos perimetrales, API y entornos de prueba.
- Relaciona el software y el firmware detectados con registros CVE, avisos de proveedores y el catálogo CISA Known Exploited Vulnerabilities.
- Etiqueta las vulnerabilidades que no requieren autenticación, afectan a aplicaciones expuestas al público o tienen explotación conocida.
- Aplica parches, aísla, desactiva o añade controles compensatorios dentro de un plazo que tu equipo de incidentes pueda defender.
- Vuelve a realizar la prueba después de la remediación, porque un ticket cerrado no demuestra que el servicio expuesto haya cambiado.
El ransomware creció, pero el punto de entrada a menudo siguió siendo algo corriente
IBM informó de que los grupos activos de ransomware y extorsión aumentaron un 49% interanual en 2025, pasando a 109 grupos distintos desde los 73 de 2024. Los recuentos de víctimas de ransomware y extorsión divulgados públicamente aumentaron aproximadamente un 12%. Más grupos, más presión, más especialización.
Sin embargo, los patrones de entrada son conocidos. El software explotado, las credenciales robadas y los controles de identidad débiles siguen haciendo el trabajo. El informe de amenazas X-Force 2026 también informó de más de 300.000 conjuntos de credenciales de ChatGPT anunciados en la dark web en 2025, un recordatorio de que los servicios de IA se han unido a la economía de las credenciales en lugar de situarse por encima de ella.
Parte del pánico sobre la IA y el ransomware está sobredimensionado. Sinceramente, la historia más inquietante es menos cinematográfica: los atacantes usan la automatización para encontrar más rápido los mismos sistemas desatendidos y luego aplican manuales de extorsión que ya funcionan. La cobertura sobre la velocidad del ransomware impulsado por IA ayuda a explicar la aceleración, pero la velocidad solo compensa cuando los defensores dejan abiertas brechas accesibles.
Los ataques a credenciales siguen mereciendo la misma atención. Si tu organización trata la MFA como una meta final, estás expuesto al robo de sesiones, al abuso de tokens, al phishing de adversario en el medio y a la manipulación del servicio de asistencia. Para analizar más de cerca las brechas de identidad, la advertencia de que puede que Microsoft 365 MFA no sea suficiente encaja perfectamente con las recomendaciones de IBM centradas en la identidad.
Fabricación, Norteamérica y el lastre de la cadena de suministro
La fabricación fue la industria más atacada en los incidentes observados por IBM en 2025 por quinto año consecutivo, representando el 27.7% de los casos. Esa cifra no debería sorprender a nadie que haya trabajado con redes de producción. El tiempo de inactividad tiene un precio por hora, y la tecnología operativa antigua rara vez se parchea como una aplicación web nativa de la nube.
Norteamérica fue la región más atacada en el conjunto de datos de IBM, representando el 29% de los casos observados en 2025, frente al 24% de 2024. La concentración regional puede reflejar el interés de los atacantes, los patrones de notificación, la combinación de clientes y la oportunidad económica. Tómalo como una señal, no como una tabla de probabilidad universal.
Las grandes brechas en la cadena de suministro y de terceros casi se cuadruplicaron entre 2020 y 2025, según IBM. Ese es el dato de evolución lenta del informe de amenazas X-Force 2026. Puede que tu propio parcheo sea aceptable, mientras que una integración con un proveedor, un proveedor de servicios gestionados o una dependencia de software amplía silenciosamente el radio de impacto.
La planificación de seguridad tiene que madurar con el tamaño de la empresa y el número de dependencias. Si estás construyendo esa hoja de ruta, cómo cambian las prioridades de seguridad a medida que crecen las organizaciones es un complemento útil porque el riesgo de proveedores, la gobernanza de identidades y la gestión de la exposición llegan antes de lo que muchos equipos esperan.
¿Qué deberías hacer con el informe de amenazas X-Force 2026?
Las recomendaciones de IBM para 2026 incluyen la detección proactiva de amenazas impulsada por IA, la detección de amenazas de identidad y la gestión de la postura, las pruebas y la búsqueda de vulnerabilidades, la seguridad de plataformas de IA y la protección de datos. Buena lista. Mi opinión: compra las flamantes herramientas de detección después de poder demostrar que conoces tus activos expuestos y que puedes parchear rápidamente los peligrosos.
Empieza con pruebas de vulnerabilidad contra los sistemas que los atacantes pueden ver. Luego añade telemetría de identidad que detecte viajes imposibles, comportamiento inusual de tokens, escalado de privilegios y uso de cuentas inactivas. Después de eso, ajusta la detección impulsada por IA a tu entorno real en lugar de esperar que compense la falta de inventario.
La seguridad de las plataformas de IA también merece su propio apartado. A medida que las empresas añaden copilotos, agentes y flujos de trabajo conectados a modelos, los secretos pueden filtrarse a través de plugins, registros, prompts e integraciones con permisos excesivos. El riesgo ya no es solo que los empleados peguen datos en un chatbot; es que sistemas automatizados llamen a otros sistemas con más acceso del que nadie revisó. Para ese caso límite, la orientación sobre agentes de IA utilizados como arma por hackers es directamente relevante.
No ignores la protección de datos mientras persigues la prevención. Si entra un grupo de extorsión, la diferencia entre un incidente doloroso y una crisis pública a menudo se reduce a la segmentación, la monitorización de salida, la integridad de las copias de seguridad y saber dónde se encuentran los datos sensibles. La prevención falla a veces. La resiliencia no debería hacerlo.
Una lectura útil del informe, sin la exageración
El informe de amenazas X-Force 2026 se entiende mejor como un documento de priorización, no como una profecía. Sus pruebas más sólidas apuntan a una jerarquía simple: reducir la exposición, parchear las vulnerabilidades explotadas y no autenticadas, reforzar las identidades, vigilar la filtración de credenciales y proteger las herramientas de IA que realmente has desplegado.
¿Y qué pasa con los ataques impulsados por IA? Importan, especialmente porque comprimen el tiempo. Pero las cifras del informe sugieren que muchas brechas todavía comienzan con debilidades que los defensores ya saben cómo reducir. Eso resulta incómodo porque desplaza la carga de la tecnología futura a la disciplina presente.
Una advertencia para los lectores que comparan cifras entre distintas coberturas: informes secundarios mencionaban casi 40,000 nuevas vulnerabilidades en 2025, mientras que otro informe hacía referencia a 400,000 vulnerabilidades rastreadas por IBM X-Force. Esas cifras exactas entran en conflicto en la cobertura secundaria accesible y deberían verificarse con material primario de IBM antes de usarlas en una presentación al consejo.
La lección duradera es más limitada y más práctica. Si 56% de las vulnerabilidades divulgadas no necesitan inicio de sesión, la exposición pública se convierte en el multiplicador. Un número menor de sistemas expuestos a internet, parcheados con una urgencia basada en evidencias, puede reducir el riesgo más que un conjunto mayor de controles vigilando demasiadas puertas desatendidas.
Preguntas frecuentes
¿Qué es el informe de amenazas X-Force 2026?
Es el X-Force Threat Intelligence Index 2026 de IBM, publicado el 25 de febrero de 2026. El informe resume la actividad de amenazas observada por IBM X-Force, incluida la explotación de vulnerabilidades, las tendencias de ransomware y extorsión, la focalización por sectores y los controles recomendados.
¿Qué significa que 56% de vulnerabilidades no necesiten inicio de sesión?
IBM informó de que 56% de las vulnerabilidades divulgadas en 2025 no requerían autenticación para explotarse con éxito. En la práctica, un atacante puede ser capaz de intentar aprovechar la vulnerabilidad sin tener que robar credenciales primero ni iniciar sesión en el sistema afectado.
¿Qué es un CVE en ciberseguridad?
Un CVE es un identificador común para una vulnerabilidad de ciberseguridad conocida públicamente. El CVE Program y NIST lo describen como un registro compartido que ayuda a las herramientas, los proveedores y los equipos de seguridad a referirse al mismo fallo de forma coherente.
¿Dónde debo consultar las vulnerabilidades más explotadas?
Utiliza el catálogo Known Exploited Vulnerabilities de CISA. En 2026, CISA lo describe como la fuente autorizada sobre vulnerabilidades explotadas en entornos reales, lo que lo convierte en un mejor punto de partida que las clasificaciones genéricas de vulnerabilidades.
ES 
EN 
FR