El conteo global de fallas de software llegó a 66,401 vulnerabilidades confirmadas al 16 de septiembre de 2026, casi el doble de las 33,512 registradas en la misma fecha de 2025, según Wired, que cita el conteo del proyecto cve.icu. La cifra supera también las 25,000 de todo 2022, el año en que OpenAI lanzó la primera versión de ChatGPT.

Detrás del dato hay un cambio de capacidad. Microsoft cerró en septiembre de 2026 su mayor actualización de seguridad: más de 950 vulnerabilidades corregidas en una sola entrega, de las cuales 113 fueron clasificadas como críticas, de acuerdo con InfoQ. Con esa entrega, la empresa acumula alrededor de 2,750 parches en el año, más del doble de su récord anual previo de aproximadamente 1,250 en 2020. Para México el efecto es indirecto pero verificable: banca, energía, telecomunicaciones y servicios de gobierno operan sobre software de estos mismos proveedores, y la ventana entre la publicación de una falla y su corrección dejó de medirse en meses.

El patrón se repite en otros fabricantes:

Gamblin sostiene que un volumen mayor de CVE no equivale a más vulnerabilidad, sino a más vulnerabilidad conocida, lo que en su lectura refleja al sistema funcionando. El National Cyber Security Centre británico lo plantea en la dirección opuesta: encontrar fallas por sí solo no mejora la seguridad.

La presión se traslada ahora a los equipos que instalan los parches, no a los que encuentran las fallas. Microsoft confirmó en su entrega de septiembre dos fallas de elevación de privilegios ya explotadas, CVE-2026-81963 y CVE-2026-85880, mientras la firma de investigación ZDI reportó que el alza mensual aún no viene acompañada de un aumento equivalente en explotación activa. El indicador a seguir será la convergencia entre volumen de hallazgos e incidentes reales en los próximos ciclos de parcheo.

Esta nota fue redactada con asistencia de inteligencia artificial a partir de fuentes verificadas y revisada por un editor humano antes de publicarse.