Aspectos destacados
Las vulnerabilidades de ciberseguridad en empresas han dejado de ser un indicador técnico secundario para convertirse en el termómetro más fiable del riesgo digital empresarial. El primer semestre de 2026 confirma una tendencia que ninguna organización puede tratar ya como un asunto exclusivo de IT: crecen en volumen, en severidad y, sobre todo, en velocidad de explotación. A ello se suma un fenómeno nuevo: los ataques autónomos impulsados por inteligencia artificial, capaces de identificar y explotar una brecha sin intervención humana directa. Este análisis de vulnerabilidades ciberseguridad empresas 2026 se basa en datos reales de explotación, no en proyecciones.
Radiografía técnica 2025-2026: más volumen, más severidad, más presión
La evolución de las vulnerabilidades de ciberseguridad en empresas entre 2025 y 2026 permite leer el riesgo cyber con más precisión que la simple comparación de cifras: no solo aparecen más, sino que su perfil técnico exige más capacidad de priorización y gobierno.
Según el seguimiento mensual de Tokio Marine HCC analizado por RibéSalat, en 2025 hubo meses con más volumen pero menor CVSS medio, por el peso de vulnerabilidades low o informational. En junio de 2026, en cambio, el incremento llega con severidad elevada: 7.964 vulnerabilidades y un CVSS medio de 7,1, impulsado por más fallos high severity (rango 7-10).
Ese 7,1 se sitúa muy cerca del observado en noviembre de 2025 (7,2), pero con un volumen muchísimo mayor. Frente al rango de 2025 —entre 3.036 y 5.519 vulnerabilidades mensuales—, las 7.964 de junio de 2026 suponen un salto de aproximadamente un 44,3% respecto a diciembre de 2025 y más del doble (+115,2%) respecto a febrero de 2025.
| Periodo | Vulnerabilidades/mes | CVSS medio | Lectura |
|---|---|---|---|
| Febrero 2025 | ≈3.700 | Moderado | Volumen bajo del rango 2025 |
| Septiembre 2025 | ≈4.340 | Moderado | Aumento de volumen, severidad contenida |
| Noviembre 2025 | ≈5.100 | 7,2 | Severidad puntualmente alta |
| Diciembre 2025 | ≈5.519 | Moderado | Máximo del rango 2025 |
| Junio 2026 | 7.964 | 7,1 | Máximo volumen + severidad alta sostenida |
Fuente: seguimiento mensual de vulnerabilidades, análisis interno de RibéSalat sobre datos de Tokio Marine HCC.
La clave no está en contar vulnerabilidades, sino en traducir ese volumen en decisiones de riesgo: priorizar por criticidad real, exposición a internet y capacidad de impacto en el negocio. Ahí la gestión de vulnerabilidades deja de ser tarea puramente técnica y pasa a ser el termómetro de la madurez frente a las vulnerabilidades ciberseguridad empresas que analizamos en este informe.
Puedes ampliar la clasificación completa en nuestra guía sobre tipos de ciberriesgo y cómo contrarrestarlos.
De la vulnerabilidad al ataque: por qué hoy explotar una brecha es cuestión de minutos
Una de las ideas que más cuesta trasladar al negocio sobre las vulnerabilidades de ciberseguridad en empresas es que muchas ya no requieren un ataque sofisticado ni semanas de preparación. Se han observado fallos críticos en herramientas de soporte remoto, VPN, navegadores, servidores de intercambio de archivos y aplicaciones web. Cuando estos sistemas están expuestos a internet o sin parchear, el atacante pasa de la identificación a la explotación en muy poco tiempo: crea una sesión privilegiada, ejecuta código o se mueve hacia otros activos conectados.
El caso Trivy ilustra bien este cambio de velocidad. En marzo de 2026, un actor identificado como TeamPCP comprometió el escáner de código abierto Trivy, de Aqua Security, y sus GitHub Actions asociadas, reescribiendo 76 de los 77 tags de versión con malware ladrón de credenciales. El incidente, catalogado como CVE-2026-33634 con severidad crítica (CVSS 9,4), convirtió una herramienta de seguridad de confianza en un vector de ataque para miles de pipelines de desarrollo. Según Beazley Security, la operación se aceleró cuando un agente de IA autónomo escaneó miles de repositorios públicos, identificó debilidades en el control de accesos y las explotó sin intervención humana directa.
El mito de que “si no somos una gran compañía no somos objetivo” ya no funciona. Muchos ataques empiezan de forma automatizada: se buscan versiones vulnerables, paneles expuestos o credenciales reutilizadas, y después se decide si se monetiza mediante ransomware, robo de datos o fraude. No todas las vulnerabilidades terminan en incidente, pero algunas reducen drásticamente la distancia entre “estar expuesto” y “estar comprometido”.
“Desde RibéSalat observamos que muchas empresas han avanzado muy rápido en digitalización, pero no siempre han revisado con la misma profundidad su exposición real, sus controles de seguridad o la adecuación de su programa cyber de forma periódica y actual”, explica Montserrat Recio, técnica senior en ciberseguridad de RibéSalat.
El efecto multiplicador de la IA: de la automatización tradicional a los ataques autónomos
La diferencia entre la automatización tradicional del cibercrimen y los ataques autónomos con IA no es la velocidad: es la autonomía. La automatización clásica sigue reglas fijas y necesita un operador para cada decisión. Los agentes de IA, en cambio, definen objetivos, crean sus propios workflows, aprenden y cambian de estrategia en tiempo real, con un coste marginal cercano a cero.
Según Beazley Security, en su informe del primer trimestre de 2026 las vulnerabilidades explotadas crecieron un 43% frente al trimestre anterior, con más de 15.200 nuevas divulgadas —casi 3.900 de alto riesgo— y un 43% más de incorporaciones al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA. El efecto multiplicador se resume en un contraste: donde antes un atacante lanzaba 10 campañas y comprometía a 100 víctimas, hoy un operador con diez agentes de IA puede lanzar 100 campañas contra 10.000 objetivos.
Este fenómeno explica en parte el aumento de las vulnerabilidades de ciberseguridad en empresas durante el semestre. El NIST reconoce que la National Vulnerability Database ya no puede enriquecer todos los registros al ritmo al que se descubren. Herramientas como el agente Big Sleep de Google —que ya identificó una vulnerabilidad en SQLite antes de su explotación— o programas de divulgación coordinada como el de Anthropic aceleran el descubrimiento de fallos en código abierto. Hay más CVEs que gestionar, y la ventana para parchearlos antes de que alguien —humano o agente autónomo— los explote se ha reducido a horas.
Vulnerabilidades críticas del semestre: qué deben vigilar las empresas
Las vulnerabilidades ciberseguridad empresas más relevantes del semestre comparten un patrón: afectan a tecnologías ampliamente implantadas —entornos cloud, VPN, firewalls, navegadores, herramientas de colaboración y sistemas de gestión empresarial— y suelen ser explotables de forma remota, sin credenciales previas. Esto agrava el riesgo de cadena de suministro digital o third-party cyber risk: la empresa ya no solo protege lo que controla directamente, sino que debe entender qué ocurre en todo su ecosistema tecnológico —proveedores cloud, SaaS, integraciones y herramientas de acceso remoto—.
Una vulnerabilidad crítica en un único fabricante puede afectar a miles de empresas a la vez. Un fallo en una plataforma de reservas o un proveedor cloud puede derivar en interrupciones operativas, fraude, sanciones regulatorias o daño reputacional, sin que la empresa afectada haya cometido ningún error directo. Como recuerda la consultoría de riesgos de RibéSalat, gestionar vulnerabilidades es gestionar riesgo empresarial: no basta con aplicar parches, hay que saber qué activos son críticos y qué impacto tendría una interrupción.
Impacto sectorial: cuando IT y OT convergen, y el caso del sector hotelero
Aunque las vulnerabilidades de ciberseguridad en empresas sean comunes a cualquier sector, su impacto no es igual para todas las organizaciones. La convergencia entre tecnología corporativa (IT) y tecnología operacional (OT) resulta especialmente preocupante en la industria: una vulnerabilidad ya no implica solo una posible brecha de datos, puede provocar la parada de una línea de producción. Fabricación, automoción, ingeniería, logística y energía deben priorizar la revisión de activos expuestos y la continuidad ante incidentes como el ransomware.
El sector hotelero es otro de los entornos con mayor exposición al riesgo cibernético: gestiona grandes volúmenes de datos personales y financieros, y depende de sistemas de reservas, pagos, wifi para clientes y herramientas de gestión (PMS, CRS, TPV) que operan de forma continua. Los siniestros más habituales del sector incluyen:
- Ransomware sobre sistemas de gestión hotelera.
- Robo de datos personales y financieros de huéspedes.
- Fraudes por correo electrónico dirigidos a desviar pagos.
- Ataques a plataformas de reservas o proveedores tecnológicos.
- Interrupción de la operativa por indisponibilidad de sistemas.
- Riesgos asociados a redes wifi públicas o mal segmentadas.
“En sectores como el hotelero, la ciberseguridad tiene una dimensión claramente reputacional: la confianza del cliente depende de cómo la empresa protege sus datos y garantiza la continuidad del servicio”, apunta Montserrat Recio.
La guía de INCIBE y SEGITTUR para el sector turismo y ocio recomienda verificar correos sospechosos por canales alternativos, aplicar autenticación multifactor y separar la red wifi de clientes de la interna.
De la radiografía a la resiliencia
Más volumen, más velocidad de explotación y más autonomía en el ataque: las vulnerabilidades ciberseguridad empresas crecen al mismo ritmo que la transformación digital. Conocer estos datos es el primer paso; el siguiente es actuar. En el segundo artículo de esta serie —Del riesgo a la resiliencia: gobierno, personas y seguro cyber frente a las amenazas impulsadas por IA— explicamos cómo convertir esta exposición en una estrategia real de gobierno, cultura y transferencia del riesgo.
