Las vulnerabilidades de alta gravedad empezaron a explotarse activamente, de media, tres días después de su divulgación durante el tercer trimestre de 2026, según hallazgos de Rapid7 recogidos por SecurityWeek. El 71 % de ellas se explotó en los primeros siete días.
Rapid7 clasificó el 79 % de las vulnerabilidades explotadas como fallos «santo grial»: debilidades que pueden atacarse de forma remota, sin credenciales ni interacción local del usuario. Esa combinación deja a los defensores poco tiempo para evaluar la exposición, probar las actualizaciones y desplegar protecciones antes de que los adversarios empiecen a operar contra los sistemas vulnerables.
Las cifras apuntan a una prioridad práctica para los equipos de seguridad: los flujos de remediación deben distinguir entre las vulnerabilidades explotables de forma remota y sin autenticación, y los fallos que requieren un punto de apoyo previo o una acción del usuario. Los sistemas expuestos a redes no confiables merecen la revisión más rápida cuando una vulnerabilidad recién divulgada cumple esas condiciones.
Las reivindicaciones de ransomware se concentran en servicios, industria manufacturera y sanidad
Rapid7 describió el ransomware como una de las principales amenazas globales durante el trimestre. Los servicios empresariales, la industria manufacturera y la sanidad fueron los sectores más atacados en sus datos.
Estados Unidos concentró el 60 % de los ataques, seguido de Alemania (7 %), Italia (5 %) y Canadá (5 %). Las víctimas de ransomware del sector público aumentaron un 15 % respecto a los tres meses anteriores, mientras que la proporción de víctimas estadounidenses en ese sector pasó del 33 % en el segundo trimestre de 2026 al 45 % en el tercer trimestre.
Por volumen de incidentes reivindicados, los grupos de ransomware más activos fueron:
| Grupo | Incidentes reivindicados |
|---|---|
| The Gentlemen | 342 |
| Qilin | 339 |
| INC Ransom | 99 |
| DeadLock | 98 |
| Krybit | 95 |
Estas cifras representan incidentes reivindicados por los operadores de ransomware. Por sí solas, no establecen el número de víctimas confirmadas ni demuestran que se robaran datos en todos los casos.
Rapid7 también observó un mercado clandestino orientado a proporcionar acceso inicial. De 63 publicaciones supervisadas, 41 anunciaban acceso RDP o a redes, mientras que 14 trataban sobre la venta, el intercambio o la discusión de exploits y vulnerabilidades de día cero. Las ofertas iban desde cuentas individuales comprometidas —incluidas credenciales bancarias empaquetadas con datos de identidad «completos» de al menos tres grandes bancos estadounidenses— hasta el acceso al interior de redes empresariales.
La IA respalda la ejecución de ataques, pero todavía no sustituye a los operadores
La inteligencia artificial apareció como componente operativo en el 8 % de los incidentes rastreados por Rapid7 durante el tercer trimestre de 2026. Ese porcentaje se aplica al conjunto de incidentes rastreado por Rapid7.
Las observaciones de la empresa no respaldan un cambio generalizado hacia atacantes autónomos. Douglas McKee, director de inteligencia de vulnerabilidades de Rapid7, afirmó que el descubrimiento de vulnerabilidades asistido por IA se está acelerando, pero que los datos del trimestre no mostraron una oleada correspondiente de explotación impulsada por IA.
En todos los casos documentados por Rapid7, las personas seguían eligiendo el objetivo y determinando el propósito. En cambio, la automatización se estaba expandiendo en lo que la empresa describió como la fase táctica intermedia de una intrusión: elegir técnicas, priorizar objetivos y recuperarse tras un paso fallido.
Rapid7 también informó de intentos de eludir las salvaguardas de los proveedores de IA dividiendo un objetivo malicioso en varias sesiones. Una solicitud directa en una sesión puede bloquearse, mientras que una secuencia de instrucciones repartida entre varias sesiones puede dificultar la identificación del propósito general.
Para los defensores, Rapid7 recomienda supervisar la actividad de las API de IA originada en hosts o procesos inesperados. Esta telemetría puede revelar uso no autorizado de herramientas o automatizaciones que se ejecutan desde sistemas que normalmente no se comunicarían con servicios de IA.
La empresa considera probables, en los próximos años, los ataques totalmente automatizados y asistidos por IA, pero lo presenta como una previsión y no como actividad observada durante el tercer trimestre de 2026.
Las operaciones de Estados nación añaden nuevas herramientas para Linux
Rapid7 siguió a 15 grupos distintos respaldados por Estados durante el trimestre. Los clústeres citados incluían ENERGETIC BEAR, vinculado a Rusia, Void Blizzard y Sandworm; APT31, vinculado a China; Lazarus, de Corea del Norte; y Operation C-Major, de Pakistán.
Las organizaciones gubernamentales siguieron siendo los principales objetivos. También se atacaron organizaciones de los sectores de defensa, transporte, medios de comunicación, sanidad, aeroespacial, finanzas, energía y tecnología.
Rapid7 documentó un conjunto de herramientas para Linux llamado ted, compuesto por tres componentes independientes:
- una versión de HAProxy troyanizada;
- un keylogger para SSH;
- un troyano de acceso remoto basado en curl.
Rapid7 atribuyó ted a actores vinculados a la RPDC y afirmó que se había usado contra organizaciones surcoreanas desde comienzos de 2025. El conjunto de herramientas es el malware y el conjunto de capacidades; los operadores vinculados a la RPDC son los actores atribuidos.
Por su parte, según Rapid7, Operation C-Major está activo desde mediados de la década de 2010. Sus operadores utilizan phishing y spyware móvil en operaciones de espionaje dirigidas contra personal militar y diplomático indio.
En conjunto, la presión defensiva inmediata viene de la velocidad: las vulnerabilidades que permiten el acceso remoto sin autenticación pueden pasar de la divulgación a la explotación en cuestión de días, mientras que los intermediarios de acceso ofrecen puntos de apoyo comprometidos a otros operadores. La priorización rápida de parches y la supervisión del uso inesperado de APIs de IA abordan etapas distintas de esa cadena de amenazas: la entrada inicial y la ejecución automatizada dentro del entorno.
