Aplicación de parches en Windows cuando la divulgación avanza a la velocidad de la IA: nuestra nueva investigación

El volumen de CVE de Windows y Office ha aumentado de forma notable, pero la gravedad media de esos CVE no. Ese es el hallazgo central de nuestra nueva investigación. En el último año completo (de octubre de 2025 a septiembre de 2026), el estudio cuenta 2.438 CVE distintos de Windows y Office, un 159,1 % más que los 941 del año anterior, mientras que la puntuación base media de CVSS v3 pasó de 7,43 a 7,37 y luego a 7,28. Para quien se ocupe de la aplicación de parches o del empaquetado de aplicaciones, la pregunta útil ya no es cuántos CVE se publicaron. Es cómo seguir el ritmo de un flujo de actualizaciones más rápido y demostrar que cada una se está ejecutando de verdad.

El artículo Windows patching when disclosure moves at AI speed es un estudio descriptivo de 36 meses sobre los CVE de Windows y Office, la cadencia de lanzamientos de aplicaciones y los plazos de remediación. Lo escribió Ryan Mangan en EfficientEther. Es una investigación elaborada por la propia empresa y no ha pasado revisión por pares. Se publica como preprint de acceso abierto en Zenodo bajo una licencia CC BY 4.0. La edición de EtherApps Forge, que es la misma investigación con un diseño maquetado, es gratuita en la página de registro.

Qué encontró el estudio

Estas son las cifras principales, tal como las expone el artículo.

• 2.438 CVE de Windows y Office en el último año completo, frente a 941 el año anterior y 679 el año previo a ese (+38,6 %, y después +159,1 %). El artículo concluye que el aumento se concentra entre mediados y finales de 2026.
• Una puntuación media de CVSS v3 prácticamente sin cambios, de 7,43, 7,37 y 7,28. Los CVE con 9,0 o más pasaron de 11 a 60 entre los dos últimos años completos, de modo que una media estable sigue significando muchas más divulgaciones graves en términos absolutos.
• 18 CVE de Windows con reconocimiento documentado de descubrimiento asistido por IA. Es un conjunto de ejemplos verificados en la fuente. No es una estimación de la proporción de descubrimientos que corresponde a la IA.
• Días de lanzamiento en un año: 69 para Microsoft Edge, 64 para Chrome y 61 para Visual Studio Code. Tres grandes fabricantes anunciaron ciclos de lanzamiento más cortos durante el estudio.
• Ningún promedio del tiempo de reparación de toda la cohorte. Ninguno de los 4.058 CVE de la ventana completa de 36 meses tiene un par de fechas estructurado y utilizable que vaya de la notificación a la corrección.

Cómo leer las cifras

El estudio es descriptivo, y sus límites importan tanto como sus resultados.

• No afirma una causa. La conclusión del artículo es que la IA contribuye al cambio, pero su proporción, un multiplicador universal de la velocidad de descubrimiento y cualquier cambio proporcional en el riesgo de compromiso siguen sin medirse.
• La fecha es una fecha de notificación de Microsoft. Cada CVE se fecha con su primera revisión válida en los documentos mensuales de actualizaciones de seguridad de Microsoft. Es un indicador indirecto de la divulgación, no una fecha de descubrimiento observada ni una fecha de instalación de parches en el cliente.
• Octubre de 2026 es un mes parcial. Llega hasta la fecha de corte de la evidencia, el 26 de octubre, y se informa por separado de los tres años completos.
• El panel de lanzamientos es pequeño a propósito. Seis flujos de lanzamiento de aplicaciones ilustran distintos patrones de empaquetado. No representan todo el software de Windows, y un día de lanzamiento es disponibilidad, no una implementación obligatoria.
• El volumen no se traduce en carga de trabajo. El crecimiento de las divulgaciones no puede convertirse en el mismo aumento porcentual de paquetes, descargas, reinicios u horas de personal.

El artículo también declara sus intereses. EfficientEther desarrolla y vende EtherApps Forge, y el estudio no evalúa EtherApps Forge ni ningún otro producto comercial.

A quién va dirigida

Si se ocupa de la aplicación de parches, la gestión de endpoints o el empaquetado de aplicaciones en una organización de 50 a 600 usuarios, o lo hace para varios clientes como MSP, el artículo le ofrece tres cosas para llevar a su próxima conversación de planificación.

1. Una base de referencia defendible. Cohortes de años completos con reglas explícitas, para que deje de citar totales brutos de CVE que mezclan productos, fechas y meses parciales.
2. Una razón para separar la recepción de lanzamientos del trabajo de empaquetado. El artículo propone una recepción continua de lanzamientos, carriles separados para flujos de lanzamiento rápidos, predecibles y escasos, evidencia de que cada actualización se está ejecutando y automatización para la ejecución, mientras que las personas se responsabilizan de qué se prueba, qué cuenta como superado y qué excepciones son aceptables.
3. Evidencia que puede reenviar. Una cita y un suplemento analítico permiten que un comité de cambios, un responsable financiero o un cliente comprueben las cifras en lugar de fiarse de nuestra palabra.

Dónde encaja EtherApps Forge

EtherApps Forge captura aplicaciones Windows en los equipos donde ya se ejecutan y las convierte en paquetes MSIX, MSI, Intune y App Attach firmados para Microsoft Intune, Windows 365 y Azure Virtual Desktop. Ese es el lado de empaquetado del trabajo que describe esta investigación. Si está decidiendo qué parte de un flujo de lanzamientos de fabricantes cada vez más rápido debería empaquetar su equipo de forma centralizada, el empaquetado e implementación de MSIX y la modernización y migración de aplicaciones cubren la ruta. Nuestra investigación anterior sobre 3.261 casos de empaquetado MSIX automatizado y sobre el estado del empaquetado de aplicaciones en 2026 acompaña a este estudio.

Cómo citar: Mangan, R. (2026). Windows Patching, AI-Assisted Discovery and Application Assurance: A 36-Month Descriptive Study of Windows and Office CVEs, Application Release Cadence and Remediation Timing. Zenodo. https://doi.org/10.5281/zenodo.23780566

Obtenga la investigación sobre la aplicación de parches en Windows y lleve las cifras a su próxima reunión de planificación de parches y empaquetado.