Volumen de CVE de Windows en 2026: qué deben medir los equipos de aplicación de parches

En los tres años completos de nuestra nueva investigación, los CVE distintos de Windows y Office pasaron de 679 a 941 y a 2.438 (+38,6 %, y después +159,1 %), mientras que la puntuación base media de CVSS v3 pasó de 7,43 a 7,37 y luego a 7,28. Es una carga de trabajo entrante mucho mayor con una gravedad media que no ha subido, y por eso un recuento bruto de CVE es una mala forma de gestionar un programa de aplicación de parches. Esta entrada repasa qué dicen las cifras, cómo se construyó la cohorte, qué conviene medir en su lugar y qué no pudo medir el estudio. La investigación ha sido elaborada por la propia empresa y no ha pasado revisión por pares. La anunciamos el 2 de noviembre y el artículo completo está disponible en la página de registro.

Qué dicen las cifras anuales

El artículo compara tres años completos que no se solapan, cada uno de octubre a septiembre, para que ningún mes sin terminar distorsione la comparación.

CVE distintos de Windows y Office en las tres cohortes anuales completas del artículo. Windows y Office se solapan, por lo que la unión está deduplicada y las dos cifras no deben sumarse.

El aumento no se reparte de forma uniforme. El artículo concluye que se concentra entre mediados y finales de 2026: julio tuvo 483 CVE, agosto 316 y septiembre 819, frente a una mediana de 69 al mes en los 36 meses completos. Octubre de 2026 ya aporta 1.277 CVE de Windows y Office hasta la fecha de corte del 26 de octubre, incluidos 1.114 registros del sistema operativo Windows. Son totales mensuales de divulgación revisados que incluyen registros fuera de ciclo, por lo que no deben equipararse a una noticia que cuente solo la publicación original del Patch Tuesday. El artículo no proyecta un solo mes como previsión anual, y no reivindica ninguna prueba de significación ni ningún punto de ruptura causal.

En los últimos 12 meses de informe (de noviembre de 2025 a octubre de 2026, con octubre parcial), la cohorte reúne 3.565 CVE, unos 297,1 por mes de informe. Dividir entre 12 describe el rendimiento por mes de informe y no anualiza octubre. La comprobación con meses completos hasta septiembre de 2026 da 2.438 CVE en 12 meses, 3.379 en 24 y 4.058 en 36.

La gravedad media no subió

La media no respalda un aumento general de la gravedad base media, pero tampoco significa que el riesgo haya bajado. El número absoluto de divulgaciones graves puede crecer mientras su media se mantiene estable: en el último año, 1.841 de 2.436 registros puntuados (75,6 %) obtienen al menos 7, y 60 obtienen 9,0 o más. El artículo trata CVSS como una escala de gravedad y su media como un resumen descriptivo, no como una pérdida financiera esperada ni una probabilidad de compromiso. Las etiquetas Crítico de los fabricantes son otra clasificación y se informan por separado.

El estudio también vincula cada CVE con el catálogo Known Exploited Vulnerabilities de CISA. La pertenencia en las tres cohortes anuales es de 29, 25 y 21 a la fecha de corte. El artículo lo califica de corte transversal descriptivo, no de prueba de que la explotación sea cada vez menos frecuente: el tiempo de seguimiento difiere, la cobertura del catálogo es incompleta y un denominador en expansión puede reducir mecánicamente la proporción observada.

Cómo se construyó la cohorte

El método es deliberadamente conservador, y cada paso es visible en el artículo.

1. Fuente. 37 documentos CVRF mensuales del Microsoft Security Response Center, de octubre de 2023 a octubre de 2026, conservados con marcas de tiempo y hashes SHA-256.
2. Depuración. Se excluyeron siete filas de avisos que no eran CVE y 48 identificadores CVE rechazados de forma explícita. Las filas repetidas de versiones de producto se redujeron a un registro por CVE.
3. Alcance acotado. Clientes Windows numerados y productos Windows Server, además de aplicaciones de escritorio de Office, con una lista de productos permitidos explícita. Los totales de todos los registros del Microsoft Security Response Center no son la medida principal porque incluyen también Azure Linux, servicios en la nube y componentes upstream.
4. Una fecha por CVE. La fecha de la primera revisión válida. El artículo deja claro que es un indicador indirecto de divulgación basado en los informes de Microsoft, no una fecha de descubrimiento observada, ni una fecha de publicación global, ni una fecha de instalación de parches.
5. Una puntuación por CVE. La puntuación base de CVSS v3.x aplicable más alta observada en las revisiones conservadas. Las puntuaciones que faltan se excluyen de la media y de su denominador, y no se mezclan CVSS v4 ni las puntuaciones temporales.
6. Cruce con explotación. Pertenencia a CISA KEV por ID de CVE, con la versión 2026.10.23 del catálogo.
7. Meses parciales. Los años completos van de octubre a septiembre. Octubre de 2026 se informa por separado y nunca se trata como un mes terminado.

Las comprobaciones automáticas confirmaron los 37 documentos esperados, ninguna clave de CVE ni de alcance duplicada, rangos de puntuación válidos y recuentos mensuales que concilian con los totales de las cohortes. Una comparación de seis registros con NVD y la API de CVE Services es una comprobación de coherencia, no una replicación independiente, y NVD no se usa como único denominador de productos puntuados porque su retraso de 2024 y un cambio de política de enriquecimiento en abril de 2026 crean una ruptura de cobertura. Según el artículo, el suplemento analítico contiene las tablas de cohortes a nivel de CVE y mensuales, la auditoría del alcance de productos, los registros excluidos y rechazados, los eventos de lanzamiento de aplicaciones y las series mensuales, el conjunto de datos de plazos de remediación de 17 filas y su archivo de cobertura, los registros de evidencias y un manifiesto SHA-256, con los scripts de análisis incluidos.

Seis flujos de lanzamiento de aplicaciones

Los equipos de empaquetado no aplican parches con un único calendario, así que el artículo añade un panel intencionado de seis flujos de lanzamiento: Chrome, Edge, Firefox, Visual Studio Code, Notepad++ y 7-Zip. Un día de lanzamiento es una fecha distinta en la que se publicó una versión de una aplicación. En el último año completo, el panel va desde 69 días de lanzamiento para Edge, 64 para Chrome y 61 para Visual Studio Code, pasando por 44 para Firefox y 17 para Notepad++, hasta 4 para 7-Zip. Los meses de mayor actividad son más intensos de lo que sugieren esas medias: Visual Studio Code llegó a nueve días de lanzamiento en un solo mes.

En los 36 meses completos, los seis flujos produjeron 661 días de lanzamiento específicos de aplicación. El panel no es una muestra representativa del software de Windows, las poblaciones de CVE y de lanzamientos difieren, y el artículo dice que los recuentos no deben multiplicarse entre sí ni interpretarse como una relación causal. Los días de lanzamiento describen disponibilidad y oportunidades de supervisión, no implementaciones obligatorias ni horas de empaquetado.

Qué medir en lugar de contar CVE

El artículo propone estas como medidas de gestión, no como valores inferidos a partir de los totales de CVE.

• Tiempo hasta la protección verificada: desde que está disponible la corrección aplicable del fabricante hasta la protección confirmada, incluidos reinicios del navegador, reinicios del equipo y nuevos análisis. Informe la mediana y el percentil 90, además de las instalaciones fallidas, la tasa de reversión y el vencimiento de las excepciones.
• Retraso entre el lanzamiento y la decisión, y entre el lanzamiento y la protección para cada aplicación y canal.
• Esfuerzo de cualificación: transiciones de versión seleccionadas al mes, compilaciones centrales de artefactos, y mediana y percentil 90 de la duración de la cualificación.
• Retrabajo: proporción de emergencias, tasa de fallos y retrabajo, y acumulación de fallos del actualizador.
• Exposición: la antigüedad de las actualizaciones de seguridad aplicables pendientes, además de las instancias KEV expuestas y su antigüedad, los activos sin soporte y la acumulación por importancia del servicio.

Debajo de todas ellas hay un inventario versionado, de modo que un CVE se asocie con los activos instalados y expuestos antes de que crezca la cola de remediación. Mantenga los recuentos de CVE separados de las instancias en dispositivos y del esfuerzo de implementación.

Lo que el estudio no pudo medir

• Un promedio del tiempo de reparación de toda la cohorte. Cada uno de los 4.058 CVE de la ventana completa tiene una marca de tiempo de revisión válida, pero ninguna fecha especificada de descubrimiento ni de lanzamiento. Las 98.265 filas de remediación aplicables llevan la fecha centinela del año 0001 con DateSpecified=false. Existen entradas de corrección del fabricante para los 4.058 CVE, entradas explícitas de solución alternativa para cinco y entradas de mitigación para 66, por lo que hay cero pares de fechas estructurados utilizables. Las fechas que faltan no son retrasos de cero.
• Un único reloj. Los casos con fechas, como tres intervalos de PHP y NGINX entre el informe privado y el lanzamiento, de 61, 71 y 81 días, usan eventos de inicio y fin distintos y se informan por separado, no se combinan en un promedio.
• La gravedad de todos los CVE de navegadores. Solo 240 de 2.931 registros relacionados con Edge (8,2 %) llevan una puntuación numérica de CVSS v3 aplicable en esta extracción, por lo que la media de ese grupo no puede representar a todos los CVE de navegadores.
• Lo que vieron los administradores el mismo día. Los archivos mensuales históricos son mutables y las puntuaciones pueden cambiar después de la divulgación inicial. La instantánea permite replicar el estudio, no recuperar estados anteriores de las fuentes.

Dónde encaja EtherApps Forge

El estudio no evalúa EtherApps Forge ni ningún producto comercial, y EfficientEther declara en el artículo su interés en EtherApps Forge. La conexión es el trabajo que generan las cifras. Cuando los lanzamientos de los fabricantes llegan más rápido, la cuestión del empaquetado pasa a ser qué aplicaciones empaqueta de forma centralizada y con qué rapidez puede cualificar cada versión nueva. EtherApps Forge captura aplicaciones Windows donde ya se ejecutan y crea paquetes MSIX, MSI, Intune y App Attach firmados, que es el lado de empaquetado de esa rutina. La modernización y migración de aplicaciones y la modernización de aplicaciones heredadas cubren las aplicaciones más antiguas, que son las más difíciles de mantener al día, y nuestro estudio anterior de 3.261 casos de empaquetado MSIX automatizado muestra cómo separamos la creación de paquetes de las evidencias de inicio y de prueba.

Obtenga la investigación sobre la aplicación de parches en Windows para ver las tablas completas, el método y las medidas que su equipo puede adoptar.