El aluvión de CVEs de 2026 podría remitir en 2027, según Gartner

Craig Lawson, vicepresidente de investigación de Gartner, cree que el aluvión de vulnerabilidades que está marcando 2026 es en realidad una buena señal: la IA que rastrea fallos está peinando código heredado a un ritmo que no se había visto nunca, y eso podría traducirse en un 2027 más tranquilo. Lo defendió en el IT Symposium que Gartner celebra en Australia, y lo ilustró con lo ocurrido en las últimas semanas: Microsoft entregó más de 970 parches de una tacada y OpenBSD, un sistema que presumía de estable y seguro, ha acumulado una tanda de CVE.

Un barrido sin precedentes

Lawson sitúa el origen en herramientas como Mythos, de Anthropic, y otros cazadores de bugs basados en IA. "Nunca habíamos tenido una situación en la que bases de código enormes se auditaran a ese nivel", dijo. La consecuencia que extrae es que buena parte de la deuda técnica acumulada durante años se está retirando en cuestión de meses, y no solo en proyectos ajenos: los propios fabricantes de seguridad, que en teoría saben cómo se construye un producto sin fallos, están usando estas herramientas para encontrar vulnerabilidades en lo suyo.

De ahí su predicción: 2027 podría ser el primer año con caída neta de CVE. No necesariamente del total, matiza, pero sí de la gravedad de los fallos. Parte de la razón es que los proveedores empezarán a usar la IA para probar mejor lo que publican antes de publicarlo, un efecto que no se ve en los números pero que se notará en las alertas.

Red team todos los días

El segundo efecto que espera tiene que ver con el trabajo diario del equipo de seguridad. Un ejercicio de red team hoy es caro y esporádico: se contrata a un tercero y se hace de uvas a peras. Con IA cazando fallos, una organización podría ejecutar uno prácticamente cada día. Y cuando esa prueba genera tickets, Lawson apunta a que los analistas pueden apoyarse en asistentes tipo Gemini para redactar la corrección. Su ejemplo: pedir en tres minutos la sintaxis de una iRule de F5 que sirva como parche virtual.

En ese punto hace una petición a las organizaciones: que cambien cómo miden a su gente. Un SOC mide a sus analistas por tickets procesados y cerrados; Lawson prefiere celebrar que el equipo mantuvo abierto un hospital o paró un ataque de ransomware.

La tesis se sostiene sobre un supuesto que aún no está demostrado: que la IA siga encontrando fallos en código viejo al mismo ritmo y que el software nuevo no los introduzca igual de rápido. Si el segundo vector se descontrola, el descenso que Lawson anticipa para 2027 se quedará en los titulares del simposio.