El 28 de agosto de 2026 se conoció un análisis de CISA sobre las vulnerabilidades registradas durante 2024 y 2025 que deja una conclusión incómoda para la industria: la mayoría de las fallas que reciben un CVE y terminan en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) pertenecen a clases de error conocidas desde hace décadas. No son técnicas exóticas ni cadenas de exploits sofisticadas; son problemas que la disciplina de seguridad documentó hace mucho y que siguen llegando a producción.
Los números
- Inyección como categoría dominante: 7,701 CVE en 2024 y 21,019 en 2025. Incluye cross-site scripting (CWE-79), inyección de comandos del sistema operativo (CWE-78) e inyección SQL (CWE-89).
- Validación indebida de entradas (CWE-20): el tipo de debilidad más común tanto en el catálogo KEV como en los CVE registrados.
- Origen en el proveedor: CISA atribuye buena parte de estos defectos a fabricantes que no mitigaron adecuadamente la validación de entradas en su código.
La agencia acompaña el análisis con una insistencia que ya es familiar: los proveedores de software deben adoptar prácticas de Secure by Design, porque las clases de vulnerabilidad más antiguas siguen siendo las más explotadas.
Por qué esto importa más que un titular de seguridad
El hallazgo tiene una implicación práctica que suele pasarse por alto. Cuando la superficie de ataque real está compuesta por errores básicos y no por vectores novedosos, la inversión más rentable de una empresa no es comprar otra herramienta de detección, sino revisar cómo se construye y se mantiene su software: validación de entradas por defecto, consultas parametrizadas, codificación de salida, revisiones de código con criterio de seguridad y un inventario real de qué se está ejecutando.
Hay un segundo ángulo, especialmente relevante para empresas que compran software en lugar de construirlo: si las causas raíz están en el proveedor, entonces la debida diligencia técnica sobre proveedores deja de ser un trámite. Preguntar cómo se validan las entradas, cómo se gestionan los parches y en qué plazo se responde a un CVE crítico es parte de la gestión de riesgo de la cadena de suministro tecnológica, no un capricho del área de TI.
El contexto operativo
El mismo mes, CISA agregó múltiples vulnerabilidades activamente explotadas a su catálogo KEV, con plazos de remediación cortos para agencias federales que en la práctica funcionan como referencia para el sector privado. La combinación es clara: fallas viejas, explotación activa y ventanas de respuesta cada vez más estrechas.
Para una empresa mediana en República Dominicana o el Caribe, eso se traduce en tres capacidades mínimas: saber qué software se está ejecutando, saber cuándo aparece un CVE que le aplica, y poder aplicar el parche sin detener la operación durante días.
En TEKFENIX desarrollamos software empresarial a medida con prácticas de validación y control de acceso incorporadas desde el diseño, no añadidas después. Nuestros productos verticales — Nexturno para gestión de turnos y colas, Servigo365 para atención al cliente multicanal, y CumplimientoControl para cumplimiento financiero y trazabilidad regulatoria — se construyen sobre esa misma base, porque en entornos regulados un fallo de validación no es solo un incidente técnico: es un hallazgo de auditoría. Si su organización necesita revisar el riesgo de sus sistemas actuales o construir sobre una base más sólida, conversemos.