Tenable Research: Vulnerabilidades críticas en América Latina tardan más de 200 días en ser corregidas
La explotación de vulnerabilidades como vector inicial de acceso aumentó al 20 % de las filtraciones, un incremento anual del 34 %, y ahora compite con el principal vector de acceso inicial (abuso de credenciales), según el recientemente publicado Informe de Investigaciones sobre Filtraciones de Datos 2025 (DBIR) de Verizon.
El crecimiento se debe en parte a la explotación de vulnerabilidades de día cero en VPNs y dispositivos perimetrales, áreas donde las soluciones tradicionales de detección y respuesta de endpoint (EDR) enfrentan limitaciones. El DBIR pone especial atención en 17 CVEs que afectan a estos dispositivos perimetrales, que continúan siendo objetivos valiosos para los atacantes.
Para profundizar en este riesgo, Tenable Research analizó más de 160 millones de datos de telemetría y contribuyó con datos enriquecidos sobre las vulnerabilidades más explotadas para el DBIR de Verizon. Además, publicó un análisis complementario en profundidad segmentado por industria y región.
Algunos de los hallazgos clave de Tenable Research incluyen:
Las malas noticias: Las vulnerabilidades críticas en objetivos de alto valor siguen sin corregirse durante más de 100 días:
- El tiempo promedio de remediación a nivel mundial para estas 17 CVE es de 209 días.
En América Latina, el promedio es de 203 días.
- Vulnerabilidades de Citrix CVE-2023-6548 y CVE-2023-6549: Incluso las tres industrias
más rápidas tardaron más de 160 días en aplicar parches; la industria más lenta
promedió 288 días. En América latina el promedio es 196 días.
- Vulnerabilidades de Ivanti CVE-2023-46805 y CVE-2024-21887: A pesar de la
explotación activa mediante ejecución remota de código (RCE), en algunas industrias la remediación promedió hasta 294 días.
Las buenas noticias: Las industrias pueden movilizarse rápidamente:
- Vulnerabilidad de Fortinet CVE-2024-47575 (FortiJump), una vulnerabilidad de falta de autenticación en FortiManager: En promedio, las organizaciones de diversas industrias resolvieron este error crítico en entre 2 y 7 días. En América latina el promedio fue de 8 días.
- Vulnerabilidad de SonicWall CVE-2024-40766: Utilizada por grupos de ransomware para obtener acceso inicial, esta vulnerabilidad tuvo bajas tasas de remediación en general: el sector de ingeniería la resolvió en sólo 6 días, mientras que el de consultoría tardó 52 días. En América latina el promedio fue de 31 días.
Lea los hallazgos completos de la investigación aquí.
