Ahir, divendres 14 d'agost, van vèncer dos terminis del catàleg de vulnerabilitats explotades de CISA. Avui és dissabte, és 15 d'agost i és festa nacional no substituïble a tot l'Estat. La coincidència no l'ha buscat ningú, però descriu força bé com funciona el calendari de la seguretat: el rellotge el posa qui publica l'avís, i qui ha de respondre és de vacances.
El que va canviar el 10 de juny
CISA va publicar aquell dia la directiva BOD 26-04, que va llençar a les escombraries el termini únic d'abans i el va substituir per quatre variables: si l'actiu està exposat a Internet, si la fallada és al catàleg de vulnerabilitats explotades, si l'atac es pot automatitzar i si dona control total o parcial del sistema. Segons la combinació que surti hi ha cinc resultats possibles: tres dies amb triatge forense obligatori, tres dies sense, catorze, seixanta, o esperar al següent cicle d'actualització. La directiva diu sense embuts per què estreny: la IA està escurçant el temps entre que una fallada es publica i algú la converteix en un atac que funciona.
Ens vam descarregar el fitxer JSON del catàleg el 15 d'agost —versió 2026.08.14, publicada ahir a les 16:34 UTC, amb 1.665 entrades— i vam comptar. De les 48 vulnerabilitats donades d'alta des del 10 de juny, 42 porten termini de tres dies i les altres sis, de catorze. En el que portàvem del 2026 abans d'aquella data, el tram més repetit eren els 14 dies, amb 55 entrades, seguits dels 21 dies amb 44. Els 21 dies no han tornat a aparèixer en cap alta nova des del juny.
Obliga les agències federals civils dels Estats Units i ningú més, com ja vam dir ahir. Però com a calendari aliè és millor que gairebé qualsevol butlletí de fabricant: és la llista pública del que s'està explotant ara, i l'escriu qui té telemetria de debò.
El rellotge arrenca en horari d'oficina i venç quan no hi ha ningú
Aquí és on el recompte es posa interessant. De les 181 altes del catàleg el 2026, cap no es va publicar en dissabte ni en diumenge. El repartiment és d'horari d'oficina de manual: 52 en dimarts, 37 en dilluns, 33 en dimecres, 33 en dijous i 26 en divendres. Ningú no dona d'alta una fallada el diumenge a la tarda.
Els terminis, en canvi, són dies naturals. Així que n'hi ha prou de sumar tres al dia de publicació per veure on acaben els 42 avisos amb el tram curt:
- •20 van sortir en dimarts i vencen el divendres. És el cas còmode: et queda una tarda.
- •7 van sortir en dijous i vencen el diumenge. 6 van sortir en dimecres i vencen el dissabte. Tretze de quaranta-dos acaben en cap de setmana.
- •4 van sortir en divendres i vencen el dilluns: el termini sencer se'l menja el cap de setmana. I 5 van sortir en dilluns, que és l'únic repartiment amable de la llista.
A l'agost hi ha dotze dates límit al catàleg. Dues cauen en dissabte: l'1 (el gestor de tallafocs de Cisco, l'FMC) i el 8 (TeamCity, de JetBrains). Dues més van vèncer ahir, divendres 14: la fallada de l'ASA de la qual vam escriure ahir mateix i la de Metabase. L'última, la del controlador AFD de Windows, venç el 25. Ningú no diu que els atacants mirin el calendari laboral espanyol. El que diu la dada és una altra cosa, i és pitjor de discutir: qui publica treballa de dilluns a divendres; qui respon ha de ser-hi el diumenge.
El que mesura l'enquesta, i el que no
Hi ha un estudi que es cita molt aquests dies i convé llegir-lo amb cura. Semperis va encarregar a Censuswide una enquesta a 1.500 professionals d'IT i seguretat de deu països, Espanya inclosa, i la va publicar el novembre del 2025. El titular és que el 52% dels qui van dir que havien estat atacats situen l'atac en cap de setmana o festiu. La segona dada és la que fa mal de debò: el 78% de les empreses retalla com a mínim a la meitat la plantilla del seu centre d'operacions de seguretat aquells dies, i un 6% el deixa directament sense ningú.
És una enquesta declarativa: el que mesura és el que la gent recorda i el que la gent fa, no una sèrie temporal d'atacs reals. Que ataquin més el diumenge és una lectura que l'enquesta no sosté; el que sí que sosté és que el diumenge es respon amb menys gent, que és un problema diferent i perfectament suficient. I hi ha una tercera xifra que explica les dues anteriors millor que qualsevol anàlisi: entre els motius per retallar la guàrdia, el 62% diu que és per conciliació, el 47% perquè l'empresa està tancada i el 29% perquè no es creia que els ataquessin.
A l'agost no falla la detecció: falla la signatura
L'agent d'EDR no se'n va de vacances. L'alerta salta el 15 d'agost igual que el 15 de març, i arriba a qui hagi d'arribar si el sistema d'avisos està ben pensat —d'això vam escriure quan vam parlar de quina alerta mereix despertar algú—. El que es trenca a l'agost és el que ve després de l'alerta, i és sempre la mateixa escena: hi ha un equip compromès, hi ha una acció evident, i la persona que la pot autoritzar té el mòbil en una tauleta de nit a 400 quilòmetres.
A les tres de la matinada ningú no pregunta com s'aïlla un servidor. Pregunten si poden:
- ?Puc aïllar de la xarxa el servidor de facturació sense trucar a ningú, o cal esperar que algú agafi el telèfon?
- ?Qui és «algú» aquesta setmana, amb nom i amb un telèfon que s'ha provat aquest mes?
- ?Si el que està compromès és el correu de l'empresa, per on es convoca la gent que ha de decidir?
- ?I si ningú no respon en dues hores, la guàrdia actua igualment o es queda mirant?
L'última és la que decideix de debò quant dura un incident. Si la resposta no està escrita abans, la resposta per defecte és quedar-se mirant: ningú no desconnecta la producció d'una empresa aliena a les tres de la matinada sense un paper al darrere. I mentre es busca aquest paper, el xifratge va pel segon servidor.
El mandat de contenció, per escrit
És mig foli i evita la major part del desastre. No cal un pla de continuïtat de quaranta pàgines; cal que aquestes quatre coses estiguin decidides abans de l'agost:
- ✓Què es fa sense preguntar. Aïllar un lloc de treball, bloquejar un compte, tallar un túnel, retirar d'Internet la publicació d'un servei. Són accions reversibles i barates: el cost de fer-les de més és un matí de feina perdut; el de fer-les tard no té sostre.
- ✓Què no es toca sense autorització. Aturar una línia de producció, apagar l'ERP, tallar l'accés d'un client. Aquí el dany d'equivocar-se sí que és gran, i per això toca escriure a qui es truca i en quin ordre.
- ✓Què passa si no contesta ningú. Un termini (dues hores, trenta minuts, el que decidiu) i què es fa quan es compleix. Sense això, la resta és decoratiu.
- ✓Qui signa el paper. No el tècnic: qui respon del negoci. Si ningú no el vol signar, ja saps quin és l'apetit real de risc de la casa, i és una dada valuosíssima.
El que sí que es pot deixar fet aquesta setmana
Quatre coses que caben en una tarda d'agost, amb mitja plantilla fora:
- 1Trucar a la llista de guàrdia. No enviar un correu: trucar. Els números de les llistes de contacte envelleixen fatal, i el de la persona que va marxar al març encara hi és. Es triga deu minuts i no hi ha gaires comprovacions que surtin tan barates.
- 2Decidir el canal alternatiu. Si el que està compromès és l'inquilí de Microsoft 365, el grup de Teams on us havíeu de coordinar l'està llegint l'atacant. Cal un canal fora d'aquest perímetre i una llista de telèfons que no visqui només dins del correu.
- 3Creuar el teu inventari amb el catàleg. Si saps què tens publicat, l'encreuament és una línia. I si no ho saps, aquesta és la troballa.
- 4Preguntar als teus proveïdors pel seu agost. Per escrit i amb dues preguntes: qui està de guàrdia i en quant de temps es comprometen a agafar el telèfon. La resposta —inclosa la que no arriba— et diu més que qualsevol acord de nivell de servei.
L'encreuament del punt 3, per a qui vulgui copiar-lo tal qual. Treu tot el que té data límit d'aquí endavant:
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
| jq -r '.vulnerabilities[]
| select(.dueDate >= "2026-08-15")
| "\(.dueDate) \(.cveID) \(.vendorProject) \(.product)"' | sort
Posat en un cron setmanal contra la llista de fabricants que de debò tens, és mitja hora de feina i et treu la dependència d'assabentar-te per LinkedIn. El que va bé és tractar-ho com una entrada més de la guàrdia: si apareix alguna cosa que és a l'inventari, s'obre un tiquet.
El que no toquem a l'agost
L'altra cara d'això és igual d'important i va contra el costum d'aprofitar que hi ha poca gent per ficar mà al que és gros. L'agost no és mes de canviar el nucli de la xarxa ni de migrar el directori, i no perquè el canvi sigui més perillós: la tornada enrere necessita gent, i a l'agost qui sap desfer-ho és a la platja. Un canvi que no pots desfer és una aposta.
El mateix val per a les còpies. Restaurar a l'agost és exactament igual de lent que al març, amb la diferència que la persona que sap en quin ordre aixecar les coses pot estar il·localitzable. Ja ho vam explicar amb els números de l'informe de l'any: restaurar no és recuperar, i la diferència entre les dues paraules es mesura en persones disponibles.
Quan no necessites guàrdia de 24x7
Venem aquest servei, així que això es llegeix amb la cella aixecada, i tot i així: hi ha empreses que no el necessiten. Si el teu negoci pot estar aturat de l'1 al 31 d'agost sense perdre diners, sense incomplir cap contracte i sense que se n'assabenti cap client, pagar una guàrdia permanent és llençar els diners. Quatre hores de resposta en horari laboral et sobren.
L'única cosa que demanem és que s'escrigui: «assumim estar sense servei fins a l'1 de setembre», amb la signatura de qui mana. És una decisió perfectament legítima. El que no és legítim és no prendre-la i dir-ne pla. Escriure aquesta frase costa més del que sembla, i és aquí on apareix el nivell de servei que de debò es necessita.
Al gra
El que pots resoldre aquesta tarda és mig foli: què pot fer la teva guàrdia sense preguntar, a qui truca quan no pot, i què fa si aquest telèfon no l'agafa ningú. Si en llegir-ho no et ve cap nom al cap, aquest és el forat, i no el tapa cap producte.
Fonts (consultades el 15 d'agost de 2026): dates d'alta, dates límit i recompte d'entrades — catàleg KEV de CISA, fitxer JSON versió 2026.08.14 (1.665 entrades). Els recomptes per dia de la setmana i per tram de termini són nostres, fets sobre aquell fitxer: qualsevol pot repetir-los amb la comanda de dalt. Criteris de priorització i trams de tres, catorze i seixanta dies — directiva BOD 26-04 (10 de juny del 2026) i la seva anàlisi de Tenable. Xifres d'atacs i de dotació en cap de setmana i festiu — 2025 Ransomware Holiday Risk Report de Semperis amb Censuswide (1.500 professionals d'IT i seguretat a deu països, publicat el 24 de novembre del 2025); és una enquesta declarativa i així s'ha de llegir. El 15 d'agost com a festa nacional no substituïble — resolució de 17 d'octubre del 2025 publicada al BOE. La directiva de CISA obliga les agències federals nord-americanes; per a la resta és una referència de prioritat, no una obligació legal.
Qui agafa el telèfon a la teva empresa aquest diumenge?
El nostre suport IT 24x7 es munta amb l'inventari al davant i amb permís escrit per actuar. Si vols, revisem amb tu què pot fer la teva guàrdia sense esperar al setembre.
Parlar amb everyWAN
Microsoft 365
ES 
CAT 
EN