No son fallos viejos: son clases de fallo viejas. Hicimos la cuenta al catálogo de CISA
Descargamos el catálogo de vulnerabilidades explotadas de CISA y contamos sus 1.685 entradas. De las 201 añadidas en 2026, 123 llevan identificador de este mismo año y la mediana del desfase es cero: lo viejo no es el fallo concreto, es la clase. Eso también lo medimos con el campo cwes del propio fichero: CWE-20, validación de entrada indebida, encabeza el catálogo con 118 entradas, seguida de inyección de comandos y escritura fuera de límites. Y aparece algo que no íbamos buscando: el 10 de junio la directiva BOD 26-04 derogó la BOD 22-01, y desde entonces el 81 % de lo que entra llega con tres días de plazo en vez del 23 % anterior.
Microsoft 365
ES 
CAT 
EN