Área de investigación · Threat Intelligence
Contextualizar vulnerabilidades y amenazas — antes de que se cierre la ventana de tiempo
Vami Research contextualiza con prontitud las nuevas vulnerabilidades e incidentes, con informes de situación que indican las versiones afectadas, las vías de ataque y las medidas inmediatas. La priorización se basa en CVSS, EPSS y el catálogo KEV de CISA. La monitorización de la dark web, la detección de ataques, el MDR y los simulacros de resiliencia cierran la brecha entre la señal y la medida.
- Informes de situación
- CVSS · EPSS · KEV
- Monitorización de la dark web
- SIEM · EDR · NDR
- MDR
- Ciberresiliencia
- Metodología CACS
- Deep Dives
- 7
- Whitepapers
- 0
- Soluciones
- 1
Más vulnerabilidades, ventanas de reacción más cortas
Según el informe 2025 del BSI sobre la situación de la seguridad informática en Alemania, entre julio de 2024 y junio de 2025 se dieron a conocer de media 119 nuevas vulnerabilidades al día; los ataques de explotación medidos en los honeypots del BSI aumentaron un 38 por ciento. Un comunicado de seguridad TI del BSI clasifica el impacto de la evolución de la IA con la criticidad 2 («amarillo»): la IA reduce el esfuerzo, el tiempo y las barreras de entrada para las capacidades ofensivas. Con estos volúmenes, parchearlo todo de inmediato no es una estrategia.
Ante vulnerabilidades que se han hecho públicas, nuestro papel es analizarlas y contextualizarlas con prontitud. Las vulnerabilidades PHP2Shell las divulgaron Wiz Research, Calif, OpenAI y el proyecto PHP el 21 de octubre de 2026; nuestro informe de situación se publicó el mismo día. Sobre Brotli2Shell siguió un informe de situación el 27 de octubre de 2026 y, sobre la extensión de Claude Code manipulada en el marketplace de Cursor, un análisis el 31 de octubre de 2026, cada uno con las versiones afectadas, los pasos de comprobación y medidas inmediatas concretas.
El área de investigación conecta estos informes de situación con la operación ordinaria: gestión de vulnerabilidades basada en el riesgo, External Attack Surface Management, monitorización de la dark web, detección de ataques con SIEM, EDR y NDR, tecnologías de engaño, MDR y gestión de la continuidad de negocio según el estándar BSI 200-4 y la ISO 22301. Para los operadores de red del sector eléctrico se añade la clasificación de ciberataques según la metodología CACS.
Preguntas abiertas de la práctica
- 01
¿Qué vulnerabilidad corrige primero cuando cada día se conocen más de cien nuevas?
Nuestro enfoque
Priorizamos con tres señales: CVSS 4.0 para la severidad técnica, EPSS para la probabilidad de explotación en los próximos 30 días y el catálogo KEV de CISA para la explotación demostrada. Los hallazgos listados en el KEV en sistemas accesibles van primero. Escalonamos los plazos según el riesgo, por ejemplo siguiendo el modelo de la directiva BOD 26-04 de CISA; para los zero-days sin parche se aplican medidas compensatorias como el parcheo virtual.
- 02
¿Cómo se convierte el aviso de una vulnerabilidad crítica en un plan que los equipos de operaciones puedan aplicar de inmediato?
Nuestro enfoque
Nuestros informes de situación sobre PHP2Shell y Brotli2Shell indican la causa, las versiones corregidas, las vías de ataque y un plan de 7 puntos, además de una comprobación de exposición. En Brotli2Shell, el plan avanza de fuera hacia dentro: hacer visible dónde se descomprime Brotli, rechazar en el WAF o el proxy las solicitudes codificadas con Brotli, parchear primero los servicios expuestos, exigir informes a los proveedores, documentarlo todo y comprobar las obligaciones de notificación.
- 03
¿Qué señales de las fuentes clandestinas y de la superficie de ataque externa aportan alerta temprana en lugar de ruido de alertas?
Nuestro enfoque
Ambas necesitan triaje. Verificamos los hallazgos de la dark web y los priorizamos según el tipo de cuenta y el servicio expuesto; después siguen el restablecimiento de contraseñas, la finalización de sesiones, la comprobación de la MFA y la búsqueda del origen de la fuga. Los hallazgos de EASM se atribuyen, se validan y se priorizan según exposición, explotabilidad y criticidad para el negocio. La referencia es el tiempo hasta una medida eficaz, no el número de hallazgos.
- 04
¿Qué cambia para la detección y la respuesta cuando la IA y los agentes aceleran los ataques?
Nuestro enfoque
Nuestra postura de partida es assume breach: los zero-days parcheados se consideran explotados mientras no se demuestre lo contrario. Construimos la detección como disciplina de ingeniería: reglas Sigma, cobertura frente a MITRE ATT&CK y SIEM, EDR y NDR trabajando conjuntamente. Los sistemas agénticos con herramientas y API los tratamos en sí mismos como objetivo de ataque; en la defensa empleamos la IA como complemento, nunca como sustituto.
Lo que constatamos
- 01
CVSS, EPSS y KEV responden a tres preguntas distintas
Quien parchea solo según la puntuación base de CVSS trata con urgencia muchas vulnerabilidades que nunca llegan a explotarse y pasa por alto otras activamente atacadas con puntuación media. CVSS mide la severidad; EPSS, la probabilidad de explotación; y KEV muestra si ya se está produciendo de forma demostrada. Solo juntos y referidos a sistemas accesibles dan un orden basado en el riesgo.
Fuente: Gestión de vulnerabilidades
- 02
En la cohorte CVE 2026 en curso quedan de media unas diez horas hasta la explotación
Según datos de la Zero Day Clock, consultados el 29 de julio de 2026, el tiempo medio hasta la primera explotación confirmada bajó de 2,3 años en la cohorte CVE 2018 a unas diez horas en la cohorte 2026 en curso, un año parcial con 97 casos confirmados. La gestión clásica de vulnerabilidades sigue siendo necesaria, pero requiere como complemento una comprobación continua.
Fuente: Zero-Day-Monitoring
- 03
Con Brotli2Shell también corren peligro los agentes de IA con herramientas web
Brotli2Shell no afecta solo a los servidores que descomprimen las solicitudes entrantes. También son atacables los servicios que descomprimen automáticamente las respuestas de servidores ajenos, entre ellos webhooks, crawlers y agentes de IA que consultan URL elegidas por el usuario. Un WAF no ve esa dirección y, por eso, no sustituye al parche.
Fuente: Brotli2Shell (CVE-2026-111497): lo que las empresas deben saber ahora sobre Node2Shell y HTTP2Shell
- 04
Las credenciales filtradas preceden con frecuencia al ransomware
Según el Verizon Data Breach Investigations Report 2026, el 73 por ciento de las víctimas de ransomware analizadas sufrió un evento de infostealer o de filtración de credenciales en el año anterior al ataque, la mitad de ellas en un plazo de 95 días. Quien detecta y verifica pronto estos hallazgos puede romper la cadena de ataque en su primer eslabón.
Fuente: Monitorización de la dark web
Cómo procedemos
Vami Research combina las señales externas con el estado de su entorno: ¿qué se conoce, qué es accesible en su organización, qué se está explotando ya y quién debe notificarlo y cuándo?
Priorización con tres señales
CVSS 4.0 para la severidad, EPSS para la probabilidad de explotación y CISA KEV para la explotación demostrada, ponderados según la accesibilidad desde Internet.
Formato del informe de situación
Causa, versiones afectadas y corregidas, vías de ataque, plan de medidas y obligaciones de notificación, con fecha, fuentes y comprobación de exposición.
Superficie de ataque externa
EASM a partir de DNS, registros de Certificate Transparency y datos de escaneo; Vamiset aporta como complemento un inventario de solo lectura en la nube y en el código, además del escaneo desde fuera, actualmente sin función de IA.
Monitorización gestionada de zero-days
Desde fuera, VamiSec utiliza VamiRedteam con tres agentes de IA dentro del alcance autorizado; cerca del código, VamiAppSec supervisa la SBOM de cada release en busca de vulnerabilidades explotadas activamente.
Detection Engineering
Reglas Sigma, cobertura frente a MITRE ATT&CK y SIEM, EDR y NDR trabajando conjuntamente; casos de uso como cartera con ciclo de vida, calibrada contra la fatiga de alertas.
Clasificación CACS
Clasificar los ciberataques en el sector eléctrico según la escala de ENTSO-E: causa, impacto potencial y gravedad a lo largo de la kill chain de ATT&CK.
Cómo empezar
- 1Hacer visibleRegistrar activos, superficie de ataque externa y fuentes de logs; analizar de forma continua los avisos de fabricantes, del CERT-Bund y del catálogo KEV.
- 2ContextualizarComprobar la exposición, priorizar con CVSS, EPSS y KEV y dejar constancia del informe de situación con fecha y fuentes.
- 3Actuar y notificarParchear o compensar, ajustar la detección y comprobar las obligaciones de notificación según NIS2, el RGPD, DORA y el Cyber Resilience Act.
Deep Dives, whitepapers y análisis
Deep Dives 7
Análisis y noticias
- 27 de octubre de 2026Brotli2Shell (CVE-2026-111497): lo que las empresas deben saber ahora sobre Node2Shell y HTTP2Shell
- 31 de octubre de 2026Extensión de Claude Code manipulada en el marketplace de Cursor: lo que los equipos de desarrollo deben saber sobre la puerta trasera SSH
- 21 de octubre de 2026PHP2Shell (CVE-2026-109618, CVE-2026-109619): vulnerabilidades críticas en el núcleo de PHP permiten ejecutar código sin autenticación (abre un sitio web externo)
Otras páginas
Del área a la implantación
Áreas de investigación relacionadas
¿Un informe de situación para su entorno?
Comprobamos su exposición, priorizamos con CVSS, EPSS y KEV y le acompañamos en la implementación. Ante la sospecha de un compromiso, nuestro CSIRT está disponible las 24 horas del día en csirt@vamisec.com.