El 21 de julio de 2026, Oracle publicó su Critical Patch Update trimestral. No fue una actualización de rutina. Con 1.449 actualizaciones de seguridad que corrigen 1.235 vulnerabilidades únicas en varias familias de productos, fue la mayor actualización de seguridad en los treinta años de historia de la compañía.
Una semana antes, Microsoft había publicado su Patch Tuesday de julio: 570 vulnerabilidades corregidas en un solo día, incluyendo 3 cero-days y 59 críticas. El recuento acumulado de CVEs (vulnerabilidades registradas públicamente) en 2026 ha superado ya el total de cualquier año completo de los últimos veinte años.
Estamos en un punto de inflexión. Y es necesario tomar decisiones sobre la estrategia a seguir.
¿Quién está afectado? prácticamente todo el mundoNo es un problema exclusivo de Oracle. El panorama de julio de 2026 hace una pincelada un sector empresarial TIC bajo presión de las actualizaciones
¿Por qué ahora? La IA ha cambiado las reglas del juego
La cantidad de actualizaciones no es accidental, ya que la inteligencia artificial ha acelerado de forma exponencial el descubrimiento de vulnerabilidades, tanto en manos de los defensores como de los atacantes.
Oracle ha reconocido explícitamente que una parte significativa de las 1.449 actualizaciones de este trimestre provienen de sistemas de IA que escanean su propio código. Microsoft ha desplegado un sistemas de IA de escaneo sobre toda su base de código de Windows. Cada vez hay más empresas que utilizan sistemas de IA para analizar sus productos buscando vulnerabilidades.
Pero existe la otra cara: los mismos modelos de IA que encuentran vulnerabilidades para los defensores las encuentran también para los atacantes. CrowdStrike, en su informe CrowdStrike 2026 Global Threat Report informa que el tiempo medio de penetración en un sistema ha caído ya a 29 minutos.
Hay que interiorizar que la gestión de actualizaciones de seguridad ya no es una tarea de mantenimiento, es una función crítica de producción.
En un entorno en el que la IA descubre vulnerabilidades a velocidad de máquina, donde los atacantes colaboran globalmente y donde el tiempo de explotación se mide en horas, la única estrategia viable es la preparación proactiva y la respuesta rápida. La cifra que recordará en 2026 no será el número de actualidades publicadas, sino el número de empresas que decidieron no aplicarlos a tiempo.
La pregunta no es si le atacarán. La pregunta es si estará preparado cuando ocurra.
