Si mañana sale otro, ¿quién se entera primero: tu equipo o el atacante?
Esta semana pasó. El 21 de octubre salió el parche de PHP2Shell, dos fallas críticas en el corazón de PHP. Con una sola petición, sin usuario ni contraseña, se podía tomar el control de un servidor web. Afecta a cualquier instalación de PHP que atienda peticiones web.
Amazon detectó intentos de ataque el 17 de octubre, cuatro días antes de que existiera el parche.
El Centro Nacional de Ciberseguridad del Reino Unido llegó a recomendar desconectar los sistemas que no se pudieran actualizar de inmediato. Desconectar. No es una palabra que uno quiera oír en medio de la temporada de cierre de año.
Lo digo con respeto, pero sin rodeos: es muy probable que tu presupuesto de TI 2027 no esté pensado para eso.
2026 no fue un año de casos aislados
PHP2Shell es el último de una lista que se viene llenando todo el año. Ninguno de estos casos necesitó una técnica de película; casi todos entraron por algo básico que pocos estaban monitoreando. Casi nadie estaba preparado.
| Caso | ¿Qué pasó? | ¿Por dónde entraron? |
|---|---|---|
| Herramientas de desarrollo (Trivy, Bitwarden, Checkmarx) | Comprometieron proyectos de código abierto y robaron credenciales; los efectos llegaron a OpenAI, Vercel y a la agencia de ciberseguridad de la UE | La cadena de suministro de software |
| Klue | Cerca de 200 empresas afectadas, entre ellas Jamf, HackerOne y LastPass | Una credencial emitida en 2022 para un piloto limitado |
| Stryker | Borraron a distancia decenas de miles de equipos de empleados; varios días de operación afectada | Atacantes vinculados a un servicio de inteligencia estatal |
| Boston Scientific | Su red global y sus operaciones (despachos, pedidos) se afectaron por semanas | Ciberataque a la red corporativa |
En Colombia, el mismo patrón: según CERT Colombia, el país recibió 10.900 millones de intentos de ciberataque en un año, y al menos el 45 % de los vectores de entrada son accesos remotos y software sin actualizar. El costo promedio de una filtración de datos puede superar los $14.000 millones de pesos.
Lo básico. Otra vez.
Lo que muestran los datos de Fluid Attacks
Nuestros amigos de Fluid Attacks, empresa colombiana de seguridad de aplicaciones fundada en 2001, revisaron 1.119.396 vulnerabilidades reportadas durante 2025 en su State of Attacks 2026. El crédito de estas cifras es de ellos:
7 de 10
sistemas evaluados tenían al menos una falla alta o crítica.
36 días
toma, en promedio, corregir una falla crítica.
79,9 %
de la exposición al riesgo se concentra en el 4,5 % de las vulnerabilidades.
- 7 de cada 10 sistemas evaluados tenían al menos una falla alta o crítica. Un año antes eran 5 (53,3 %).
- Corregir una falla crítica toma, en promedio, 36 días (mediana: 14). El atacante de PHP2Shell no esperó ni uno.
- Las herramientas automáticas encuentran el 88 % de las fallas, pero sus pentesters encontraron el 87 % de las críticas. Si solo tienes escáneres, lo más grave puede no estar en tu reporte.
- Pocas fallas concentran casi todo el riesgo: las altas y críticas son el 4,5 % de las vulnerabilidades, pero el 79,9 % de la exposición al riesgo.
- El primer riesgo es la autenticación: la ausencia o evasión de mecanismos de autenticación explica el 19,1 % de la exposición total. Es el mismo tipo de puerta que se abrió en el caso Klue.
- Un control en el pipeline cambia el resultado: con un filtro que frena el código vulnerable antes de producción, se corrige el 72,2 % de las fallas; sin él, el 58 %. Y se corrigen más rápido: mediana de 22 días contra 30.
Una nota de rigor: las cifras de pentesters vienen de los clientes que contratan su plan con pruebas manuales, no de todo el universo.
Casas más grandes, menos plata para cerraduras
El gasto mundial en TI casi se duplica entre 2021 y 2027, pero la parte que va a seguridad está bajando.
| Indicador | Antes | Ahora | 2027 |
|---|---|---|---|
| Gasto mundial en TI (Gartner) | ~US$4 billones (2021) | US$6,39 billones (2026, +14,5 %) | US$7,35 billones (+15 %) |
| Parte del presupuesto de TI que va a seguridad (IANS) | 11,9 % (2024) | 9,9 % (2026), el mismo nivel de 2021 | Sin dato publicado |
El crecimiento lo empujan la IA y los centros de datos: el gasto en sistemas de centros de datos crece 73,8 % en 2026 y crecerá 55,5 % en 2027. Gartner además advierte que el precio de la memoria se ha más que duplicado en un año, y que esa inflación de hardware sigue durante 2027.
En otras palabras: el hardware va a costar más, la IA se va a llevar buena parte de la plata nueva, y la tentación natural será recortar lo que no se ve. La seguridad es justo lo que no se ve, hasta el día en que se ve.
En el presupuesto mediano de seguridad, el crecimiento fue 0 % por segundo año seguido (IANS 2026). Y el 69 % de los CISOs pone la seguridad de la IA como su primera prioridad de inversión nueva.
Pregúntate esto antes de cerrar tu presupuesto
Respóndelas con honestidad, solo para ti:
- ¿Sabes hoy en cuántos de tus sistemas corre PHP? No “más o menos”. Cuántos, cuáles y en qué versión.
- ¿Cuántas credenciales de proveedores, pilotos viejos y personas que ya se fueron siguen activas? A cerca de 200 empresas las alcanzó una sola credencial de un piloto de 2022.
- Si mañana sale un parche crítico, ¿quién lo aplica y en cuántas horas? Con nombre propio, no con “el equipo de TI”.
Si alguna respuesta fue “no sé”, no es una falla tuya. Es una línea que le falta a tu presupuesto.
Dónde estamos en Castor
En Castor no somos una firma de ciberseguridad, y no pretendemos serlo. Nuestro propósito es simplificar y acelerar la cocreación de productos digitales para liberar todo el potencial de la estrategia de nuestros clientes.
Y hemos aprendido algo incómodo: un producto digital que no se sostiene seguro no libera la estrategia. La pone en riesgo.
Por eso el tema entra en lo que ya hacemos:
- En la consultoría, cuando diagnosticamos el estado actual (AS-IS) y diseñamos la visión futura (TO-BE) y el roadmap, las versiones viejas, las librerías desactualizadas y los accesos olvidados tienen que aparecer en el mapa. Si no aparecen, el roadmap se construye sobre arena.
- En el acompañamiento, nos ponemos los tenis con los equipos del cliente para que el plan se ejecute en el tiempo y con el presupuesto adecuados, y eso incluye que lo básico no se quede para después.
- En el desarrollo de software, con Staff Augmentation o con células, DevOps, QA y arquitectura van de forma transversal. Ahí es donde se pone el portero que no deja pasar código vulnerable.
Esta misma semana lo vivimos con un cliente: en plena planeación de su equipo y presupuesto 2027 salió PHP2Shell. La lista de necesidades recurrentes de arquitectura ya incluía “monitoreo y actualización de versiones y librerías” y “gestión de vulnerabilidades y parches”. Dejaron de ser un punto más de la lista.
Cinco “ten en cuenta” para tu presupuesto de TI 2027
Esto es lo que estamos proponiendo al acompañar los planes 2027 de nuestros clientes:
- Seguridad dentro del roadmap, no al lado. Cada iniciativa del plan responde una pregunta extra: ¿qué se necesita para sostenerla segura? Si no tiene respuesta, no está lista.
- Parches y versiones como línea recurrente, no como proyecto. Vigilar versiones, librerías y dependencias es trabajo de todos los meses. Si solo aparece cuando hay un incidente, llega tarde.
- Un portero en el pipeline. Arquitectura, DevOps y QA que aprueban antes de que algo llegue a producción. Los datos de Fluid Attacks muestran la diferencia: 72 % de fallas corregidas con ese filtro, 58 % sin él.
- Herramientas y personas. Como lo muestra el reporte de Fluid Attacks, lo automático da cobertura y el criterio humano encuentra lo crítico. Para el pentesting, conviene apoyarse en especialistas.
- Capacidad que se prende y se apaga. El día del incidente rara vez hay tiempo para contratar. Conviene dejar acordado desde ya quién responde, con cuántas horas y en qué plazo.
¿Y el porcentaje? Como referencia, las empresas encuestadas por IANS están destinando cerca del 10 % de su presupuesto de TI a seguridad. Pero el número no dice nada solo. La pregunta que importa es qué tan rápido puedes reaccionar el día que salga el próximo.
Lo básico, bien hecho
Como dice mi amigo Juan Alarcón:
“Do the Basics Right”
Juan Alarcón
Si lo básico no está bien hecho, lo demás no se sostiene.
En 2027 lo básico es saber qué tienes, saber quién entra y tener a alguien listo para reaccionar en horas, no en semanas. Casi nada de esto es sofisticado.
Todo eso cuesta plata y es mucho más barato que el día en que haga falta.
¿Cuál de las tres preguntas te incomodó más?
Fuentes
- State of Attacks 2026, Fluid Attacks
- PHP2Shell: Critical PHP vulnerabilities patched, Help Net Security
- The worst hacks and breaches of 2026 so far, TechCrunch
- Gartner Forecasts Worldwide IT Spending to Grow 15% in 2027, Gartner
- Gartner Forecasts Worldwide IT Spending to Reach $4 Trillion in 2021, Gartner
- Cybersecurity Budget 2027: Benchmarks and Business Case, Elisity (cita IANS/Artico Search)
- El país recibió más de 10 billones de ciberataques en el último año, La República
- Fluid Attacks, Wikipedia
