Wiz analizó la telemetría de entornos cloud reales de más del 65% de las compañías Fortune 100 para su informe State of Cloud Risk 2026, y la conclusión incomoda a cualquier equipo de seguridad que todavía prioriza por CVSS: la mayoría de los hallazgos marcados como críticos no representan, en la práctica, una ruta de ataque explotable.
Lo más destacado del State of Cloud Risk 2026
– Las ventanas de explotación se han desplomado. El tiempo medio entre que se divulga una vulnerabilidad y se explota activamente ha caído de más de dos años a 21,5 días (según el ZeroDayClock de Wiz).
– El contexto reduce el ruido a la mitad. Al filtrar por señales como alcance externo, combinaciones de permisos tóxicos y acceso a datos sensibles, se elimina más del 50% de los hallazgos iniciales marcados como alta prioridad.
– El riesgo se concentra, no se reparte. El 81% de las vulnerabilidades explotables observadas se concentra en solo el 52% de los productos de software analizados, y los tres proveedores más representados acumulan cerca del 35% de las vulnerabilidades críticas con exploit público disponible.
– La ejecución remota de código no es el problema principal. Solo el 9% de los hallazgos observados son RCE, la mayoría son exposición de credenciales/secretos y accesos no autorizados.
– Un tercio de los entornos cloud tiene una puerta abierta real. El 30% de los entornos observados contiene al menos una máquina expuesta externamente conectada a una ruta de movimiento lateral de alto impacto.
– Los ataques reales lo confirman. Según el Cloud Threats Retrospective de Wiz (intrusiones documentadas entre febrero y diciembre de 2025), la explotación de vulnerabilidades representó el 40% de los casos, los secretos expuestos el 21% y las malas configuraciones el 19%.
Metodología
Wiz construye estos hallazgos sobre un modelo de priorización de riesgo cloud de 13 niveles, combinado con benchmarks de tiempos de weaponización (ZeroDayClock), para separar la severidad teórica de una vulnerabilidad de su explotabilidad real dentro de un entorno concreto — no todas las CVE de severidad «crítica» representan el mismo riesgo si nadie puede alcanzarlas.
Por qué importa
El mensaje de fondo del informe es que perseguir feeds infinitos de vulnerabilidades no es una estrategia de seguridad cloud, es ruido operativo. El riesgo real depende de cómo intersecan tres factores: puntos de entrada expuestos, alcanzabilidad y privilegios elevados.
Una vulnerabilidad crítica en un sistema sin exposición externa ni camino hacia datos sensibles pesa mucho menos que una vulnerabilidad «media» en una máquina expuesta con permisos excesivos. Sin priorización de riesgo cloud basada en ese contexto, los equipos de seguridad acaban invirtiendo el mismo esfuerzo en remediar ruido que en cerrar rutas de ataque reales. Y con ventanas de explotación de apenas 21,5 días, ese tiempo mal invertido tiene un coste directo.
Cómo ayuda Cloudappi
Nuestras prácticas de Cloud Governance, API Governance y Agent Governance aplican exactamente esta lógica de contexto antes que volumen: mapeamos exposición real, combinaciones de permisos y accesibilidad de tus activos cloud para que la remediación se concentre donde de verdad hay una ruta de ataque — no donde hay una etiqueta de «crítico» aislada. Trabajamos de forma agnóstica de plataforma, así que el mismo criterio de priorización se aplica entre proveedores, no solo dentro de uno.
–> Revisa tu superficie de riesgo cloud con nuestro equipo: una sesión técnica para identificar qué hallazgos de tu entorno representan una ruta de ataque real y cuáles son ruido que puedes despriorizar con seguridad. Contáctanos.
