Apps sin actualizar: el punto ciego de su flota, y Scout

Lanzamos Scout, una herramienta de acceso libre para comprobar si las aplicaciones desplegadas en su flota funcionan con versiones vulnerables. Dos cifras nos empujaron a crearla: 48 185 fallos publicados en 2025, y una IA capaz de destapar agujeros olvidados durante veinte o treinta años en programas que sus equipos abren cada día.

Las CVE baten un récord cada año, y se acelera

En 2025 se publicaron 48 185 CVE, unas 131 al día. Un 20,6 % más que en 2024, año que ya había subido un 38 %. Noveno récord anual consecutivo. En cinco años, el volumen de fallos declarados creció un 263 %.

El sistema encargado de documentarlos se resiente. En 2025 el NVD solo analizó por completo el 28 % de las nuevas CVE, frente al 46 % un año antes. En abril de 2026 el NIST pasó a un modelo de triaje: solo enriquecerá entre el 15 y el 20 % de los fallos entrantes, y reclasificó cerca de 29 000 CVE pendientes como no planificadas.

El catálogo de fallos conocidos crece más rápido de lo que nadie puede seguir a mano. Y los antiguos no desaparecen: más de la mitad de las vulnerabilidades antiguas siguen siendo explotadas activamente.

Mythos: cuando la IA cambió de escala

Abril de 2026. Anthropic presenta Claude Mythos, un modelo especializado en ciberseguridad. A partir de una simple instrucción, descubre de forma autónoma miles de fallos inéditos en todos los grandes sistemas operativos y navegadores, incluidos agujeros que décadas de revisión humana nunca habían visto.

Los ejemplos ponen los pelos de punta. Un fallo de denegación de servicio de 27 años en OpenBSD. Un defecto de 16 años en el códec H.264 de FFmpeg, introducido en 2003, ignorado por todos los fuzzers desde entonces. En FreeBSD, una ejecución remota de código de 17 años (CVE-2026-4747) que el modelo no solo encontró sino que explotó por sí mismo, hasta obtener acceso root sin autenticación. En total, 6 202 fallos críticos o altos que afectan a más de 1 000 proyectos de código abierto.

Un dato tranquiliza, otro inquieta. Anthropic no abrió Mythos al público: reservó el modelo a grandes editores y proyectos de código abierto, a través del proyecto Glasswing (Apple, Microsoft, Cisco, CrowdStrike, la Linux Foundation), para que corrigieran sus fallos antes que los atacantes. No se prevé disponibilidad general. El problema: si un modelo puede sacar un fallo de 27 años en unos días, esa misma capacidad acabará en otras manos. La idea de que un programa estable desde hace años es forzosamente seguro ya no se sostiene.

Una app o un SO sin actualizar es una puerta, no un detalle

¿Es de verdad un problema en una flota móvil? Las cifras dicen que sí. Según el DBIR 2026 de Verizon, el 31 % de las brechas empiezan por la explotación de una vulnerabilidad, el primer vector de ataque, en aumento desde el 20 % de la edición anterior. Sophos atribuye al software sin parchear la causa técnica del 32 % de los ataques de ransomware en 2025.

En un móvil personal, una app se actualiza sola por la noche. En una flota gestionada es otra historia: las actualizaciones pasan por ciclos de validación, versiones a veces fijadas para no romper producción, y usuarios que posponen el reinicio. Un parche puede estar disponible durante semanas sin llegar a sus dispositivos. Y los atacantes conocen ese desfase. En 2025 el tiempo medio hasta la explotación cayó a unos 5 días, con un récord de 51 segundos tras la divulgación. Cerca del 28 % de las vulnerabilidades se explotan el mismo día, a veces antes de que exista un parche. En cambio, corregir una vulnerabilidad crítica en una aplicación lleva entre 43 y 74 días de media. Ese hueco, entre el parche disponible y el parche realmente desplegado, es donde viven los atacantes. El 60 % de las brechas implican un fallo para el que ya existía un parche sin aplicar.

Sobre el terreno se juega en evidencias. Un lector de PDF, un navegador o un cliente de correo obsoleto en 200 dispositivos son 200 puntos de entrada. En móvil el SO cuenta doble: un iPhone o un Android que tarda en actualizarse deja agujeros conocidos abiertos de par en par, y sus usuarios no lo saben.

Scout: ver con claridad las versiones de su flota

Ese es el punto ciego que aborda Scout. Scout es la vigía CVE de sus apps móviles y de escritorio, de acceso libre. Indexa 24 155 CVE, vigila 8 150 aplicaciones en iOS, Android, macOS y Windows, y sigue en particular los 359 fallos activamente explotados que lista la CISA. Sincronización diaria con el NVD, actualizaciones cada hora.

Puede usarlo de tres maneras. Pega un identificador de aplicación, por ejemplo com.microsoft.Office.Outlook, y obtiene un veredicto inmediato: ¿está esta versión afectada por una CVE y, peor aún, por un fallo ya explotado? Sube el inventario exportado de su MDM (formatos Intune o Jamf) y Scout genera un informe de cumplimiento con un SBOM. O explora los catálogos de apps y busca una vulnerabilidad directamente.

Una precisión honesta que la herramienta asume: Scout es un suelo, no una auditoría de flota. Le dice si una versión desplegada es conocida como vulnerable. No es una prueba de intrusión ni una garantía de exhaustividad. Pero para la mayoría de los equipos ese suelo ya está mucho más alto que lo que tienen hoy, que es nada. Scout también expone una API para evaluar por programa las versiones desplegadas e integrar este control en sus propias herramientas.

De la visibilidad a la acción

Ver el problema es la mitad del camino. Cerrarlo es tarea de un MDM. Scout le da el diagnóstico; Appaloosa MDM le da los medios para actuar: enviar actualizaciones de aplicaciones, imponer una versión mínima de SO y condicionar el acceso a los recursos al cumplimiento del dispositivo. Scout da la alarma, el MDM pone la flota al día.

Esa es la lógica con la que Appaloosa construye su oferta: dar al administrador de sistemas y al RSSI con qué medir el riesgo, y luego con qué garantizar que cada dispositivo de la flota siga actualizado y conforme.

Para terminar

La pregunta ya no es si hay fallos escondidos en sus apps, sino cuáles corren ya en sus dispositivos. Scout le da la respuesta, en scout.appaloosa.io. Convertir ese diagnóstico en una flota al día es justo lo que hace Appaloosa.