Patch Tuesday de mayo: 457 vulnerabilidades y por qué tu antivirus ya no alcanza
El segundo martes de mayo volvió a poner a temblar a los equipos de IT. Microsoft publicó su Patch Tuesday y el número asusta: 457 vulnerabilidades corregidas de una sola tanda, de las cuales 30 son criticas. No es un dato para archivar. Es la radiografía de lo expuestas que están las empresas que todavía creen que con un antivirus instalado ya cumplieron.
Qué trajo el parche de mayo
De las 143 vulnerabilidades documentadas en detalle, la distribución por severidad es clara: 30 criticas, 106 importantes, 6 moderadas y una baja. Las criticas son las que permiten ejecución remota de código, es decir, que un atacante tome el control de una máquina sin que nadie haga clic en nada. Para una pyme con servidores propios o equipos sin actualizar, cada una de esas 30 es una puerta abierta.
El problema no es Microsoft sacando parches. Es lo contrario: el parche existe, pero el 60% de las empresas tarda semanas en aplicarlo. Y en esas semanas, el agujero ya es público.
Rutify y el negocio de las credenciales robadas
En paralelo, organismos de ciberseguridad detectaron una amenaza nueva bautizada Rutify, que logró comprometer y distribuir credenciales de acceso administrativo de varias instituciones. El patrón es el de siempre y a la vez el más rentable: el atacante no rompe la puerta, entra con la llave. Una vez adentro, ningún antivirus lo marca como sospechoso porque técnicamente es un usuario legítimo.
El antivirus está, pero la estrategia no
La defensa proactiva sigue siendo la asignatura pendiente en la mayoría de las pymes.
Los datos del sector pintan una empresa promedio bien equipada en lo básico y desnuda en lo importante:
76% tiene antivirus instalado, pero solo lo trata como un seguro pasivo.
71% usa firewall, sin reglas afinadas ni revisión periódica.
Apenas el 37% hace pruebas de penetración para saber si realmente está protegida.
Y un 24% ni siquiera tiene un plan formal de respuesta a incidentes.
Ahí está la trampa: el antivirus tranquiliza, pero no sustituye una estrategia. Detecta lo conocido, no lo nuevo. Y en 2026 lo nuevo se fabrica con IA, más rápido que cualquier base de firmas.
Qué hacer con esto la semana que viene
No hace falta un presupuesto de banco. Hace falta orden. Aplicar los parches críticos de mayo en días, no en meses. Activar verificación en dos pasos en todas las cuentas administrativas. Tener un plan escrito de qué hacer si algo pasa, aunque sea de una carilla. El antivirus que tenés sigue sirviendo. Lo que no sirve es delegarle a un solo programa una decisión que es del negocio entero.
