El 27 de septiembre de 2026, Citrix publicó un boletín de seguridad sobre ocho nuevas vulnerabilidades que afectan a sus soluciones NetScaler ADC y NetScaler Gateway. Entre ellas, dos vulnerabilidades críticas, CVE-2026-88771 y CVE-2026-88772, tienen una puntuación CVSS de 9,5/10 y ya están siendo explotadas activamente.

Son las 2:47 de la madrugada. En una habitación en penumbra, tres pantallas iluminan el rostro de un hombre vestido con una sudadera negra con capucha. Sus dedos recorren el teclado a una velocidad casi irreal. Desfilan líneas de código. En una de las pantallas, un mapa del mundo salpicado de puntos rojos. En otra, la red informática de una gran empresa.

Un último obstáculo. Unos cuantos comandos.

Aparece una barra de progreso.

87 %… 94 %… 100 %.

Los gastos de comunicación se refieren principalmente a los gastos de comunicación de crisis en los que se incurre a raíz de un incidente cibernético. Estos gastos suelen producirse en una fase muy temprana de la gestión del incidente.

Por este motivo, es habitual que una parte de ellos quede cubierta en el marco de la asistencia en crisis o de las medidas de emergencia, en ocasiones sin aplicación de la franquicia durante un período determinado, que varía según la compañía y suele oscilar entre 24 y 96 horas.

A partir del 11 de septiembre de 2026, el descubrimiento de una vulnerabilidad que se esté explotando activamente en un producto digital ya no solo dará lugar a una carrera técnica para encontrar una solución. Para los fabricantes afectados, también podrá dar inicio a una cuenta atrás reglamentaria especialmente breve: deberá enviarse una primera alerta en un plazo de 24 horas.

Esta nueva obligación se deriva de la Ley de Ciberresiliencia (Cyber Resilience Act, CRA), la normativa europea destinada a reforzar la seguridad de los productos que incorporan componentes digitales.

Hace tiempo que hemos aprendido a considerar los archivos adjuntos como potencialmente peligrosos. Con la inteligencia artificial, ahora hay que tener en cuenta que un documento perfectamente legítimo también puede intentar influir en el sistema que lo lee. Un PDF puede no contener ningún malware, ninguna macro ni ningún archivo ejecutable y, sin embargo, incluir instrucciones destinadas a modificar el comportamiento de una IA.

Un tema que modifica sensiblemente el panorama de riesgos, por no decir que crea uno nuevo.