Qué estudió Microsoft
El análisis publicado por Microsoft revisa 382.789 CVE registradas hasta septiembre de 2026 y compara el conjunto general con 2.056 vulnerabilidades con evidencia de explotación. La proporción explotada es pequeña, alrededor del 0,5 %, pero su distribución no es aleatoria. Esa diferencia es el punto de partida para priorizar.
El estudio no dice que el CVSS sea inútil ni que una sola clasificación resuelva el riesgo. Muestra que la categoría técnica del fallo, el activo expuesto y la evidencia de explotación aportan señales distintas. Para decidir, conviene leerlas juntas y no confundir una puntuación de severidad con una probabilidad de ataque.
Las capacidades que sí se concentran
En el conjunto general, las vulnerabilidades de ejecución remota de código en servidor representan cerca del 20 %; entre las explotadas suben hasta aproximadamente el 37 %. Las elevaciones locales de privilegio pasan del 11 % al 18 %, y la ejecución de código en cliente del 4 % al 13 %.
El movimiento contrario también resulta útil. XSS representa cerca del 15 % del conjunto general, pero alrededor del 4 % de las vulnerabilidades explotadas; la denegación de servicio baja del 16 % al 7 %. No significa que esas clases sean inocuas. Significa que, en esta muestra, los atacantes seleccionan con más frecuencia las que abren camino hacia control, persistencia o acceso adicional.