Azul ha identificado que un 85% de las organizaciones que utilizan Java han experimentado incidentes, incidentes sospechosos o casi incidentes debido a una lenta aplicación de parches. Esta información proviene del informe «2026 AI Vulnerability Gap Report» elaborado por Azul, en el que se analiza cómo la inteligencia artificial está incrementando la velocidad con la que se explotan las vulnerabilidades en Java.
El informe, que fue encargado antes del reciente anuncio de OpenJDK acerca de 53 vulnerabilidades corregidas en un solo trimestre —la cifra más alta registrada en ese periodo—, pone de manifiesto que Azul ha lanzado parches para todas esas vulnerabilidades en su actualización de octubre llamada Security-Only, Stability-First.
El avance de la inteligencia artificial (IA) ha acelerado el riesgo para las empresas, ya que según Azul, el tiempo desde que se publica una vulnerabilidad en Java hasta que se dispone de un exploit funcional es inferior a tres días. No es una opinión aislada: otros expertos en ciberseguridad confirman que ese lapso se ha reducido de días a horas, dependiendo de la complejidad de la vulnerabilidad. 
Scott Sellers, presidente, director ejecutivo y cofundador de Azul, señala que «la IA agente ha colapsado el margen de tiempo que los defensores solían tener, y la mayoría de las empresas aún aplican procesos de parcheo diseñados para adversarios mucho más lentos. Nuestra investigación muestra que los responsables de seguridad son conscientes de la amenaza: el problema ya no es la conciencia, sino la ejecución efectiva».
En una entrevista reciente, Sellers añadió que antes se conocía la ubicación de las vulnerabilidades y se sabía qué hacer para mitigarlas, pero ahora todo gira en torno a la velocidad, dado que los actores maliciosos potenciados por IA están transformando radicalmente esta dinámica.
Cómo cambia la seguridad con la IA
El informe parte de la base de que la introducción de la IA en la cadena de ataque ha alterado las reglas del juego en ciberseguridad. Hay un aumento significativo en el número de CVEs reportados y una reducción drástica en el tiempo que tardan en ser explotados.
Se afirma que «ahora existen tres relojes que gobiernan cada vulnerabilidad revelada: el del atacante, el del proveedor y el de la empresa. Solo los dos primeros han acelerado». En el caso de Java, la velocidad de reacción de los proveedores resulta crítica. Azul y Oracle son las dos únicas compañías que ofrecen parches mensuales. OpenJDK, en cambio, libera actualizaciones trimestrales que agrupan parches de seguridad con otros correcciones, lo que obliga a las organizaciones a separarlos antes de implementarlos.
La pregunta que se plantea es si otros proveedores de Java acelerarán sus ciclos de parcheo para mantener el ritmo frente a los atacantes, quienes parecen marcar la pauta actual.
Hallazgos clave del informe
Entre las estadísticas destacadas figuran:
- El 69% de los líderes de seguridad creen que los atacantes pueden crear exploits funcionales en tres días o menos.
- Solo el 56% de las organizaciones puede implementar una solución crítica en ese mismo plazo.
- Un escaso 13% consigue aplicar un parche crítico en menos de 24 horas.
- El 58% reporta que las pruebas previas a la implementación añaden cuatro o más días al proceso de parcheo de Java.
- El 66% no tiene compromisos temporales claros para parchear vulnerabilidades no críticas.
- El 51% reconoce tener visibilidad parcial o limitada sobre sus entornos Java.
- El 85% ha sufrido incidentes o casi incidentes vinculados a la lentitud en la aplicación de parches.
Una conclusión importante es que «prácticamente todos los líderes encuestados admiten que la proliferación de herramientas de ataque potenciadas por IA ha incrementado su exposición a riesgos en los últimos 12 meses», sin que las estrategias de defensa hayan cambiado de forma significativa en ese tiempo.
El desafío del testeo y la estabilidad
La lentitud en desplegar parches se debe a múltiples factores: procesos internos, sistemas de parcheo y falta de conocimiento preciso sobre dónde se encuentra Java en la organización. En este sentido, Azul destaca que las pruebas de regresión son el mayor freno, citado por el 44% de los responsables de seguridad. Según su análisis de registros de seis años, el 23% de las actualizaciones trimestrales de OpenJDK introdujeron una regresión seria que afectó a la estabilidad. Así, muchas empresas deben elegir entre priorizar la estabilidad o la seguridad.
El testing pretende garantizar que los parches no rompan funcionalidades existentes. En el software comercial estándar sin mucha personalización, las actualizaciones pueden aplicarse rápidamente, pero los entornos Java suelen contener mucho código personalizado, lo que exige pruebas exhaustivas.
El uso de IA para automatizar estas pruebas está creciendo, aunque el informe no profundiza en cuántas organizaciones incorporan estas herramientas para acelerar el proceso.
El foco limitado en EEUU y las diferencias internacionales
El estudio, realizado por Censuswide en agosto 2026, encuestó a 919 profesionales de seguridad de cuatro mercados, pero se centra públicamente en los datos de 300 encuestados estadounidenses. Datos recopilados de Reino Unido y Alemania, no divulgados completamente, revelan diferencias notables, por ejemplo, en la frecuencia de incidentes cercanos (near misses) o en la capacidad para desplegar parches en tres días.
En EEUU, el 53% reportó near misses, en Reino Unido el 57%, y en Alemania hasta el 70%. Respecto a la aplicación rápida de parches críticos, el 56% en EEUU, 52% en Reino Unido y solo 13% en Alemania. Además, la visibilidad limitada sobre Java se reportó en un 51% en EEUU, 45% en Reino Unido y 65% en Alemania.
Estas disparidades sugieren diferencias culturales, procedimentales o regulatorias que requieren análisis profundos.
Java, un lenguaje en transformación
Otro aspecto que el informe no explora es quién usa Java más intensamente. Según la encuesta Stack Overflow Developer Survey 2025, el porcentaje de desarrolladores que utilizan Java varía significativamente por país: India un 38%, Alemania un 34.6%, Italia un 34.4%, EEUU un 28.2% y Reino Unido un 22.5%. Ampliar el alcance del estudio a países con alto uso brindaría una visión más completa sobre riesgos y desafíos en seguridad Java.
Reflexiones finales: la urgencia de actualizar procesos
El legado y la antigüedad de Java conllevan retos inevitables para la seguridad. La irrupción de la IA como herramienta para los atacantes obliga a proveedores y empresas a renovar sus procesos y acelerar la aplicación de parches. Azul ha avanzado en detección de usos, gestión de riesgos y rapidez en actualizaciones, posicionándose como un actor relevante.
Expertos, como el analista de Forrester Erik Nost, alertan sobre el impacto de proyectos de IA que podrían romper el modelo tradicional de gestión de vulnerabilidades, donde esperar 30 días para parchar ya no es viable dado que los atacantes pueden pasar del descubrimiento a la explotación en cuestión de minutos.
Por lo tanto, las organizaciones que dependen de Java deben replantear sus tiempos de respuesta y revisar sus procedimientos de parcheo para mitigar los riesgos crecientes en un entorno amenazado por la inteligencia artificial.
