Resumen

  • Woodman proyectó más de 500 CVE para 2026 en el ecosistema Erlang, Elixir y Gleam, frente a unas diez el año anterior; RIPE 93 describe un aumento superior a 50 veces.
  • El cuello de botella pasó a la respuesta: coordinar cada caso y conseguir que el mantenedor corrija, pruebe y publique. EEF experimenta con tandas de trabajo y pide a las empresas usuarias que financien el CNA.

El escáner ya encontró el problema. Ahora alguien tiene que abrir el código, demostrar que el fallo existe, corregirlo y probar una versión que los usuarios puedan instalar. En la Security Working Group de RIPE 93, Alistair Woodman habló de ese tramo menos vistoso, donde se decide si un CVE termina en una actualización o solo engrosa una lista.

Su comparación: alrededor de diez CVE el año pasado y probablemente más de 500 al cierre de 2026. La página de RIPE indica que el volumen subió más de 50 veces. Woodman atribuyó el salto a fallos que llevaban tiempo en el software y que ahora se detectan con herramientas de IA. La cifra mide registros CVE, no parches ni paquetes diferentes.

La estructura de respuesta es pequeña. Woodman describió cinco responsables principales del CNA de la Erlang Ecosystem Foundation; dijo que cuatro personas adicionales del equipo procedían de la comunidad y calculó que unas quince personas en Ericsson mantienen activamente el núcleo de la máquina virtual. Dos integrantes concentran la mayor parte del tratamiento de CVE y de la investigación con IA.

Su experimento operativo es agrupar los hallazgos por proyecto. En lugar de interrumpir a un mantenedor cada vez que aparece un problema, el equipo reserva un periodo y entrega varios casos juntos. Woodman lo describió como algo que están probando, sin mostrar aún una comparación de tiempos hasta el arreglo.

EEF fija en su política dos días hábiles para acusar recibo y evaluar un reporte. Si la vulnerabilidad ya es pública, prevé publicar la información en 24 horas o menos. Eso vuelve decisivo el financiamiento: la coordinación tiene un plazo; la corrección depende de equipos que conservan su propia agenda.

Woodman estimó que el ecosistema reúne unos 20.000 paquetes, alrededor de 100.000 usuarios frecuentes y al menos 5.000 empresas conocidas. Al cerrar, pidió a las empresas que usan el software y no figuran entre los patrocinadores que ayuden a sostener el trabajo. EEF ofrece financiación y coordinación voluntaria como dos formas de apoyo.

Fuentes