Una cadencia de lanzamientos más rápida: qué está cambiando en F5 y qué debes hacer

Kunal AnandDirector de Producto | F5

Nota del editor (13 de agosto de 2026): Para proteger mejor a nuestros clientes en un panorama de amenazas que evoluciona rápidamente, hemos actualizado la frecuencia de publicación de nuestras versiones de seguridad y el proceso de divulgación. Lea la última publicación del blog de Kunal Anand para obtener la información más reciente sobre cómo proteger su organización.

Nota del editor (14 de octubre de 2026): F5 ahora denomina «versiones críticas» a las anteriormente llamadas «versiones reforzadas». Este cambio terminológico refleja la relevancia de estas versiones y la importancia de implementar la última versión lo antes posible.

Hace poco compartí cómo F5 utiliza modelos de IA de vanguardia para detectar y corregir vulnerabilidades en nuestro propio código. Encontrar más problemas con mayor rapidez es solo la mitad del trabajo. La otra mitad consiste en hacer llegar esas correcciones a nuestros clientes al mismo ritmo. La cadencia de lanzamientos trimestrales se concibió para otra época. En un mundo en el que la ventana para aplicar parches se ha invertido en la práctica, una frecuencia trimestral ya no es suficiente.

Creo que, en última instancia, la IA inclinará la balanza a favor de los defensores. Pero, por ahora, ocurre lo contrario. Los atacantes pueden pasar de una vulnerabilidad descubierta a un exploit funcional más rápido de lo que la mayoría de las organizaciones pueden aplicar un parche. Los cambios que se describen a continuación son el primer paso para volver a equilibrar la balanza mediante una corrección y un despliegue más rápidos.

Estos cambios no se produjeron de forma aislada. Durante varios meses, hemos escuchado y aprendido de clientes que utilizan F5 en sus rutas más críticas, organizaciones con algunas de las infraestructuras más complejas y de mayor escala del mundo. Nos hemos tomado muy en serio lo que nos han dicho y, por ello, estamos adaptando nuestro enfoque.

Qué cambia en nuestra cadencia de lanzamientos

Hay dos cambios importantes que tanto usted como sus equipos deben conocer.

1. Pasamos a publicar versiones mensuales de software reforzado. Las versiones de software reforzado se publicarán el tercer miércoles de cada mes, a partir del 15 de julio.

Cada versión incluirá un amplio conjunto de correcciones. Estas procederán de nuestros análisis con IA, de los problemas que surjan al investigar los hallazgos, de los equipos internos y los investigadores externos, así como de nuestras propias medidas de refuerzo de la seguridad y la estabilidad. A medida que los modelos de vanguardia sigan mejorando, el ritmo de detección continuará acelerándose y estas versiones incluirán un número cada vez mayor de problemas.

Nuestra recomendación siempre ha sido utilizar la versión más reciente. Ahora es más importante que nunca. Les insto encarecidamente a implementar estas versiones lo antes posible, y no solo cuando se trate de problemas de gravedad crítica. En todo el sector, los atacantes son cada vez más capaces de encadenar vulnerabilidades de gravedad baja y media para crear nuevos exploits, por lo que la gravedad de una corrección concreta es un indicador cada vez menos fiable de su importancia. Traten cada versión como si cerrara una brecha crítica.

Limitaremos el nivel de detalle que divulgamos sobre las correcciones específicas de cada versión. Dadas las capacidades de estos modelos, no vamos a proporcionar a los atacantes una hoja de ruta para localizar vulnerabilidades y desarrollar exploits que las aprovechen antes de que los clientes puedan aplicar los parches.

2. Las notificaciones de seguridad trimestrales pasarán a ser mensuales. Tenemos previsto emitir notificaciones de seguridad mensuales sobre las vulnerabilidades corregidas en la versión reforzada del mes anterior, aunque mantendremos la flexibilidad necesaria para ajustar los plazos, el contenido o el enfoque de las notificaciones cuando la legislación, los contratos, las obligaciones de divulgación coordinada, la coordinación con las autoridades, la explotación activa, la evaluación de la materialidad, los embargos o las consideraciones relativas a la protección de los clientes requieran un enfoque diferente. La primera se publicará el 19 de agosto y abarcará la versión del 15 de julio.

Este retraso es intencionado. Le ofrece un margen para actualizar antes de que se haga pública información adicional. Seguiremos emitiendo alertas de seguridad fuera de la periodicidad mensual siempre que sea necesario comunicarle de inmediato información urgente sobre vulnerabilidades.

Con este cambio a una periodicidad mensual de versiones reforzadas y notificaciones de seguridad, seguiremos ofreciéndole:

• Versiones de mantenimiento (F5 BIG-IP, F5 BIG-IQ, F5OS, F5 NGINX) con correcciones de errores, incluida la consolidación de correcciones recientes de CVE, pequeñas funcionalidades y mejoras centradas en la estabilidad y la subsanación de defectos.
• Versiones principales (BIG-IP, BIG-IQ, F5OS) vinculadas a los hitos de la hoja de ruta del producto, con nuevas funciones, módulos y capacidades, así como mejoras en la arquitectura de seguridad principal.
• Versiones anuales de estabilidad a largo plazo (NGINX) que proporcionan una base estable para las organizaciones que priorizan la coherencia y períodos de soporte ampliados.
• Correcciones urgentes de ingeniería (EHF) para abordar problemas urgentes que requieren una solución inmediata y que se publican según sea necesario en función del impacto en los clientes.

Qué puede hacer ahora

No somos el único proveedor que está avanzando hacia lanzamientos más frecuentes. A medida que aumente la frecuencia de los parches en todo el sector, sus equipos tendrán que gestionar más actualizaciones, de más proveedores y con mayor frecuencia. Esto supone una carga operativa real, y nos comprometemos a facilitarles la tarea, no a complicarla.

Algunas cosas que puede hacer ahora:

• Implemente F5 Insight for ADSP. Estamos realizando una gran inversión en la gestión de flotas y muy pronto habrá una actualización. Estas funcionalidades se ofrecerán a través de F5 Insight, por lo que implementarlo ahora le permitirá conocer el estado actual de su entorno y le preparará para utilizar la gestión de flotas cuando esté disponible.
• Automatice las actualizaciones en todo su entorno BIG-IP. Utilice las automatizaciones de F5 y las colecciones de Red Hat Ansible para poder adoptar versiones de seguridad más frecuentes sin la carga de trabajo manual.
• Contrate los servicios profesionales de F5. Permítanos ayudarle a diseñar un proceso de actualización automatizado, de bajo riesgo y adaptado a su entorno, para convertir una mayor frecuencia de actualizaciones en una ventaja en lugar de una carga.

Qué puede esperar de nosotros

Un ritmo más rápido exige más de ti. Esto es lo que puedes esperar de nosotros a medida que implementamos estos cambios y nos adaptamos a lo que venga después:

• Proteger a nuestros clientes es lo primero. Nos confiáis vuestros procesos más críticos, y cada cambio que hacemos parte de esa responsabilidad.
• Dedicaremos todos los recursos necesarios para detectar y corregir vulnerabilidades rápidamente. Hemos creado una infraestructura específica y movilizado a ingenieros de toda la empresa para que pueda utilizar nuestros productos con confianza.
• Mantenemos nuestro compromiso con la transparencia, la divulgación responsable y la colaboración con la comunidad de seguridad. Retrasar la divulgación no significa divulgar menos. Seguiremos trabajando junto a clientes, investigadores y laboratorios de IA de vanguardia mientras nos adaptamos juntos a este nuevo panorama de amenazas.
• Seguiremos adaptándonos a medida que evolucionen sus necesidades y las amenazas. Esta frecuencia es la adecuada para nuestra situación actual. La misma disciplina que nos llevó a abandonar la periodicidad trimestral nos impulsará a cambiar de nuevo cuando las circunstancias lo exijan.

La realidad a la que nos enfrentamos es que cada avance que nos ayuda a detectar vulnerabilidades también está al alcance de los atacantes. Nos hemos preparado para ello con la infraestructura, las herramientas y la capacidad operativa necesarias para detectar y solucionar problemas, y haceros llegar los parches lo antes posible. Este trabajo no se está ralentizando. Gracias por vuestra colaboración mientras afrontamos juntos esta situación.

Para obtener más información sobre cómo gestionamos las vulnerabilidades, consulte nuestra política de divulgación de vulnerabilidades. Publicaremos los detalles de cada versión reforzada a medida que estén disponibles. Si tiene alguna pregunta o necesita ayuda para adaptarse a esta nueva frecuencia, póngase en contacto con el soporte de F5 en cualquier momento.

Sobre el autor

Kunal AnandDirector de Producto | F5

Kunal Anand dirige la organización de productos de F5 como director de Producto. Es responsable de la visión, la estrategia y la ejecución de los productos, y garantiza el desarrollo de soluciones innovadoras que resuelven retos críticos y ofrecen experiencias excepcionales a los clientes. En su anterior cargo como director de Tecnología e IA, Kunal definió la estrategia y la visión tecnológica y de inteligencia artificial de la empresa. Antes de incorporarse a F5, Kunal desempeñó simultáneamente los cargos de director de Tecnología y director de Seguridad de la Información en Imperva. Su trayectoria en Imperva comenzó en 2018 con la adquisición de Prevoty, una startup de seguridad de aplicaciones que cofundó en 2013. Antes de incorporarse a Prevoty, fue director de Tecnología en BBC Worldwide. Kunal cuenta con una amplia trayectoria en innovación y conocimientos técnicos, y ha ocupado puestos de liderazgo al frente de equipos de seguridad, datos, tecnología e ingeniería en Gravity, MySpace y el Laboratorio de Propulsión a Chorro de la NASA. Kunal cuenta con más de 15 años de experiencia en inteligencia artificial y aprendizaje automático, que abarca desde el entrenamiento de modelos y el uso de algoritmos basados en IA para mejorar productos hasta el diseño y la implementación de arquitecturas de IA. Kunal es graduado en Ciencias de la Computación por Babson College.

Más artículos de Kunal Anand