El senador Ron Wyden envió una carta el 27 de julio de 2026 a la Office of Management and Budget, la Cybersecurity and Infrastructure Security Agency y el National Institute of Standards and Technology, pidiendo un plazo vinculante de dos años para eliminar los dispositivos VPN obsoletos expuestos en internet en toda la administración federal de EE. UU. Es una propuesta sobre infraestructura de acceso remoto empresarial, no sobre la app VPN de consumo de tu móvil, pero el razonamiento detrás merece entenderse igualmente.
Lo que pide realmente la carta
La carta de Wyden pide a la CISA que emita una directiva operativa vinculante (Binding Operational Directive) que obligue a las agencias civiles federales a eliminar los dispositivos VPN obsoletos expuestos públicamente en dos años, sustituyéndolos por una arquitectura moderna de acceso remoto de confianza cero. También pide que la National Security Agency imponga el mismo plazo de dos años en las redes militares, de inteligencia y de otra índole relacionadas con la seguridad nacional, usando su autoridad existente.
Nada de esto es todavía política aprobada. Es una recomendación formal, no una directiva ya en vigor, y las agencias federales no han anunciado un plan de implementación hasta la fecha (The Record, CyberScoop).
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Por qué Wyden apunta específicamente a los dispositivos VPN
El argumento central es sencillo: los dispositivos VPN tradicionales están, por diseño, expuestos en internet público, así que cualquiera puede localizarlos, escanearlos y sondearlos. Esa «puerta principal» expuesta ha resultado ser, repetidamente, exactamente la forma en que piratas informáticos respaldados por los estados chino y ruso han vulnerado redes gubernamentales y de contratistas. La carta de Wyden presenta la dependencia continua de dispositivos VPN obsoletos como un patrón de fallo recurrente y predecible, no como un incidente aislado.
Ese planteamiento encaja con un patrón que hemos cubierto repetidamente este año sobre infraestructura VPN empresarial en concreto. GlobalProtect, de Palo Alto, tuvo hace apenas una semana un fallo explotado activamente por el ransomware Qilin (ver El ransomware Qilin explota un fallo VPN de Palo Alto), los dispositivos SMA de SonicWall sufrieron vulnerabilidades de día cero durante semanas antes de ser detectadas, y credenciales de Fortinet vinculadas a FortiBleed acabaron asociadas al ransomware Lynx. Ninguno de estos casos es aislado. Son exactamente la categoría de hardware VPN expuesto en internet de la que la carta de Wyden pide a las agencias que dejen de depender.
Confianza cero, no «sin VPN»
La propuesta no es «dejar de usar acceso remoto cifrado». Es un impulso hacia una arquitectura de confianza cero, donde el acceso se verifica de forma continua y granular en cada solicitud, en vez del modelo tradicional del VPN, que concede un amplio acceso a la red en cuanto una conexión se autentica. La carta de Wyden argumenta que ese modelo está obsoleto frente a cómo operan realmente los atacantes hoy, y que las agencias deberían dejar de parchear un dispositivo intrínsecamente expuesto y en su lugar eliminar del todo esa puerta principal expuesta.
Para más detalle sobre en qué se diferencia realmente esa arquitectura de un VPN tradicional, ver VPN vs Zero Trust (ZTNA) en 2026: ¿qué necesita realmente tu empresa?
Esto no afecta a tu VPN personal
Vale la pena ser explícitos sobre el alcance, porque titulares del tipo «el gobierno quiere eliminar los VPN» invitan a confusión. La carta de Wyden apunta a dispositivos VPN obsoletos expuestos en internet, hardware empresarial de fabricantes como los implicados en los fallos anteriores, usado por agencias federales y sus contratistas para el acceso remoto a redes. No tiene nada que ver con los servicios VPN de consumo como los que cubrimos en este sitio, que cifran el tráfico de internet personal de un individuo y no exponen una red corporativa detrás como sí hace una pasarela VPN empresarial. Nada en esta propuesta restringe, prohíbe ni afecta de ningún modo al uso personal de un VPN.
Esto se apoya en años de política federal de confianza cero
No es el primer paso del gobierno hacia la confianza cero. La orden ejecutiva 14028, firmada en mayo de 2021, ordenó a las agencias federales empezar a adoptar principios de confianza cero tras una serie de fallos de seguridad importantes. La OMB siguió en enero de 2022 con el memorando M-22-09, que fijaba objetivos de arquitectura de confianza cero para todo el gobierno que las agencias debían cumplir antes de que terminara el año fiscal 2024. La mayoría de las agencias incumplieron ese plazo en la práctica, lo que explica en parte por qué la carta de Wyden presiona por una directiva vinculante con consecuencias reales en vez de otro memorando de objetivos voluntarios.
La CISA también ha demostrado ya estar dispuesta a forzar acciones sobre dispositivos VPN en concreto cuando la amenaza es lo bastante seria. En enero de 2024 emitió la directiva de emergencia 24-01, ordenando a las agencias civiles desconectar de inmediato los dispositivos VPN Ivanti Connect Secure y Policy Secure tras una explotación activa y generalizada por parte de piratas vinculados a estados. Esa directiva cubría los productos de un único fabricante en condiciones de emergencia. Lo que Wyden pide ahora es más amplio y permanente: no una respuesta de emergencia a un producto defectuoso concreto, sino una política permanente que haga sustituir los dispositivos VPN obsoletos expuestos en internet, como categoría entera, en un calendario fijo de dos años, sin importar el fabricante.
Qué agencias se verían afectadas
La petición de la carta se divide en dos vías. Las agencias civiles federales (la mayor parte del gobierno federal fuera de defensa e inteligencia) quedarían bajo la directiva operativa vinculante que propone la CISA, el mismo mecanismo que ya usa para exigir plazos de parcheo y configuraciones base en todas las agencias. Las redes militares, de inteligencia y de otra índole de seguridad nacional quedarían bajo un plazo paralelo impuesto por la NSA mediante su autoridad existente sobre esas redes, ya que la autoridad directiva de la CISA no se extiende a ese lado del gobierno. Los contratistas que se conectan a redes federales a través de la misma infraestructura VPN obsoleta probablemente se verían afectados de forma indirecta, ya que las agencias suelen trasladar sus exigencias de cumplimiento al acceso remoto de sus proveedores.
Qué pasa ahora
Las recomendaciones de Wyden no son vinculantes por sí solas. La CISA tendría que emitir realmente la directiva operativa vinculante que pide, y la NSA tendría que actuar por separado en el lado militar y de inteligencia. Ninguna de las dos cosas ha ocurrido todavía, y las agencias no se han comprometido públicamente con un calendario. Al ritmo actual de la política federal de ciberseguridad, una transición completa, si llega a producirse, probablemente se extendería a lo largo de varios años en vez de la ventana de dos años que propone Wyden, sobre todo dada la enorme cantidad de contratos con proveedores y sistemas obsoletos implicados.
Lo más notable de inmediato es la señal que envía: la explotación continua y muy mediática de dispositivos VPN empresariales (Palo Alto, SonicWall, Fortinet y otros solo en los últimos meses) ha pasado de ser un argumento del sector de la seguridad a una exigencia de cambio arquitectónico a nivel del Senado. Esa presión por sí sola tiende a acelerar la inversión en seguridad de los fabricantes incluso antes de que se emita una directiva formal.
Esta es una escalada real y notable en la seriedad con la que Washington trata el problema de los dispositivos VPN empresariales, pero es una propuesta, no una política aplicada, y afecta a la infraestructura del gobierno federal, no a la app VPN de tu móvil. El argumento de fondo, que el hardware VPN expuesto en internet es una superficie de ataque recurrente y predecible, está bien respaldado por la serie de incidentes de Palo Alto, SonicWall y Fortinet de este año. Si usas un VPN de consumo, no hay nada que hacer al respecto. Si trabajas en TI federal o en un contratista que toca estos sistemas, esta es la señal más clara hasta ahora de que los dispositivos VPN obsoletos tienen los días contados.
Sigue leyendo
Para la distinción arquitectónica detrás de esta propuesta, ver VPN vs Zero Trust (ZTNA) en 2026. Para el fallo VPN empresarial más reciente detrás de esta presión, lee El ransomware Qilin explota un fallo VPN de Palo Alto.