Monitoreo CVE que lleva a la acción.

Actualizado el 16 de septiembre de 2026

A CVE (Vulnerabilidades y exposiciones comunes) es el identificador público de una vulnerabilidad. Más que 40.000 se publicaron en 2024 y la curva no se ha aplanado desde 2016 (Métricas del programa CVE). Un equipo que gestione una treintena de componentes verá a lo largo del año unas cuantas docenas que realmente le conciernen. Todo el problema reside en esa proporción.

El coste real del ruido

Leer cada CVE publicado llevaría más de dos horas por día laborable, para una tasa de relevancia inferior al uno por ciento. Nadie mantiene ese ritmo. Lo que sucede en la práctica es peor que darse por vencido: el equipo lee durante dos semanas, luego lo hojea, luego filtra por "crítico" y luego deja de abrirlo. El día que un defecto realmente les preocupa, la notificación llega a un canal que ya nadie mira.

Así que el verdadero riesgo es desconectarse, no el volumen. Una configuración de seguimiento se juzga en función de una pregunta: ¿alguien seguirá leyéndolo dentro de seis meses?

Crear un alcance y mantenerlo actualizado

Un alcance de monitoreo es la lista de lo que ejecuta, con versiones. Hay tres formas de construirlo: ingresarlo a mano, importar un SBOM (Lista de materiales del software, el inventario de componentes producido por su canal de compilación de software) o permitir que se detecten las tecnologías detrás de un URL público. Espere dos minutos para unos diez componentes.

Lo difícil no es crearlo, sino mantenerlo actualizado. Una actualización de versión, una biblioteca añadida, un servidor tomado del cliente: cada cambio no registrado es un punto ciego. Importar un SBOM con cada lanzamiento es el único mecanismo que se mantiene en el tiempo, porque no depende de la memoria de nadie.

Tres señales para priorizar y cuándo cada una se equivoca

Una vez que la lista se reduce, todavía tienes que elegir el orden. Tres referencias públicas responden a esta pregunta y deben leerse exactamente en este orden.

KEV primero: el catálogo de vulnerabilidades explotadas activamente, publicado por la agencia de ciberseguridad de EE. UU. No es un pronóstico, es una observación: la lista de incendios que ya arden. Un CVE que está en el KEV y presente en su entorno se soluciona, sin discusión. Su limitación: sólo enumera lo que se ha observado y reportado, por lo que a veces llega después de la explotación. Cómo leer el catálogo KEV.

EPSS siguiente: probabilidad de que se observe explotación dentro de los próximos treinta días, recalculada cada mañana. Es el pronóstico del tiempo: no se discute la posibilidad de lluvia, se lleva un paraguas. Su limitación: describe el mundo, no a ti. Una falla de alta probabilidad en un servicio que no expone apenas le preocupa. Lo que predice EPSS y lo que no.

CVSS último: la gravedad intrínseca, de 0 a 10. Es la magnitud de un terremoto: la fuerza del evento, independientemente de si hay una ciudad encima. Su limitación es la más importante a conocer: la mayoría de los CVEs clasificados como críticos nunca son explotados. Cómo leer un vector CVSS, y la calculadora para construir uno.

Una regla que puede usar tal cual es: cualquier cosa en el KEV y presente en su entorno se maneja dentro de las 48 horas; a continuación, cualquier cosa con un EPSS superior a 0,1; CVSS sólo sirve para desempatar entre dos candidatos.

¿Qué pasa después de la alerta?

Una alerta que no conduce a ninguna parte es un coste sin retorno. La ruta completa tiene cuatro estados: recibido, analizado, en reparación y resuelto. Cada alerta tiene un propietario designado; cada cambio de estado deja un registro fechado, que es tan útil para el equipo como lo es para un auditor seis meses después.

Dos retrasos que no hay que confundir, porque se confunden por todas partes. el sincronización: con qué frecuencia se releen los feeds. el procesamiento: el tiempo entre la lectura de un CVE y el envío de la notificación, que entre nosotros se queda por debajo de los 30 segundos. Ninguna herramienta puede ser más rápida que su frecuencia de sincronización, y cualquier proveedor que anuncie sólo una cifra oculta la otra.

Fin del soporte, el punto ciego

Una versión al final de su vida útil nunca recibirá otro parche. No es una vulnerabilidad más: es la garantía de que todas las futuras permanecerán abiertas. Por lo tanto, un monitoreo serio rastrea las fechas de fin de soporte tan estrechamente como CVEs, con suficiente antelación para planificar una migración en lugar de descubrirla ese mismo día.

Nueve feeds, verificados

Ninguna fuente está completa por sí sola. Desde febrero de 2024, el enriquecimiento CVE por parte del NVD se ha desacelerado drásticamente: muchas vulnerabilidades pasaron meses sin puntuación o referencia de producto. Verificamos nueve feeds (Lista CVE, NVD, el catálogo KEV, puntuaciones EPSS, pruebas de concepto publicadas, avisos GitHub, publicaciones OSV, CERT-FR y la base de datos europea EUVD) para seguir siendo utilizables cuando uno de ellos se queda atrás. Fuentes y sus licencias en detalle..

En la práctica, el lunes por la mañana

Cuatro pasos, en este orden, para un equipo que empieza desde cero.

1. Declarar veinte componentes, versiones incluidas. No cien: los que están expuestos a Internet y los que poseen datos.
2. Establece el umbral. Todo lo que hay en el KEV, cualquiera que sea su puntuación, más cualquier valor superior a 7 en el CVSS. Eso lo lleva desde varios miles de CVEs al mes hasta un puñado de alertas.
3. Separar los canales. Elementos críticos para Slack o Teams, el resto en un resumen diario. Enviar todo a Slack es lo mismo que silenciar Slack.
4. Revisar el volumen después de una semana. ¿Más de diez alertas? Eleve el umbral. ¿Cero? Probablemente su alcance esté incompleto.

¿Qué herramienta para manejar todo esto?

El método anterior no depende de ningún producto. Para elegir quien lo realiza, dos páginas: la Clasificación 2026 de seis herramientas de monitoreo CVE si estás empezando desde cero, y el comparaciones cara a cara si ya utiliza OpenCVE, Cyberwatch o CVEDetails. TechWatchAlert aplica este método, en francés, alojado en Francia, con un plan gratuito para ponerlo a prueba en tu propio ámbito.