El catálogo CISA KEV
el KEV (Vulnerabilidades explotadas conocidas) es el catálogo mantenido por CISA, la agencia de ciberseguridad de EE. UU., enumera las vulnerabilidades cuya explotación ha sido confirmado en la naturaleza. No es ni una estimación de gravedad ni una probabilidad: es un hecho observado. Un CVE en el KEV se repara antes que los demás.
Tienes cien parches atrasados y dos días por delante. ¿Por dónde empiezas? El KEV es la respuesta más corta a esa pregunta y la única que se basa en hechos en lugar de modelos.
Dos imágenes para hacerlo concreto.
El KEV es el lista de incendios ya reportados. No es un mapa de riesgo de incendio, ni tampoco una previsión meteorológica: es el panel de control del parque de bomberos, con las direcciones encendidas en estos momentos. Allí nadie debate sobre la probabilidad; envían los camiones.
El KEV también es un aviso de retirada de vehículos. Siempre que un defecto sea teórico, el fabricante lo documenta. Una vez que se observan los accidentes, emite un retiro del mercado y la pregunta ya no es "¿debería traerlo?" sino "¿cuándo puedes venir?". Esta segunda imagen añade lo que le falta a la primera: el retiro se produce después de los primeros accidentes, nunca antes.
Qué es el catálogo exactamente
Creado a finales de 2021, el catálogo KEV enumera los CVEs para los que existe evidencia confiable de explotación activa. Actualmente cuenta con más de mil inscripciones y se ha convertido en la lista de prioridades de referencia mucho más allá de Estados Unidos.
No publicamos un recuento exacto aquí: CISA muestra el total actual en la parte superior de su catálogo, que crece unas pocas entradas por semana. Un número congelado en un artículo queda obsoleto en cuestión de días; Es mejor indicarle la fuente.
Los tres criterios de inclusión.
Una vulnerabilidad ingresa al KEV solo si cumple con todos tres de las siguientes condiciones:
- tiene un asignado CVE identificación;
- hay evidencia confiable de explotación activa — una prueba de concepto publicada no es suficiente; los ataques deben haber sido observados;
- a remediación clara existe: un parche, una actualización o instrucciones para eliminar el producto.
El tercer criterio explica por qué el catálogo es conservador: CISA enumera sólo aquello sobre lo que una organización realmente puede actuar. Ésa es una fortaleza para la priorización y una limitación para la detección.
Que contiene una entrada
| campo | lo que te dice |
|---|---|
| CVE | El identificador de vulnerabilidad, que permite la comparación automática con un inventario. |
| Proveedor y producto | El software afectado, como texto libre, debe coincidir con un identificador estandarizado antes de que una máquina pueda usarlo. |
| Nombre de la vulnerabilidad | Un título legible por humanos, útil en un ticket. |
| Fecha agregada | El día en que se confirmó la explotación. Comparado con la fecha de publicación del CVE, muestra la ventana real. |
| Acción requerida y fecha de vencimiento | La remediación esperada y su fecha límite, vinculantes para las agencias federales estadounidenses. |
| Uso conocido de ransomware | Indica si se sabe que la falla se utiliza en campañas de ransomware. |
Un caso real y anticuado: MOVEit, mayo-junio de 2023
el 31 de mayo de 2023, el proveedor Progress lanza un parche de emergencia para su herramienta de transferencia de archivos, MOVEit Transfer. La falla está asignada. CVE-2023-34362: una inyección SQL que permite la ejecución remota de código no autenticado.
el 2 de junio de 2023, CISA lo añade al catálogo KEV. Dos días entre el parche y la explotación confirmada. Pero el cronograma completo es aún más duro: cuando se envía el parche, el grupo Cl0p ya ha estado extrayendo datos durante varios días. Desde entonces, los recuentos públicos han pasado 2.700 organizaciones afectados, incluidos organismos gubernamentales y proveedores de nóminas que nunca habían oído hablar de MOVEit, pero su subcontratista lo utilizó.
Dos lecciones que puede reutilizar tal como están: la brecha entre la publicación de un CVE y su adición al KEV a veces es menos de 48 horas; y la explotación a menudo ha comenzado antes de su publicación. El KEV no es una alerta temprana, es una señal de ponerse al día: razón de más para actuar con rapidez.
KEV, EPSS, CVSS: tres preguntas diferentes
| Estándar | Pregunta | tipo de respuesta | lo que extraña |
|---|---|---|---|
| KEV | ¿Está explotado? | Sí o no, observado | Cualquier cosa explotada sin evidencia pública. |
| EPSS | ¿Es probable que lo sea? | Una probabilidad de 0 a 1 | Ataques dirigidos, que son raros y, por tanto, mal predichos. |
| CVSS | ¿Cuánto daño si lo es? | Una puntuación de 0 a 10 | El momento y su contexto. |
Los tres trabajan juntos en este orden: KEV dispara, EPSS anticipa, CVSS rompe lazos.
El marco regulatorio: de la DBO 22-01 a la DBO 26-04
El catálogo fue creado por directiva. DBO 22-01 (noviembre de 2021), que exigía a las agencias federales de EE. UU. corregir las vulnerabilidades KEV en una fecha de vencimiento establecida. En 2026, esa directiva fue revocada y reemplazada por DBO 26-04, que se centra en la priorización de parches basada en riesgos. El catálogo en sí permanece activo y mantenido.
Ninguna de las directivas es jurídicamente vinculante para una empresa francesa. Su valor está en otra parte: hicieron del KEV una referencia común, citada en licitaciones, informes de auditoría y políticas de parches en todos los sectores.
Lo que significa para ti, en la práctica
Tres pasos, en este orden:
- Haga una referencia cruzada del KEV con su inventario, no con todas sus alertas. Todo el catálogo no te concierne; su superposición con sus productos sí lo hace.
- Establezca una regla escrita: cualquier CVE en su entorno que aparezca en el KEV se maneja dentro de las 48 horas, cualquiera que sea su puntuación CVSS. Una regla con un número evita renegociar cada alerta.
- Esté atento a las incorporaciones al catálogo, no solo a la publicación CVE. Un defecto que usted dejó de lado hace tres meses puede agregarse mañana: eso es una transición, y es lo que debería disparar la alerta.