¿Qué es un CVE?

Dos imágenes para hacerlo concreto.

Primero, un CVE es un matrícula. Designa un vehículo específico, y sólo uno. No te dice qué tan rápido va, si se está moviendo o si ya se ha cruzado en tu camino. Dos testigos que citan la misma matrícula necesariamente hablan del mismo vehículo: eso es todo lo que garantiza, y eso ya es mucho.

En segundo lugar, un CVE es un Número de caso de urgencias. Lo obtienes al ingreso, antes de cualquier diagnóstico: el número existe mientras el expediente aún está vacío. Ese es exactamente el estado "reservado" de un CVE, y es por eso que un CVE puede aparecer en una herramienta casi sin información y luego completarse en los días siguientes.

Recuerde la pregunta que responde un CVE: ¿De qué defecto estamos hablando? – no “¿es grave?”, no “¿estoy siendo atacado?”

Anatomía de un identificador: CVE-YYYY-NNNN

Un identificador CVE siempre sigue la misma estructura:

Dos sutilezas que casi todo el mundo pasa por alto:

• El año refleja la reserva del identificador, no de su publicación. Un CVE reservado en diciembre de 2025 y divulgado en marzo de 2026 mantiene el año 2025. Por lo tanto, ordenar un feed por año no tiene nada que ver con ordenarlo por antigüedad.
• El número de secuencia tiene al menos cuatro dígitos y puede crecer más. hemos pasado de CVE-2014-0160 a identificadores de seis dígitos para absorber el volumen: una clasificación alfabética se rompe donde se mantiene una clasificación numérica.

Quién asigna CVEs: el papel de las CNA

Ninguna autoridad central asigna identificadores. Ese trabajo pertenece a organizaciones autorizadas llamadas CNA (Autoridades de numeración CVE), que los reservan y publican dentro de su propio ámbito. El programa cuenta más de 400 en todo el mundo; la lista oficial, la única actualizada, la publica cve.org.

• el vendedores (Microsoft, Apple, Google, Red Hat, Cisco…) son sus propios CNA y publican el CVEs para sus productos.
• También hay coordinadores – CERT/CC, CERT nacionales, que cubren software sin proveedor CNA, especialmente de código abierto.
• el MITRE es la raíz del programa CNA y la secretaría; CISA, la agencia de ciberseguridad estadounidense, lo financia.

Este modelo descentralizado proporciona cobertura y rapidez: quien mejor conoce el defecto lo documenta. Tiene un costo, que es el tema de la siguiente sección.

Qué contiene un registro CVE y qué suele faltar

Un CVE publicado proporciona, como mínimo:

• a descripción de la vulnerabilidad;
• el productos y versiones afectados, idealmente como un identificador estandarizado, CPE (Enumeración de plataformas comunes, el esquema de nomenclatura que describe el software de forma legible por máquina);
• el debilidad detrás de él, clasificado usando CWE;
• a puntuación de gravedad basada en CVSS, no siempre disponible en el momento de la publicación;
• y referencias: avisos de seguridad, parches, pruebas de concepto.

¿Qué tan completos están estos campos? depende completamente del CNA que publica el expediente. Desde febrero de 2024, el enriquecimiento mediante el NVD (puntuaciones y CPE agregados después del hecho) se ha ralentizado drásticamente, dejando una gran cantidad de registros sin datos utilizables de la versión afectada. Un CVE sin un CPE ni un rango de versiones no se puede comparar con ningún inventario mediante ninguna herramienta: es invisible para la correlación automatizada. Ésa es la razón práctica por la que comparar varios fuentes de datos se ha vuelto esencial y por qué calidad de un CNA vale la pena medirlo.

El ciclo de vida de un CVE

Un CVE no está escrito en piedra. Su estado cambia, y esos cambios a menudo importan más que su publicación inicial.

Además de estos estados vienen dos transiciones que cambian todo por priorización: ser agregado al Catálogo CISA KEV, lo que significa que se ha observado explotación y la aparición de un prueba de concepto (PoC, en resumen: código publicado que demuestra el ataque), lo que pone la explotación al alcance de cualquiera. El monitoreo que solo rastrea las nuevas publicaciones omite ambas cosas.

CVE, CVSS, EPSS, KEV: no los mezcles

Esta es la confusión más común y requiere mucho tiempo. Un CVE identifica; los otros tres caracterizar el mismo defecto desde diferentes ángulos.

Un defecto visto en los cuatro marcos

Tomemos Log4Shell y sigámoslo de un marco a otro. Este ejercicio deja la diferencia más clara que cualquier definición.

Lea la última fila: entre publicación y explotación confirmada, solo unas horas pasó. Para una falla con este perfil, la ventana entre “nos enteramos” y “estamos bajo ataque” no se mide en semanas. Eso es algo que la puntuación CVSS por sí sola nunca te habría dicho.

Tres CVEs que hicieron historia

Sangrado del corazón CVE-2014-0160 (abril de 2014)

Una falla de OpenSSL que permite a los atacantes leer la memoria de un servidor: claves privadas, contraseñas, contenidos de la sesión. Un detalle revelador: su puntuación CVSS 3.1 es 7.5, “alto”, no “crítico”, porque sólo permite la lectura, sin modificar ni alterar nada. Sin embargo, condujo a la reemisión de una parte masiva de los certificados de la web. Prueba de que la puntuación no mide el alcance.

Log4Shell — CVE-2021-44228 (diciembre de 2021)

Ejecución remota de código en Log4j, la biblioteca de registro que se encuentra en una gran parte del software Java empresarial. Calificado con 10 sobre 10, explotado en masa a las pocas horas de su divulgación. Su lección duradera: la mayoría de las organizaciones afectadas no sabían que estaban usando Log4j, porque apareció como una dependencia de una dependencia.

Puerta trasera de XZ Utils — CVE-2024-3094 (marzo de 2024)

Una puerta trasera colocada deliberadamente en una herramienta de compresión de Linux, resultado de dos años de paciencia por parte de un colaborador que se convirtió en mantenedor. Descubierto por casualidad por un desarrollador que notó una conexión SSH anormalmente lenta, unas semanas antes de que el paquete alcanzara distribuciones estables. Calificado con 10 sobre 10. Cambió la pregunta de "¿es seguro mi código?" a "¿en quién confía mi código?"

¿Por qué el volumen del CVE está explotando?

Los números de los años completos más recientes: más de 40.000 CVEs publicado en 2024, aproximadamente 28.800 en 2023, 25.000 en 2022. La curva no ha bajado ni un solo año desde 2016. Más software, más investigadores, más CNA autorizadas: los tres factores empujan en la misma dirección.

Convirtámoslo en tiempo de trabajo. Cuarenta mil CVEs repartidos en unos 250 días laborables ascienden a 160 registros al día. A los cuarenta y cinco segundos para leer un registro y decidir si te concierne, eso lleva dos horas por jornada laboral – para una tasa de relevancia que, para un entorno de PYMES, cae muy por debajo del uno por ciento. Ningún equipo puede mantener ese ritmo y ninguno debería tener que hacerlo.

El contador oficial del programa, actualizado continuamente, se publica en cve.org/about/Metrics. Preferiríamos señalarle ese punto antes que congelar aquí una cifra que quedará obsoleta en seis meses.

Lo que significa para ti, en la práctica

Esto es lo que hace el lunes por la mañana un equipo que ha dejado de ahogarse en el feed.

1. Anota el inventario. Proveedor, producto, versión principal, para todo lo que está expuesto o contiene datos. Para una PYME, de veinte a cuarenta líneas son suficientes. Sin esta lista no es posible filtrar: es el único trabajo que realmente no puedes saltarte.
2. Filtrar contra esa lista. Todo lo que no coincida con una línea del inventario está fuera de alcance. Ahí es donde desaparece el 99% del ruido.
3. Ordena lo que queda, en este orden. en el KEV → manejar dentro de las 48 horas. De lo contrario, EPSS por encima de 0,1 → esta semana. De lo contrario, CVSS rompe el empate, y sólo entonces.
4. Observa las transiciones. Un CVE con calificación “baja” el martes puede ingresar al KEV el jueves. Lo que debería activar una alerta no es sólo la publicación, es un cambio de estado.

Preguntas frecuentes