Qué es un CVE y cómo saber si alguno te afecta

Qué significa un identificador CVE, cómo se lee la puntuación CVSS, por qué el catálogo KEV importa más que la severidad y cómo priorizar qué parchar primero.

7 min de lectura

Qué es exactamente un CVE

CVE son las siglas de Common Vulnerabilities and Exposures. Es, sencillamente, un catálogo público que le pone un número único a cada vulnerabilidad conocida de un producto de software o hardware. Lo coordina la organización MITRE con financiamiento del gobierno de Estados Unidos, y lo usan todos: fabricantes, antivirus, escáneres y equipos de seguridad.

Su valor está en que resuelve un problema de idioma. Sin CVE, un fabricante habla del fallo del módulo de compresión, un antivirus lo llama de otra forma y un boletín lo describe de una tercera. Con CVE, los tres dicen CVE-2024-3094 y todo el mundo sabe de qué se está hablando. Un CVE no es un virus ni un ataque: es la etiqueta de un defecto.

Cómo se lee el identificador

El formato es siempre el mismo: el prefijo CVE, el año en que se reservó el identificador y un número correlativo. En CVE-2024-3094, el 2024 es el año de reserva y 3094 es el correlativo.

Cuidado con un malentendido frecuente: el año es el de reserva del identificador, no necesariamente el año en que se descubrió ni en que se hizo pública la vulnerabilidad. Un CVE con año viejo puede publicarse bastante después.

CVSS: qué significa el número del 0 al 10

Cada CVE recibe una puntuación CVSS, una nota del 0 al 10 que intenta resumir su gravedad técnica. Se reparte en cuatro tramos: baja de 0.1 a 3.9, media de 4.0 a 6.9, alta de 7.0 a 8.9 y crítica de 9.0 a 10.0.

Ese número sale de factores como si el fallo se explota por red o hace falta estar sentado frente al equipo, cuánta complejidad tiene el ataque, si se necesitan credenciales previas y qué se pierde: confidencialidad, integridad o disponibilidad.

La parte que conviene entender es que el CVSS mide gravedad teórica, no riesgo real para ti. Una vulnerabilidad crítica de 9.8 en un producto que no tienes instalado vale exactamente cero. Y una vulnerabilidad media de 5.3 en algo que tienes expuesto hacia internet puede ser tu problema más urgente. Priorizar solo por el número es el error más común.

KEV: la lista que importa más que la severidad

Existen más de doscientas mil CVE publicadas, y ninguna organización puede atenderlas todas. La agencia de ciberseguridad estadounidense CISA mantiene por eso el catálogo KEV, de Known Exploited Vulnerabilities: la lista de las vulnerabilidades que se está confirmando que los atacantes usan de verdad, ahora mismo, en ataques reales.

Es una lista mucho más corta, del orden de un millar de entradas, y es el mejor filtro práctico que existe. Si un CVE que te afecta está en KEV, deja de discutir la puntuación y párchalo: hay evidencia de explotación activa. Si no está en KEV y su puntuación es media, casi siempre puede esperar al ciclo normal de actualizaciones.

Cómo saber si alguno te afecta

Un CVE te afecta cuando se cumplen tres condiciones a la vez, y las tres importan:

Tienes instalado el producto afectado. Parece obvio, pero la mayoría de las alertas que la gente recibe son de software que ni siquiera usa.
Tu versión cae dentro del rango vulnerable. Casi siempre el fallo afecta a versiones concretas y ya hay una posterior corregida.
La configuración concreta que tienes lo hace explotable. Muchas vulnerabilidades solo aplican si una función específica está activada o si el servicio es alcanzable desde fuera.

Ese cruce a mano es tedioso: hay que inventariar qué corre en cada equipo, con qué versión, y compararlo contra una base de datos que cambia todos los días. Es exactamente el tipo de tarea que conviene automatizar.

Qué hacer cuando uno te afecta de verdad

Actualizar es la respuesta correcta en la gran mayoría de los casos, y suele ser lo más rápido.
Si no puedes actualizar todavía, revisa si el fabricante publicó una mitigación temporal, como desactivar la función afectada.
Reduce la exposición mientras tanto: si el servicio no necesita estar accesible desde internet, quítale esa exposición y ganas tiempo sin arreglar nada.
Deja constancia de la decisión. Un riesgo que se acepta a conciencia y queda escrito es una postura defendible; uno que se olvida no lo es.

Cómo se resuelve con S.S.S

S.S.S hace ese cruce por ti. A partir de los servicios y versiones que el agente detecta en tu red, busca las vulnerabilidades conocidas asociadas, muestra su puntuación CVSS y marca de forma destacada las que están en el catálogo KEV de CISA, que se sincroniza a diario. Cuando aparece una KEV nueva que toca algo de tu inventario, la notificación sale sin que tengas que ir a buscarla.

La plataforma también incorpora el Top 10 de OWASP como marco de referencia, y el asistente de análisis explica cada hallazgo en lenguaje llano, para que la decisión de qué parchar primero no dependa de saber interpretar un vector CVSS.