Cuando un análisis devuelve más hallazgos altos y críticos de los que su equipo puede parchear esta semana, necesita un orden de trabajo. Ordenar por puntuación CVSS parece objetivo, pero responde a la pregunta equivocada. Combinarla con EPSS, el catálogo KEV y el contexto de sus propios activos da una respuesta mucho mejor.
Qué mide CVSS y qué no
El Common Vulnerability Scoring System (CVSS), que mantiene FIRST, describe la gravedad de una vulnerabilidad. La puntuación base refleja las características intrínsecas de la vulnerabilidad y supone un peor caso razonable en todos los entornos en los que podría estar desplegada. La guía de usuario de CVSS v4.0 de FIRST es explícita: las puntuaciones base miden la gravedad y «no deben usarse por sí solas para evaluar el riesgo».
Sin embargo, la puntuación base suele ser lo único que se obtiene. La misma guía señala que los responsables de los productos y la National Vulnerability Database de EE. UU. suelen publicar solo puntuaciones base. Añadir información sobre las amenazas actuales y sobre su propio entorno queda en sus manos.
Un vector CVSS muestra cómo se ha construido la puntuación. Por ejemplo:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8, Critical)Se lee así: accesible por la red, complejidad baja, sin necesidad de privilegios ni de interacción del usuario, impacto alto en la confidencialidad, la integridad y la disponibilidad. No dice nada de si alguien la está explotando ni de si el sistema afectado de su red está siquiera expuesto.
CVSS v3.1 y v4.0 de un vistazo
CVSS v4.0 se publicó en noviembre de 2023. Ambas versiones usan los mismos tramos cualitativos: baja de 0,1 a 3,9; media de 4,0 a 6,9; alta de 7,0 a 8,9, y crítica de 9,0 a 10,0. Durante un tiempo verá las dos versiones en los avisos de seguridad.
| Aspecto | CVSS v3.1 | CVSS v4.0 |
|---|---|---|
| Grupos de métricas | Base, temporal, de entorno | Base, de amenaza, de entorno, suplementarias |
| Información sobre exploits | Grupo temporal con tres métricas | Grupo de amenaza solo con la madurez del exploit (Exploit Maturity) |
| Impacto más amplio | Métrica de alcance (Scope) | Impactos separados en el sistema vulnerable y en los sistemas posteriores |
| Condiciones del ataque | Complejidad del ataque | Complejidad del ataque más una nueva métrica de requisitos del ataque (Attack Requirements) |
| Interacción del usuario | Ninguna o requerida | Ninguna, pasiva o activa |
| Etiquetado | Una sola puntuación | CVSS-B, CVSS-BT, CVSS-BE o CVSS-BTE, según los grupos utilizados |
Las etiquetas de la v4.0 son útiles. Una puntuación marcada como CVSS-B es solo una puntuación base, así que sabe que no se han tenido en cuenta ni la amenaza ni el entorno. Las métricas suplementarias, como si la explotación puede automatizarse, añaden contexto sin cambiar la puntuación.
EPSS: ¿qué probabilidad hay de que se explote?
El Exploit Prediction Scoring System (EPSS), que también gestiona FIRST, estima la probabilidad de que una CVE publicada se explote en el mundo real en los próximos 30 días. Las puntuaciones van de 0 a 1 y se publican a diario para todas las CVE, de forma gratuita, como descarga CSV y a través de una API.
La guía de usuario de FIRST sugiere combinar EPSS y CVSS en un sencillo cuadrante:
| CVSS bajo | CVSS alto | |
|---|---|---|
| EPSS alto | Probable que se explote, limitada por sí sola; compruebe si puede encadenarse | Parchear primero |
| EPSS bajo | En general puede dejarse para más adelante | Grave, pero con menos probabilidad de explotación; vigile si cambia |
La guía es igual de clara sobre los límites. EPSS solo cubre la parte de amenaza del riesgo, así que «nunca debe tratarse como una puntuación de riesgo». No sabe qué sistemas utiliza usted, cuán expuestos están ni qué datos contienen. Además, una puntuación baja nunca significa cero.
KEV: ¿ya se está explotando?
El catálogo Known Exploited Vulnerabilities (KEV) de CISA enumera las vulnerabilidades con pruebas fiables de explotación en el mundo real. Una vulnerabilidad solo se añade cuando se cumplen tres condiciones:
- tiene un identificador CVE
- hay pruebas fiables de explotación activa; los escaneos, las investigaciones y el código de prueba de concepto no bastan por sí solos
- hay instrucciones claras para corregirla, como una actualización del fabricante
La Binding Operational Directive 22-01 obliga a las agencias civiles federales de EE. UU. a corregir las entradas del KEV en unos plazos fijados. Las demás organizaciones no están obligadas, pero CISA recomienda encarecidamente que todo el mundo dé prioridad a las entradas del KEV en su gestión de vulnerabilidades.
Las organizaciones europeas tienen una segunda fuente. La Base de Datos Europea de Vulnerabilidades (EUVD) de ENISA, operativa desde mayo de 2025 en el marco de la Directiva NIS2, incluye un panel de vulnerabilidades explotadas. Se alimenta automáticamente de los datos de CVE, los avisos de los fabricantes y el catálogo KEV.
Un método sencillo de priorización
Use KEV y EPSS para decidir qué urgencia tiene algo, y el conocimiento de sus propios activos para decidir dónde importa. Los niveles siguientes son un punto de partida que proponemos, no una norma. Ajuste los plazos a su capacidad y a su apetito de riesgo.
| Nivel | Condición | Objetivo sugerido |
|---|---|---|
| 1 | En el KEV o marcada como explotada en la EUVD, en un sistema expuesto a internet o crítico para el negocio | Días, con medidas de mitigación si aún no es posible parchear |
| 2 | En el KEV en sistemas internos, o EPSS alto en un sistema expuesto | Próximo ciclo de parches, en unas dos semanas |
| 3 | CVSS alto o crítico con EPSS bajo, sin exposición | Ciclo mensual normal; vuelva a comprobar EPSS y KEV con regularidad |
| 4 | Todo lo demás | Mantenimiento rutinario, o aceptar el riesgo y dejar constancia del motivo |
El contexto de los activos es lo que convierte una puntuación en una decisión. Hágase tres preguntas sobre cada sistema: ¿es accesible desde internet?, ¿qué datos o accesos contiene? y ¿cuánto costaría una interrupción? En términos de CVSS, son sus métricas de entorno.
Un ejemplo ilustrativo
Imagine dos hallazgos el mismo día. El primero tiene una puntuación de 9,8, en un servidor de pruebas interno sin datos sensibles, con una puntuación EPSS baja y sin entrada en el KEV. El segundo es una escalada de privilegios local de 7,8 que figura en el catálogo KEV y está presente en todos los portátiles de la plantilla.
Ordenar por puntuación coloca el primero arriba. El método anterior pone primero el segundo. Se está explotando, y está en todos los portátiles, donde un solo correo de phishing que tenga éxito puede dar a un atacante el punto de apoyo que necesita. El servidor de pruebas también se corrige, en el ciclo normal.
Por dónde empezar
- Asegúrese de que su escáner o su inventario de activos registra el identificador CVE de cada hallazgo.
- Incorpore las puntuaciones EPSS diarias y la lista KEV, o use una herramienta que ya lo haga.
- Etiquete los activos según su exposición y su importancia para el negocio, aunque sea solo como «expuesto a internet» y «crítico».
- Acuerde con la dirección los plazos objetivo de cada nivel y haga su seguimiento.
- Cuando un aviso solo indique un vector, interprételo con nuestra calculadora CVSS y ajústelo a su entorno.
Si prefiere que esto se haga de forma continua, nuestro servicio de seguridad gestionada puede encargarse por usted del seguimiento y la priorización de las vulnerabilidades.
