Cómo priorizar CVEs: más allá del score CVSS
Más de 6.000 CVEs publicadas por mes. Un score CVSS 9.0+ no significa que alguien las esté explotando. El desafío real es filtrar urgencia del ruido — y eso requiere cruzar datos que el CVSS solo no cubre.
El problema del CVSS como criterio único
El CVSS evalúa severidad técnica — impacto potencial si la vulnerabilidad es explotada. No evalúa probabilidad de explotación, exposición real de su entorno, o si hay parche disponible. Una CVE con CVSS 10.0 en un producto que usted no usa es irrelevante.
Framework de priorización: 4 capas
1
¿Explotación activa? (CISA KEV)
Si la CVE está en el catálogo CISA KEV → prioridad cero. Remediación inmediata, sin esperar ventana.
2
¿Exposición real?
¿Usa el producto afectado? ¿El componente vulnerable está accesible en su arquitectura?
3
¿Exploit público disponible?
GitHub Advisories, Exploit-DB y Metasploit indican si la vulnerabilidad tiene herramientas de ataque listas.
4
¿Capacidad de respuesta?
VAIA identifica que hay 0,75 CVE por vacante de seguridad y 248 CVEs críticas pendientes. Si su equipo está por debajo de este ratio, la automatización de triaje es necesaria.
Qué seguir
- →Ratio CVE/analista en su organización vs promedio del mercado (0,75 CVE/vacante). Si está por encima, el triaje manual no escala.
- →Nuevos KEVs en vendors presentes en su stack — la CISA publica actualizaciones continuas.
- →CVEs con exploit público (GitHub Advisories + Exploit-DB) que afectan sus productos — urgencia sin esperar KEV.
- →Tendencia de CVEs por vendor: si un vendor lidera CVEs críticas de forma consistente, la decisión de stack puede necesitar revisión.
Más guías de seguridad