Seguridad
Explotación conocida, riesgo probabilístico y cambios de composición que alteran el triaje.
¿Qué merece triaje primero — y por qué?
Explotación conocida (KEV), probabilidad estimada (EPSS), impacto potencial (CVSS) y composición de debilidades se mantienen separados. La página ayuda a priorizar investigación; no convierte probabilidad en prueba de explotación.
Qué investigar primero
Primero: vulnerabilidades con explotación conocida en CISA KEV. Luego: HIGH/CRITICAL fuera de KEV con EPSS ≥ 50%. La novedad determina el orden antes de EPSS y CVSS — sin score inventado.
Cómo se ordena la cola
Prioridad operativa por NVD × CISA KEV × FIRST EPSS. La primera franja es explotación conocida; la segunda es alta probabilidad sin confirmación en KEV. Orden dentro de cada franja, sin score inventado: primero por ventana de novedad (≤30d, ≤90d, ≤1 año, anterior — una KEV recién añadida cuenta como novedad), luego por EPSS, luego por CVSS. Las clásicas con EPSS alto siguen visibles, pero no ocupan el tope solo por su antigüedad.
Un tipo de falla aparece más entre los casos con alta probabilidad de ataque
CWE-119 aparece en 83 de 391 · 21,2% de los CVE HIGH/CRITICAL con CWE identificada y EPSS ≥ 50% fuera de KEV, frente a 39 de 568 · 6,9% de los CVE comparables en KEV. Es una diferencia de composición, no una predicción de entrada en KEV.
Gravedad de las vulnerabilidades nuevas · 30d
La severidad describe impacto potencial; la prioridad viene del cruce con explotación conocida y probabilidad.
Las franjas suman 14.130 CVE publicadas en 30 días · contexto de volumen, no ranking de riesgo. “Sin CVSS”: registros NVD aún sin análisis de severidad.
Fallas más graves y con mayor probabilidad de ataque
Severidad (CVSS) vs probabilidad predictiva de explotación (EPSS). KEV (rojo) es explotación confirmada.
Fallas que ya se están usando en ataques
Adiciones recientes al catálogo CISA KEV, con fecha de publicación real cuando esté disponible.