Fuera de KEV cambia la composición del riesgo: CWE-119 aparece 3,09× más

En el snapshot EPSS de 11 oct 2026, la intersección NVD × FIRST EPSS × CISA KEV produce dos franjas distintas de revisión: 673 CVE HIGH/CRITICAL ya están en KEV, que registra explotación conocida; otras 422 son HIGH/CRITICAL, están fuera de KEV y tienen EPSS >= 50%. Las franjas no son equivalentes: EPSS es una probabilidad estimada, no prueba de explotación. Por separado, NVD publicó 13,6K CVE en 30 días, +2,0% frente a los 30 días anteriores. CWE-119 representa 21,2% de la franja HIGH/CRITICAL con EPSS >= 50% fuera de KEV frente a 6,9% en KEV (3,09×; FDR q <0,0001). La diferencia es de composición, no una predicción de entrada futura al catálogo.