Clasificación de CVE
Un escáner te entrega cuatrocientos identificadores CVE y una columna de gravedad que llama críticos a casi todos. Esta mesa ordena la lista por lo que realmente se está explotando: el catálogo KEV de CISA para la explotación conocida, las puntuaciones EPSS de FIRST para la probabilidad de explotación y CVSS para el impacto —cada dato impreso junto a la prioridad que produjo, para que el orden sea auditable y no un número mágico—.
Aún no se han encontrado identificadores CVE en la entrada.
¿Trabajas con una cola de parches cada semana? Vigila tus sitios gratis con myeventwatch — alertas de caducidad y caídas, sin tarjeta.
Cómo funciona la clasificación
Cada identificador se busca en tres fuentes y recibe una banda de prioridad según la primera regla que cumple. P1 es pertenecer al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA: no son predicciones —CISA solo incluye un CVE con pruebas de explotación activa—, así que una entrada KEV supera a todo lo demás, y la tabla muestra su fecha límite de corrección y si CISA marca un uso conocido de ransomware. P2 es una puntuación EPSS de 0,10 o más: EPSS, mantenido por FIRST, modela la probabilidad de que un CVE sea explotado en los próximos 30 días, y 0,10 es alto —la gran mayoría de los CVE puntuados están por debajo de 0,01, por eso también se muestra la columna de percentil, para que la puntuación bruta se mantenga honesta—. P3 es una puntuación base CVSS de 7,0 o más (Alta o Crítica) sin señal de explotación: grave si se usa, sin que se sepa que se use. P4 es todo lo demás que tiene datos. Dentro de una banda, las filas se ordenan por EPSS y luego por CVSS —y cada cabecera de columna vuelve a ordenar la tabla, porque tu cola puede diferir legítimamente del orden por defecto—. Lo que la banda nunca hace es ocultar sus datos: si no estás de acuerdo con la prioridad de una fila, los números de los que salió están en la misma línea.
De dónde vienen los datos y qué tan frescos son
El catálogo KEV y las puntuaciones EPSS se guardan en caché a diario en el servidor de sysosx —ambos editores publican un archivo en lote al día, así que la mesa descarga esos archivos una vez al día y tu consulta lee las copias locales—. La cabecera del resultado indica la fecha propia de cada fuente (la fecha de publicación del catálogo, la fecha de puntuación EPSS) y cuándo se obtuvo, para que siempre sepas qué día de datos ordenó tu lista. CVSS es la excepción: ni KEV ni EPSS lo incluyen, así que las puntuaciones vienen de la NVD —se obtienen una vez, la primera vez que se busca un CVE, y se guardan en caché de forma permanente en el servidor, porque una puntuación CVSS publicada no cambia—. Un pegado muy reciente puede mostrar por tanto algunas puntuaciones como pendientes: eso significa que la caché aún no ha llegado a esos identificadores, no que carezcan de puntuación —vuelve a ejecutar la lista poco después y se completarán—. Las consultas nuevas se limitan por visitante como las demás comprobaciones del servidor, y repetir el mismo pegado se sirve desde una caché breve. Por debajo, la página llama a GET /api/check/cve-triage en el servidor de sysosx con los identificadores extraídos.
Lo que esta mesa no puede decirte
Tres límites honestos. Primero, «No está en los datos en caché de hoy» es una ausencia en tres conjuntos de datos, no un veredicto: no es explotado conocido, no tiene puntuación EPSS y la NVD no tiene registro —puede seguir siendo nuevo, discutido o puntuado con otro identificador, y merece una revisión manual en lugar de un encogimiento de hombros—. Segundo, los datos de explotación hablan del CVE en el mundo, no de tu activo: un P4 en un servidor expuesto a internet puede superar a un P1 en una caja de pruebas aislada, y solo tú sabes cuál es cuál —clasifica primero el lote expuesto a internet, que es también por qué la mesa acepta 200 identificadores cada vez en lugar de fingir que una clasificación sirve para todo un parque—. Tercero, la inclusión en KEV va por detrás de la explotación y EPSS es un modelo, no un oráculo; ambos son pruebas mucho mejores que la gravedad sola, y ninguno sustituye leer el aviso del proveedor para los P1. El razonamiento tras la clasificación —y un ejemplo resuelto— está en clasificar los CVE por explotación, no solo por gravedad.
Herramientas relacionadas: el escáner de puertos para saber qué servicios expone realmente un host (la mitad de activo de cada decisión sobre CVE), la comprobación de salud del sitio para el certificado, la caducidad y los registros del mismo host, y el calificador SSL cuando el hallazgo es una configuración TLS y no un CVE.
Preguntas frecuentes
¿De dónde vienen los datos y qué tan frescos son?
Tres fuentes públicas, cada una etiquetada con su fecha en el resultado. El catálogo de vulnerabilidades explotadas conocidas de CISA y las puntuaciones diarias EPSS de FIRST se descargan al servidor de sysosx una vez al día y se guardan en caché allí —tu consulta lee la copia local, no consulta a CISA ni a FIRST en vivo—. Las puntuaciones CVSS vienen de la NVD: la primera consulta de un CVE lo obtiene una vez y lo guarda en caché de forma permanente, porque una puntuación CVSS publicada no cambia. Si una puntuación dice «pendiente», la caché aún no ha llegado a ese CVE —vuelve a ejecutar la lista en un minuto y se completará—.
Un CVE de mi escáner falta o muestra «no está en los datos en caché de hoy». ¿Es seguro?
No hay ninguna conclusión así disponible, y la página no fingirá lo contrario. «No encontrado» significa solo que el identificador no aparece en ninguna de las fuentes en caché de hoy —no está en el catálogo KEV, no tiene puntuación EPSS en el archivo actual y la NVD no tiene registro CVSS de él—. Cada día aparecen CVE nuevos, EPSS solo puntúa los CVE que ha modelado, y un CVE puede ser real, grave y simplemente demasiado nuevo para cualquiera de las tres. Trata las filas que faltan como «clasificar a mano», no como «ignorar».
¿Por qué un CVSS 9,8 queda por debajo de un CVSS 7,5?
Porque la clasificación es por explotación, no por impacto. El 7,5 está en el catálogo KEV: se sabe que los atacantes lo están usando, así que es P1. El 9,8 tiene una puntuación EPSS alta o ninguna —grave si se explota, pero sin pruebas de que nadie lo esté explotando todavía—. La gravedad te dice lo mala que sería una brecha; KEV y EPSS te dicen lo probable que es un intento. El orden de parcheo debe seguir primero la probabilidad y usar la gravedad como desempate, que es lo que codifican las bandas P1–P4. El artículo enlazado más abajo desarrolla el razonamiento completo.
¿Qué significan exactamente las bandas de prioridad?
P1: el CVE está en el catálogo KEV de CISA —explotado conocido, parchea ahora y fíjate en la columna de fecha límite KEV—. P2: no está en KEV, pero su puntuación EPSS es de 0,10 o más —una probabilidad modelada del 10 % o más de explotación en los próximos 30 días, un aire muy enrarecido (mucho menos del 1 % de los CVE puntuados)—. P3: ninguna de las dos cosas, pero una puntuación base CVSS de 7,0 o más (Alta o Crítica). P4: tiene datos pero no cumple ningún umbral —prográmalo con normalidad—. Cada dato tras la banda se imprime en su propia columna; la banda es un orden de clasificación, no una puntuación que debas aceptar por fe.
¿Puedo clasificar más de 200 CVE?
La mesa acepta 200 identificadores por consulta —pega la lista en dos lotes—. Ese límite evita que una petición monopolice el comprobador, y en la práctica una exportación de escáner es más útil dividida por grupo de activos de todos modos: clasifica primero el lote expuesto a internet, porque el mismo CVE es una emergencia distinta en un servidor público que en una estación de trabajo aislada.