¿Qué es un CVE? Significado, CVSS y cómo leer un número CVE

Cada día se publican decenas de vulnerabilidades nuevas. Sin un nombre común, cada fabricante, escáner e investigador llamaría de forma distinta al mismo fallo, y nadie sabría si "el fallo de Citrix" que menciona tu proveedor es el del aviso del CERT. Para eso existe CVE. En este artículo verás cómo funciona el sistema, cómo leer un número CVE y su puntuación, y cómo decidir qué CVE parcheas esta semana y cuáles pueden esperar.

¿Qué es exactamente un CVE?

CVE son las siglas de Common Vulnerabilities and Exposures: un registro mundial de vulnerabilidades conocidas públicamente, cada una con un identificador único y una descripción breve. El programa existe desde 1999 y lo gestiona MITRE. Un registro CVE dice qué vulnerabilidad es y en qué producto; no contiene puntuación, exploit ni instrucciones de corrección. Esa información viene de otras fuentes que remiten al mismo identificador: el aviso del fabricante, la National Vulnerability Database (NVD) del NIST con la puntuación CVSS, la base de datos europea EUVD de ENISA y los avisos de los CERT nacionales.

¿Cómo se lee un número CVE?

Un identificador CVE tiene siempre la misma estructura: CVE-AAAA-NNNNN.

• AAAA es el año en que se asignó o publicó el identificador. No es necesariamente el año en que se descubrió la vulnerabilidad ni en que se escribió el software.
• NNNNN es un número de secuencia de al menos cuatro cifras; desde 2014 pueden ser cinco o más. El número de secuencia no dice nada sobre la gravedad.

Ejemplo: CVE-2026-35273 es una vulnerabilidad en Oracle PeopleSoft publicada en 2026 y explotada como zero-day. Qué suponía y qué había que hacer lo describimos en Oracle PeopleSoft bajo ataque activo. El número por sí solo te dice únicamente: esta es la vulnerabilidad de la que habla todo el mundo.

CVE, CVSS y "explotada activamente": tres cosas distintas

La mayor parte de la confusión viene de mezclar tres conceptos. Cada uno responde a una pregunta diferente:

CVSS: la gravedad

El Common Vulnerability Scoring System da una puntuación de 0 a 10 según, entre otros factores, el vector de ataque (por internet o solo en local), la complejidad, los privilegios necesarios y la interacción del usuario, y el impacto en confidencialidad, integridad y disponibilidad. Las bandas: baja de 0,1 a 3,9, media de 4,0 a 6,9, alta de 7,0 a 8,9 y crítica de 9,0 a 10,0. Un 9,8 suele significar: explotable en remoto, sin autenticación, con toma de control total como resultado. CVSS, sin embargo, no dice nada sobre la probabilidad de que alguien lo intente contigo.

Explotada activamente: la urgencia

De los miles de CVE que se publican cada año, solo una pequeña parte se explota de verdad. Ese grupo marca tu prioridad. Tres fuentes ayudan: el catálogo Known Exploited Vulnerabilities de CISA recoge vulnerabilidades con explotación confirmada; EPSS (Exploit Prediction Scoring System), de FIRST, estima por CVE la probabilidad de explotación en los próximos treinta días; y los avisos de los CERT nacionales (en España CCN-CERT e INCIBE-CERT) valoran probabilidad e impacto por vulnerabilidad. Un CVE de gravedad media explotado activamente en un sistema expuesto a internet va antes que un CVE crítico sin explotación conocida en un sistema interno.

¿Quién asigna los números CVE?

No MITRE directamente, sino una red de CVE Numbering Authorities (CNA): fabricantes de software, organizaciones de investigación, plataformas de bug bounty y CERT nacionales autorizados a emitir identificadores para sus propios productos o ámbito. Por encima están las "raíces", que admiten y acompañan a las CNA. Durante mucho tiempo esa estructura fue casi exclusivamente estadounidense y financiada por el Gobierno de EE. UU. Desde noviembre de 2025 ENISA es CVE Root para las organizaciones europeas; en agosto de 2026 había veinte CNA bajo ese paraguas europeo.^[1] Europa tiene así su propia puerta de entrada al sistema y, con la EUVD, su propia base de datos.

¿Dónde consultas un CVE?

• cve.org: el registro oficial del programa CVE, con la descripción, los productos afectados y las referencias.
• NVD (nvd.nist.gov): la base de datos estadounidense que enriquece los CVE con puntuaciones CVSS, tipos de debilidad (CWE) e identificadores de producto (CPE).
• EUVD (euvd.enisa.europa.eu): la base de datos europea de vulnerabilidades de ENISA, operativa desde mayo de 2025, con el estado de explotación y los parches disponibles por vulnerabilidad, incluidas las notificaciones recibidas bajo el Cyber Resilience Act.^[2]
• Avisos del CERT nacional: una valoración local de probabilidad e impacto y qué hacer.
• El aviso del fabricante: la única fuente con las versiones afectadas exactas y el parche.
• CISA KEV: si la vulnerabilidad se está explotando de forma demostrable.

Los escáneres de vulnerabilidades, las plataformas EDR y las herramientas de parcheo usan los mismos identificadores, de modo que un hallazgo de tu escáner enlaza directamente con el aviso del CERT y el parche del fabricante.

¿Qué CVE parcheas primero?

Nadie puede parchear todos los CVE de inmediato, y nadie tiene que hacerlo. Un orden práctico:

1. Explotado activamente y accesible desde internet: ya, fuera de la ventana de parcheo si hace falta.
2. Explotado activamente, solo interno: esta semana, con medidas compensatorias mientras tanto.
3. CVSS crítico o alto, sin explotación conocida: en la ventana de parcheo habitual, primero los sistemas expuestos.
4. Medio y bajo: agrupados, según el impacto en el negocio.
5. No parcheable (fin de vida, legacy, OT): aislar, monitorizar y documentar el riesgo residual.

Esa valoración es exactamente lo que hace de forma continua la gestión continua de vulnerabilidades de DEFION: escanear, priorizar por CVSS, EPSS y explotación activa, corregir y validar. Y para las vulnerabilidades que aún no tienen número CVE porque están en tu propia aplicación no hay base de datos; esas solo las encuentras con un pentest.

Los CVE y la ley

Dos normas europeas convierten la gestión de vulnerabilidades en una obligación. NIS2 y sus transposiciones nacionales incluyen "la gestión y divulgación de vulnerabilidades" entre las medidas del deber de diligencia de las entidades esenciales e importantes. Y el Cyber Resilience Act obliga a los fabricantes de productos con elementos digitales, desde el 11 de septiembre de 2026, a notificar en 24 horas las vulnerabilidades explotadas activamente en sus productos a través de la plataforma de notificación de ENISA. Si fabricas software o dispositivos, necesitas un proceso de notificación además de un proceso de parcheo.

Preguntas frecuentes

¿Qué es un CVE?

Un CVE (Common Vulnerabilities and Exposures) es un identificador único para una vulnerabilidad conocida públicamente en software o hardware, con el formato CVE-año-número, por ejemplo CVE-2026-35273. El identificador garantiza que fabricantes, escáneres, investigadores y administraciones hablen de la misma vulnerabilidad.

¿Cómo se lee un número CVE?

CVE-2026-35273: el año es el año en que se asignó o publicó el identificador, no necesariamente el año en que se descubrió la vulnerabilidad. El número de secuencia tiene al menos cuatro cifras y no dice nada sobre la gravedad. La gravedad la lees en la puntuación CVSS y, sobre todo, en si se conoce explotación activa.

¿Cuál es la diferencia entre CVE y CVSS?

CVE es el nombre, CVSS la gravedad. CVSS (Common Vulnerability Scoring System) da una puntuación de 0 a 10: baja (0,1 a 3,9), media (4,0 a 6,9), alta (7,0 a 8,9) y crítica (9,0 a 10,0). Un CVE recibe su puntuación CVSS del fabricante o de bases de datos como la NVD.

¿Qué significa "explotada activamente"?

Que hay pruebas de que los atacantes la usan en ataques reales. La agencia estadounidense CISA mantiene para ello el catálogo Known Exploited Vulnerabilities, los CERT nacionales (en España el CCN-CERT e INCIBE-CERT) valoran probabilidad e impacto en sus avisos, y EPSS estima la probabilidad de explotación en los próximos treinta días. Un CVE explotado activamente se parchea primero, sea cual sea su CVSS.

¿Dónde consulto un CVE?

En cve.org (el programa CVE que gestiona MITRE), en la National Vulnerability Database del NIST para la puntuación CVSS, en la base de datos europea de vulnerabilidades EUVD de ENISA, en los avisos de tu CERT nacional y en el aviso del propio fabricante. Los escáneres de vulnerabilidades enlazan sus hallazgos a los mismos identificadores.

¿Quién asigna los números CVE?

Las CVE Numbering Authorities (CNA): fabricantes, organizaciones de investigación y CERT autorizados a emitir identificadores para sus propios productos o ámbito. MITRE gestiona el programa. Desde noviembre de 2025 ENISA es CVE Root para las organizaciones europeas, de modo que las CNA europeas dependen de un paraguas europeo.

¿Tengo que parchear todos los CVE?

No: tienes que evaluar cada CVE relevante y corregir primero los peligrosos. Prioriza por explotación activa, exposición a internet, CVSS e impacto en el negocio, y documenta medidas compensatorias para lo que no puedas parchear. Bajo NIS2 y sus transposiciones, la gestión de vulnerabilidades forma parte del deber de diligencia, y bajo el Cyber Resilience Act los fabricantes deben notificar en 24 horas las vulnerabilidades explotadas activamente en sus productos desde el 11 de septiembre de 2026.

Fuentes

1. ENISA. ENISA scales up its role in the CVE Program.
2. ENISA. European Vulnerability Database (EUVD); MITRE, CVE Program; NIST, National Vulnerability Database; CISA, Known Exploited Vulnerabilities Catalog; FIRST, CVSS y EPSS; CCN-CERT, avisos de seguridad.