CVE - Cómo se identifican y rastrean las vulnerabilidades

Lectura de 2 min aprox.

CVE (Common Vulnerabilities and Exposures) es una convención de nomenclatura internacional que asigna un identificador único a las vulnerabilidades de seguridad divulgadas públicamente. Compuesto por un año y un número secuencial, como «CVE-2024-12345», permite referenciar con precisión la misma vulnerabilidad entre distintos proveedores y herramientas. La MITRE Corporation comenzó a operarlo en 1999 y, a fecha de 2025, se han registrado en total más de 270.000 CVE, con un número de nuevos registros anuales también en aumento.

Identificar el alcance del impacto con un SBOM

Cuando se divulga un CVE crítico, el primer reto es identificar en qué partes de la organización se usa el producto y la versión afectados. En casos de impacto amplio, como CVE-2024-3094, en el que se introdujo una puerta trasera en xz Utils, la rapidez de esta respuesta inicial puede determinar si se producen daños. Si la información de composición del software se mantiene al día como un SBOM (lista de materiales de software), basta con cotejarla con el número CVE para localizar los puntos afectados; en cambio, las organizaciones sin ese inventario dedican mucho tiempo a la propia investigación. Además, cuando todavía no existe una versión corregida, degradar a una versión anterior no afectada puede ser una medida realista.

El ciclo de vida de un CVE

Historia y funcionamiento

Antes de que existiera el sistema CVE, cada proveedor asignaba un nombre diferente a la misma vulnerabilidad, lo que generaba confusión en el intercambio de información. Los números CVE los emiten organismos acreditados llamados CNA (CVE Numbering Authority). Proveedores importantes como Google, Microsoft y Red Hat tienen la autoridad de asignar números CVE de forma independiente como CNA de sus propios productos. La gravedad de una vulnerabilidad se evalúa con una puntuación CVSS (Common Vulnerability Scoring System) de 0.0 a 10.0, y una puntuación de 9.0 o superior se clasifica como «Critical».

Aplicación práctica

En el trabajo de gestión de parches, las prioridades de respuesta se determinan en función de los números CVE. Es importante realizar un juicio integral que considere no solo la puntuación CVSS, sino también si se ha publicado código de explotación (exploit) y si la vulnerabilidad afecta a tu propio entorno. Consulta periódicamente la información de CVE en la NVD (National Vulnerability Database) y JVN (Japan Vulnerability Notes), y combínala con la inteligencia de amenazas para lograr una respuesta rápida. También es importante proteger el acceso a las herramientas de gestión de vulnerabilidades con una contraseña aleatoria robusta y evitar la manipulación del estado de aplicación de los parches.