[■]Cómo funciona
Un método que se puede comprobar
Bastion Radar no opina: junta lo que publican fuentes de referencia, lo ordena y te lo cuenta en español. Aquí está todo el proceso, con los mismos números que usa el radar.
[01]
Las fuentes
Usamos sólo catálogos públicos cuyas condiciones de uso hemos leído antes de tocar un dato. Cada uno se consulta a su ritmo, nunca más a menudo de lo que cambia ni de lo que permite. La última consulta fue el 14 nov. 2026, 11:38.
-
Cada 3 horas
CISA Known Exploited Vulnerabilities
Qué vulnerabilidades se están explotando de verdad y si se han usado en campañas de ransomware.
Licencia: CC0 1.0
-
Cada 2 horas
NVD (NIST)
La gravedad (CVSS), el tipo de fallo (CWE) y las versiones afectadas de cada CVE.
Licencia: NVD API Terms of Use
-
Con las demás
CVE Program (MITRE)
El identificador común (CVE-AAAA-NNNN) que une lo que dicen las demás. Llega a través de ellas.
Licencia: CVE Terms of Use
-
Dos veces al día
Wordfence Intelligence (Defiant)
Las vulnerabilidades de WordPress, sus plugins y sus temas.
Licencia: Wordfence Intelligence Terms and Conditions (26-01-2026)
-
Una vez al día
FIRST EPSS
La probabilidad de que una vulnerabilidad se explote en los próximos 30 días.
Licencia: Uso libre, atribución solicitada
-
Cada 6 horas
GitHub Advisory Database
Los avisos de los paquetes de PHP que se instalan con Composer.
Licencia: CC BY 4.0
[02]
Un problema, un expediente
El mismo fallo aparece en varias fuentes, con nombres distintos (un CVE, un aviso de GitHub…) y días de diferencia. Cuando dos registros comparten identificador, son el mismo expediente: se juntan y se recalcula todo. Hoy el radar lleva 51.301 expedientes.
- Identificadores
- Todos los nombres del fallo: CVE, GHSA y los que usen las fuentes.
- Versiones afectadas
- Los tramos que da cada fuente. Si dos no coinciden, se enseñan los dos, cada uno con la suya.
- Versión corregida
- A qué versión hay que subir, por rama cuando la fuente lo distingue.
- Gravedad
- La puntuación CVSS y su etiqueta: crítica, alta, media o baja.
- Explotación
- Si CISA la tiene como explotada (KEV) y la probabilidad EPSS.
- Cronología
- Cuándo se publicó, cuándo se supo que se explotaba, cuándo cambió.
- Título
- Lo armamos nosotros con los datos —«inyección SQL en MariaDB»—, nunca copiado de la fuente.
[03]
La relevancia, de 0 a 100
Para ordenar lo que importa usamos una suma sencilla a propósito: cualquiera puede rehacer la cuenta de un expediente con esta tabla. Una vulnerabilidad crítica en algo que nadie usa pesa menos que una alta que ya se está explotando en WordPress.
| Si el expediente… | Puntos |
|---|---|
| Toca una tecnología vigilada | +40 |
| Se está explotando (CISA KEV) | +30 |
| └ …y se ha usado en campañas de ransomware | +5 |
| Probabilidad de explotación (percentil EPSS × 15) | ≤ +15 |
| Gravedad crítica (9 o más) | +10 |
| Gravedad alta (7 o más) | +6 |
| Gravedad media (4 o más) | +3 |
Se recalcula cada vez que una fuente cambia el expediente, y el total nunca pasa de 100.
[04]
¿Me afecta? Tres respuestas, no dos
Cuando escribes tu versión en «Comprueba si te afecta», la comparamos con cada tramo de cada fuente. Las fuentes no siempre dan las versiones de una forma comparable, así que hay una tercera respuesta.
Tu versión cae dentro de un tramo afectado. Te decimos a qué versión subir, la de tu rama si existe.
La fuente da las versiones de forma que no se pueden comparar con la tuya. No decimos ni que sí ni que no: revisa la ficha.
Ninguna vulnerabilidad conocida por nuestras fuentes afecta a tu versión. No es una garantía: es lo que se sabe hoy.
[05]
Lo que el radar no hace
Saber dónde acaba una herramienta es parte de usarla bien.
-
No escanea tu web. Compara la versión que tú escribes con lo publicado. No entra en tu servidor ni prueba nada contra él.
-
No sabe lo que nadie ha publicado. Un fallo que aún no está en ninguna fuente no aparece. Tener la última versión sigue siendo lo más seguro.
-
No exagera. Una reivindicación en un foro no es un ataque confirmado. «Se está explotando» sólo sale cuando CISA lo incluye en su catálogo.
-
No guarda lo que escribes. Las herramientas públicas son formularios sin cuenta. «Mi stack» se recuerda en tu navegador, no en nuestro servidor.