Cuando sale un aviso de seguridad sobre WordPress, un plugin o PHP, viene con una sopa de siglas: un CVE, una puntuación CVSS, a veces la etiqueta «KEV»… Lo que de verdad necesitas saber cabe en tres preguntas: ¿me afecta?, ¿es grave?, ¿lo están usando ya para atacar? Esta guía explica qué te dice cada dato y qué no.
El identificador CVE: el nombre del fallo
Un CVE (por ejemplo, CVE-2026-12345) es el identificador público de una
vulnerabilidad concreta. Lo gestiona el programa CVE, cuya misión es
identificar y catalogar las vulnerabilidades que se hacen públicas, con un
registro por cada una.
Los identificadores no los pone una sola organización: los asignan las CNA (CVE Numbering Authorities), organizaciones autorizadas por el programa para dar números CVE dentro de su ámbito. Pueden ser fabricantes, proyectos de código abierto, investigadores, equipos de respuesta a incidentes o plataformas de recompensas por fallos.
Para qué te sirve: es la forma de saber que dos avisos hablan del mismo fallo. Si tu hosting te avisa de un CVE y un blog habla de otro número, son cosas distintas.
Lo que no te dice: ni la gravedad ni si te afecta. Un CVE es sólo un nombre.
La puntuación CVSS: cómo de grave es en abstracto
CVSS es el sistema con el que se puntúa la gravedad técnica de una vulnerabilidad, de 0 a 10. Lo mantiene FIRST (first.org). Las etiquetas son las mismas en la versión 4.0 (la actual) y en la 3.1 (que todavía usan muchos avisos):
| Puntuación | Gravedad |
|---|---|
| 0.0 | Ninguna |
| 0.1 – 3.9 | Baja |
| 4.0 – 6.9 | Media |
| 7.0 – 8.9 | Alta |
| 9.0 – 10.0 | Crítica |
La cifra que ves casi siempre es la puntuación base, que mide las características propias del fallo: si se puede atacar desde internet, si hace falta estar dentro de la web con un usuario, qué podría conseguir el atacante. La propia FIRST recomienda no quedarse sólo con ella y completarla con lo que pasa en el mundo real (si hay ataques) y con tu entorno concreto.
Un ejemplo de por qué importa: un fallo «crítico» en una función que tu web no tiene activada puede preocuparte menos que uno «medio» que cualquiera puede explotar desde fuera sin usuario.
«Se está explotando»: el catálogo KEV de CISA
CISA, la agencia de ciberseguridad de Estados Unidos, mantiene el catálogo KEV (Known Exploited Vulnerabilities): la lista de vulnerabilidades que se sabe que se están usando en ataques reales. Para entrar en él, una vulnerabilidad tiene que cumplir tres condiciones:
- Tener un identificador CVE.
- Que haya pruebas fiables de que se está explotando activamente.
- Que exista una forma clara de corregirla, normalmente una actualización.
Que alguien publique una prueba de concepto o que se vean escaneos buscando el fallo no basta para entrar: hace falta explotación real. Por eso en Bastion Radar sólo decimos «se está explotando» cuando la vulnerabilidad está en el KEV. Si está ahí y te afecta, actualizar pasa a ser lo primero de la lista.
La probabilidad EPSS: lo que puede pasar pronto
EPSS, también de FIRST, estima la probabilidad de que una vulnerabilidad se explote en los próximos 30 días. No mide la gravedad, sino lo probable que es un ataque. Sirve para ordenar: entre dos fallos parecidos, el de EPSS más alto merece ir antes.
Versión afectada y versión corregida
El dato que de verdad responde a «¿me afecta?» es el rango de versiones. Un aviso suele decir algo así como «afecta a las versiones anteriores a la 2.4.1». En el formato oficial de los registros CVE, un rango tiene un principio y un límite: si el límite es «anterior a», esa versión ya no está afectada (y suele ser la que trae la corrección); si es «hasta e incluida», sí lo está. Las versiones que el registro no menciona quedan, si no se dice otra cosa, como desconocidas.
En la práctica:
- Si tu versión es igual o posterior a la corregida, estás a salvo de ese fallo concreto.
- Si es anterior, estás afectado: actualiza.
- Si el aviso no da versiones claras, no se puede confirmar ni lo uno ni lo otro. En el radar lo decimos así, «no se puede confirmar», en vez de suponer.
Cómo lo usamos en el radar
Cada ficha del radar junta estos datos de sus fuentes: el CVE, la gravedad CVSS, si está en el KEV, la probabilidad EPSS y las versiones afectadas y corregidas. Con ellos calculamos una relevancia que cualquiera puede rehacer; la tabla está en Cómo funciona. Y para la pregunta que más importa, la de si te afecta, tienes Comprueba si te afecta: pones la tecnología y tu versión y te dice qué vulnerabilidades conocidas tiene.