¿Qué es CVE (vulnerabilidades y exposiciones comunes)?

Vulnerabilidades y Exposiciones Comunes (CVE) es un sistema estandarizado para identificar y catalogar vulnerabilidades de ciberseguridad conocidas públicamente.

¿Qué significa CVE?

El Sistema de Vulnerabilidades y Exposiciones Comunes (CVE, por sus siglas en inglés) es un sistema de identificación público y estandarizado para vulnerabilidades de ciberseguridad . Cada entrada asigna un identificador único (el identificador CVE) a un problema de seguridad específico y divulgado públicamente. Un registro CVE actúa como una etiqueta de referencia consistente a la que pueden remitirse las herramientas de seguridad, los avisos, las notas de parches y los informes de incidentes, de modo que todos se refieren al mismo fallo subyacente, incluso cuando los proveedores o productos lo describen de forma diferente.

Es importante destacar que una entrada CVE no constituye una puntuación de gravedad ni una solución en sí misma. Se trata de una entrada de índice que suele incluir una breve descripción y referencias a fuentes fiables (como avisos de proveedores o análisis técnicos), lo que permite a las organizaciones rastrear los productos afectados, relacionar el problema con los recursos internos, priorizar la remediación y verificar si están expuestos.

¿Cómo funciona CVE?

CVE funciona convirtiendo una vulnerabilidad reportada en un registro estandarizado al que puede hacer referencia todo el ecosistema de seguridad, de modo que las herramientas y los equipos puedan realizar un seguimiento coherente del mismo problema desde su divulgación hasta su solución. Así es como funciona exactamente:

1. Se encuentra y se informa de una vulnerabilidad potencial. Los investigadores, proveedores o usuarios identifican una falla de seguridad y comparten suficientes detalles para describir qué está afectado y por qué es importante, lo que inicia el proceso de seguimiento formal.
2. Una autoridad de numeración CVE (CNA) revisa el informe. La CNA (a menudo el proveedor o una organización coordinadora) valida que representa una vulnerabilidad distinta y reúne la información mínima requerida para identificarla claramente.
3. Se reserva y asigna un ID CVE. La CNA reserva un identificador único (por ejemplo, CVE-YYYY-NNNNN), que proporciona a todos un identificador estable para referenciar mientras continúan el análisis y la coordinación.
4. La vulnerabilidad está delimitada y documentada. Se aclaran los productos/versiones afectados, la naturaleza de la falla y las referencias confiables, lo que reduce la confusión y ayuda a los consumidores posteriores a mapear el problema a los sistemas reales.
5. El registro CVE se publica en la Lista CVE. La entrada se vuelve visible públicamente en el catálogo central, lo que la hace detectable para herramientas de seguridad y vulnerabilidades. bases de datosy feeds de asesoramiento.
6. La gravedad y la explotabilidad se evalúan en otra parte (a menudo a través de CVSS). Los proveedores, NVD u otras fuentes suelen proporcionar puntuaciones y análisis más completos, lo que ayuda a las organizaciones a priorizar la aplicación de parches aunque sea independiente del ID de CVE en sí.
7. Las organizaciones utilizan el ID CVE para impulsar la remediación y la verificación. Los equipos combinan los CVE con los activos, aplican parches o mitigaciones y luego confirman que se ha resuelto la exposición, utilizando el CVE como referencia común entre escáneres, tickets e informes.

Formato CVE

Un identificador CVE se escribe con el formato CVE-AAAA-NNNNN (a veces la última parte es más larga), donde cada parte ayuda a que el ID sea único y fácil de consultar. Esto es lo que incluye:

• CVE:el prefijo que lo marca como un ID de vulnerabilidades y exposiciones comunes.
• AAAA: el año en que se obtuvo el ID CVE asignado o reservado (no necesariamente el año en que se descubrió o se divulgó públicamente el error).
• NNNNN…: una secuencia numérica que identifica de forma única la vulnerabilidad dentro de ese año. Es al menos cuatro dígitos y puede ser más de cuatro (hoy en día no hay una longitud máxima fija), lo que permite emitir muchos documentos de identidad en un solo año.

Ejemplo: CVE-2024-3094.

¿Cuál es un ejemplo de vulnerabilidad y exposición común?

Un ejemplo bien conocido es Log4Shell (CVE-2021-44228) , una vulnerabilidad crítica de ejecución remota de código en la biblioteca de registro Java Apache Log4j que permitía a los atacantes activar la aplicación para cargar y ejecutar código controlado por el atacante mediante el envío de una cadena especialmente diseñada que Log4j resolvería (a menudo a través de la entrada registrada).

¿Qué se considera una vulnerabilidad y exposición común?

Se asigna un CVE cuando existe una vulnerabilidad específica y relevante para la seguridad que puede describirse y rastrearse claramente como un problema independiente. Normalmente, se trata de un fallo en un producto o código fuente específico que puede explotarse para causar un impacto negativo (por ejemplo, en la confidencialidad, la integridad o la disponibilidad ). Las CNA están autorizadas a asignar identificadores CVE a las vulnerabilidades dentro de su ámbito de aplicación definido y a publicarlos junto con el primer anuncio público.

En la práctica, un problema generalmente se considera admisible cuando cumple todas estas condiciones:

• Representa una vulnerabilidad identificable (no una clase vaga de problemas).
• Hay suficiente información para escribir una descripción significativa y señalar referencias autorizadas.
• Pasa el proceso de decisión de inclusión de la CNA (de lo contrario, puede ser rechazado por no calificar o por estar informado incorrectamente).

Sistema de puntuación de vulnerabilidad común (CVSS)

El Sistema Común de Puntuación de Vulnerabilidades (CVSS, por sus siglas en inglés) es un estándar abierto para describir la gravedad técnica de una vulnerabilidad de forma consistente y generar una puntuación numérica de 0.0 a 10.0, que suele asociarse a etiquetas como Baja/Media/Alta/Crítica . Su objetivo es ayudar a los equipos a comparar vulnerabilidades utilizando el mismo criterio, pero no es lo mismo que el riesgo, ya que este depende del entorno, la exposición y el impacto en el negocio.

CVSS funciona seleccionando valores para un conjunto definido de métricas y combinándolos para obtener una puntuación. En CVSS v3.x, las métricas se agrupan en Base, Temporal y Ambiental. En CVSS v4.0, los grupos son Base, Amenaza, Ambiental y Suplementario, lo que refleja una separación más clara entre "gravedad intrínseca", "factores que cambian con el tiempo" y "su contexto local".

¿Cómo se identifican los CVEs?

Las CVE se identifican mediante un proceso coordinado en el que se revisa un informe de vulnerabilidad real y una organización autorizada le asigna un ID de CVE único , para que todos puedan referirse al mismo problema de forma coherente. Así es como se identifica:

1. Se descubre una vulnerabilidad y se informa al proveedor afectado o a una autoridad de numeración CVE (CNA) (una organización autorizada para asignar identificaciones CVE).
2. La CNA valida y delimita el problema, confirmando que representa una vulnerabilidad distinta y reuniendo suficientes detalles para describirlo y vincularlo a referencias confiables.
3. Se reserva/asigna un ID CVE (por ejemplo, CVE-2026-12345), que crea un identificador estable que las herramientas, los avisos y los tickets pueden usar, incluso mientras aún se están ultimando los detalles.
4. El registro CVE se publica cuando la CNA completa el registro (descripción + referencias), moviéndolo de un estado “RESERVADO” a una entrada pública en la Lista CVE.
5. Si el problema resulta no calificar o se retira por alguna razón, el registro puede marcarse como RECHAZADO en lugar de publicarse como un CVE válido.

Los beneficios y limitaciones de CVE

CVE facilita el seguimiento y la comunicación de vulnerabilidades al asignar a cada problema una identificación coherente que las herramientas, los proveedores y los equipos de seguridad pueden consultar. Al mismo tiempo, CVE es solo un sistema de identificación, por lo que no garantiza una cobertura completa, no proporciona una solución ni refleja el riesgo real de una vulnerabilidad en su entorno específico.

Beneficios de vulnerabilidades y exposiciones comunes

CVE proporciona una forma compartida de referenciar vulnerabilidades, lo que reduce la ambigüedad y agiliza el trabajo de seguridad entre proveedores, herramientas y equipos. Las principales ventajas incluyen:

• Nombres estandarizados en todo el ecosistema. Un único ID de CVE evita la confusión causada por diferentes nombres de proveedores o múltiples descripciones del mismo problema, lo que hace que la comunicación y los informes sean consistentes.
• Seguimiento más sencillo desde el descubrimiento hasta la remediación. Los ID de CVE actúan como identificadores duraderos que puede usar en tickets, notas de parches y auditorías para seguir un problema a través de la investigación, mitigación y verificación.
• Mejor interoperabilidad entre herramientas de seguridad. Escáneres, SIEMLas plataformas SOAR, las CMDB y las bases de datos de vulnerabilidades pueden generar la misma identificación CVE, lo que mejora la correlación y reduce el trabajo duplicado.
• Inteligencia y coordinación de vulnerabilidades más rápidas. Los avisos públicos, los informes de exploits y los boletines de proveedores se pueden vincular a través del registro CVE, lo que ayuda a los equipos a recopilar contexto rápidamente sin tener que buscar múltiples esquemas de nombres.
• Evidencia de auditoría y cumplimiento más clara. Cuando las políticas requieren el seguimiento de vulnerabilidades conocidas, los CVE proporcionan una referencia aceptada que respalda la elaboración de informes y documentación consistentes.
• Entradas de priorización más confiables cuando se combinan con puntuación y contexto. Los identificadores CVE le permiten unir datos como CVSS, actividad de explotación, exposición de activos y criticidad comercial, lo que hace que la priorización de la remediación sea más estructurada.

Vulnerabilidades y exposiciones comunes Limitaciones

La CVE es valiosa para la identificación y la coordinación, pero tiene límites importantes a la hora de priorizar y gestionar el riesgo real. Las limitaciones comunes son:

• CVE es un sistema de identificación, no una clasificación de riesgo. Una entrada CVE no le indica qué tan urgente es para su entorno; aún necesita contexto como exposición, controles de compensación e impacto comercial (a menudo junto con CVSS e información sobre amenazas).
• La cobertura no está garantizada. No todos los problemas de seguridad reciben una CVE, especialmente fallas específicas del producto que no se divulgan públicamente, problemas fuera del alcance de CNA o vulnerabilidades que no cumplen con los criterios de asignación.
• Los detalles del registro pueden ser mínimos o desiguales. Algunas descripciones y referencias de CVE son breves, y la profundidad/calidad de la información varía según el proveedor o la CNA, lo que puede dificultar la evaluación de impacto.
• Las entradas CVE no incluyen correcciones de forma predeterminada. El CVE puede tener vínculos a avisos, pero la disponibilidad de parches, los pasos de mitigación y las soluciones alternativas provienen de proveedores y otras fuentes, pero no del sistema CVE en sí.
• El tiempo puede retrasarse respecto de la actividad del mundo real. Una vulnerabilidad podría ser explotada in situ antes de que se publique un CVE, o un CVE podría estar reservado mucho antes de que estén disponibles todos los detalles, lo que crea brechas para los defensores.
• La granularidad de CVE no siempre coincide con la forma en que se aplica el parche. Un solo CVE puede afectar a muchas versiones/productos, y algunas correcciones abordan múltiples CVE a la vez, por lo que la asignación de “CVE → acción de parche” no siempre es uno a uno.

Preguntas frecuentes sobre CVE

Aquí están las respuestas a las preguntas más frecuentes sobre CVE.

CVE frente a CWE

¿Quién gestiona los CVE?

Los CVE se gestionan a través del Programa CVE, supervisado por la Junta de CVE y operado diariamente por la Secretaría de CVE (actualmente The MITRE Corporation). En la práctica, la mayoría de los identificadores y registros de CVE son creados por una red global de Autoridades de Numeración de CVE (CNA), generalmente proveedores y organizaciones de seguridad autorizados para asignar identificadores de CVE dentro de un alcance definido. La Junta se encarga de la gobernanza del programa y la Secretaría respalda las operaciones, la calidad y la coordinación.

¿Con qué frecuencia se actualizan y publican los CVE?

Los CVE no siguen un ciclo de publicación semanal ni mensual. Se publican continuamente a medida que las Autoridades de Numeración de CVE (CNA) terminan de completar y publicar los registros en la Lista CVE oficial. Los registros CVE individuales pueden actualizarse en cualquier momento si se dispone de nuevos detalles o referencias. Posteriormente, la Base de Datos Nacional de Vulnerabilidades (NVD) de EE. UU. revisa la Lista CVE cada hora para incorporar nuevas publicaciones, rechazos y modificaciones (aunque el análisis adicional de la NVD, como la puntuación y el enriquecimiento, puede aparecer más adelante).

¿Son gratuitos los datos de CVE?

Sí. Los datos CVE son gratuitos y están disponibles públicamente para todos. El Programa CVE ofrece la Lista CVE oficial sin costo de licencia ni restricciones de uso, de modo que organizaciones, proveedores de seguridad, investigadores y particulares puedan usar los ID y registros CVE en herramientas, informes y servicios. Algunas bases de datos de terceros pueden cobrar por análisis de valor añadido (como enriquecimiento, priorización o paneles de control), pero los datos CVE subyacentes son abiertos.