Leer Priorización y gestión de vulnerabilidades:
CVSS,
SSVC, EPSS y
KEV
Qué es KEV – Catálogo de Vulnerabilidades Explotadas Conocidas
El catálogo de Vulnerabilidades Explotadas Conocidas
(KEV – Known Exploited Vulnerabilities) es una lista mantenida por CISA
(Cybersecurity and Infrastructure Security Agency) de los Estados
Unidos que reúne las vulnerabilidades para las que existe evidencia confiable
de explotación activa. A diferencia de CVSS y EPSS, que expresan severidad y
probabilidad mediante un valor numérico, el KEV es un catálogo binario: una
vulnerabilidad está o no está en la lista.
Su inclusión confirma que la explotación ya no es teórica, sino que actores
maliciosos la están utilizando de forma real, lo que la convierte en una de
las señales de priorización más contundentes disponibles.
Criterios para incluir una vulnerabilidad en el catálogo
Para que una vulnerabilidad se incorpore al catálogo KEV, CISA exige que
cumpla tres condiciones:
- Tener asignado un identificador CVE.
-
Contar con evidencia confiable de explotación activa en entornos reales (in
the wild), y no solo con una prueba de concepto o la mera existencia de un
exploit público. -
Disponer de una acción de remediación clara, como una actualización o parche
del proveedor, o una medida de mitigación indicada por CISA.
El mandato BOD 22-01
El catálogo se creó en noviembre de 2021 en el marco de la Directiva Operativa
Vinculante (BOD) 22-01. Esta directiva obliga a las agencias del poder
ejecutivo civil federal (FCEB) de los Estados Unidos a remediar las
vulnerabilidades listadas dentro de los plazos que CISA fija para cada
entrada. Aunque el mandato solo es de cumplimiento obligatorio para dichas
agencias, CISA recomienda encarecidamente que toda organización —pública o
privada— utilice el KEV como insumo prioritario en su proceso de gestión de
vulnerabilidades.
Cómo se integra con CVSS, EPSS y SSVC
El KEV complementa a los otros sistemas en lugar de reemplazarlos. Mientras el
EPSS estima la probabilidad de que una vulnerabilidad sea explotada, el KEV
confirma que la explotación ya está ocurriendo; por eso, un CVE presente en el
KEV debería tratarse como prioridad máxima aun cuando su puntuación EPSS o
CVSS sea baja.
En un flujo de priorización, el KEV funciona como un filtro de arranque:
cualquier vulnerabilidad del entorno que figure en el catálogo se atiende de
inmediato, y recién después se aplican CVSS, EPSS y SSVC para ordenar el
resto. En el árbol de decisión de SSVC, la presencia en el KEV corresponde al
estado de explotación más alto (active), que empuja la decisión hacia Attend o
Act.
Cómo usarlos en la práctica CVSS | EPSS | SSVC
La combinación de estos tres sistemas permite un enfoque de priorización mucho
más inteligente y eficiente:
-
Utiliza CVSS como punto de partida:
Escanea tu entorno para identificar vulnerabilidades y usa su puntuación
CVSS para tener una idea de la severidad técnica. Las vulnerabilidades con
una puntuación CVSS alta o crítica (7.0-10.0) son un buen punto de partida. -
Añade el contexto del EPSS: De las vulnerabilidades con CVSS alto,
revisa sus puntuaciones EPSS. Una vulnerabilidad con una puntuación CVSS de
9.8 pero un EPSS de 0.01% probablemente no es una prioridad inmediata para
ser parcheada, ya que no se está explotando activamente. Por otro lado, una
vulnerabilidad con un CVSS de 7.5 y un EPSS de 90% debería ser una prioridad
máxima, ya que es probable que sea explotada. -
Aplica el SSVC para la toma de decisiones operativas: Una vez que has
priorizado las vulnerabilidades basándote en la severidad (CVSS) y la
probabilidad de explotación (EPSS), utiliza el marco SSVC para determinar la
acción operativa adecuada. El árbol de decisiones del SSVC te ayudará a
decidir si necesitas parchear inmediatamente, monitorear o aceptar el
riesgo, basándote en el contexto de tu organización (por ejemplo, la
criticidad del sistema afectado).
Esto permite pasar de un enfoque reactivo basado en la gravedad a un enfoque
proactivo y basado en el riesgo real, optimizando el uso de recursos y tiempo.
Conclusión
La priorización de vulnerabilidades es hoy una necesidad operativa: como los
recursos de remediación son limitados y las amenazas evolucionan de forma
dinámica, el problema central no es únicamente detectar debilidades, sino
decidir cuáles atender primero. A lo largo de estos posts se analizaron cuatro
instrumentos complementarios —CVSS, SSVC,
EPSS, y
KEV— que, utilizados en conjunto, permiten pasar de un enfoque reactivo a uno
proactivo, fundamentado en el riesgo real.
Cada marco responde a una pregunta distinta y aporta una capa de información
diferente:
-
CVSS mide la severidad técnica de una vulnerabilidad —qué tan grave sería su
explotación—. Es un punto de partida estandarizado, pero por sí solo resulta
insuficiente, ya que no contempla ni la probabilidad de explotación ni el
contexto del activo afectado. -
EPSS complementa a CVSS incorporando una estimación probabilística, basada
en datos y modelos, de que una vulnerabilidad sea explotada en el corto
plazo. Ayuda a distinguir lo grave de lo verdaderamente urgente. -
SSVC traslada la evaluación a una decisión operativa: mediante árboles de
decisión que consideran el estado de explotación, el impacto en la misión y
la exposición, orienta la acción concreta a tomar según la criticidad de
cada activo. -
KEV, el catálogo de CISA, funciona como una señal binaria de máxima
prioridad: si una vulnerabilidad figura en él, existe evidencia confirmada
de explotación activa y debe remediarse de inmediato.
En la práctica, estos marcos no compiten entre sí, sino que se encadenan. KEV
actúa como filtro de arranque —lo que ya está siendo explotado se atiende
primero—; CVSS establece la severidad técnica de base; EPSS pondera la
probabilidad de explotación para ordenar aquello que aún no es crítico pero
podría llegar a serlo; y SSVC integra estas señales en una decisión accionable
acorde con la criticidad del activo. El crecimiento sostenido del catálogo
KEV, que superó las 1.480 vulnerabilidades hacia fines de 2025, confirma que
la explotación activa es un fenómeno constante y que la priorización basada en
evidencia dejó de ser opcional.
En definitiva, ningún indicador aislado ofrece una respuesta completa. La
combinación de severidad (CVSS), probabilidad (EPSS), explotación confirmada
(KEV) y contexto de decisión (SSVC) permite asignar los recursos limitados de
remediación allí donde el riesgo es mayor, mejorando la eficiencia del proceso
y la resiliencia de la organización frente a un panorama de amenazas en
permanente cambio.
Leer Priorización y gestión de vulnerabilidades:
CVSS,
SSVC, EPSS y
KEV