El catálogo KEV de CISA: guía práctica para priorizar vulnerabilidades en pequeñas empresas
El catálogo KEV de CISA enumera las fallas que los atacantes explotan ahora. Aprenda a suscribirse, combinarlo con CVSS y EPSS y revisar parches cada semana.
El catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA es una lista pública y gratuita de fallas de seguridad que los atacantes están usando de verdad, cada una con la corrección que se debe aplicar. Para una pequeña empresa que no puede parchear todo a la vez, responde la pregunta más práctica de la seguridad informática: ¿qué actualizaciones van primero? En resumen: mantenga un inventario preciso de lo que usa, compárelo cada semana con el catálogo KEV, parchee rápido cualquier coincidencia (primero los sistemas expuestos a internet) y use las puntuaciones CVSS y EPSS para ordenar el resto. Esta guía explica cómo funciona el catálogo, cómo suscribirse y una rutina semanal adecuada para un equipo pequeño.
Qué es el catálogo KEV
La Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) describe el catálogo KEV como la fuente autorizada de vulnerabilidades que han sido explotadas en la práctica. Una falla se agrega solo cuando cumple tres criterios:
- Tiene un identificador CVE, el identificador estándar de una vulnerabilidad pública.
- Hay evidencia confiable de explotación activa. Cuentan los ataques intentados o exitosos. Los escaneos, la investigación y el código de prueba de concepto por sí solos no cuentan.
- Existe una guía clara de corrección, normalmente una actualización del fabricante.
Esa tercera regla es lo que hace tan útil la lista: cada entrada es algo sobre lo que se puede actuar. Cada entrada indica el fabricante y el producto, el CVE, una breve descripción, la fecha en que se agregó, una "acción requerida" y si se sabe que se usa en campañas de ransomware.
Dónde encaja la BOD 22-01 (y qué la reemplazó)
El catálogo se creó con la Directiva Operativa Vinculante (BOD) 22-01, emitida en noviembre de 2021. Esa directiva exigía a las agencias civiles federales corregir las vulnerabilidades de la lista en plazos fijos: dos semanas para la mayoría de las entradas y seis meses para los CVE asignados antes de 2021. De ahí viene la columna de "fecha límite".
El 10 de junio de 2026 CISA emitió la BOD 26-04, "Prioritizing Security Updates Based on Risk" (priorizar las actualizaciones de seguridad según el riesgo), que revocó y reemplazó la BOD 22-01. Mantiene el catálogo KEV y sus criterios, pero mide la urgencia con cuatro preguntas: ¿el activo vulnerable está expuesto públicamente?, ¿el CVE está en la lista KEV?, ¿un atacante puede automatizar la explotación? y ¿la explotación da control parcial o total del sistema? Solo las combinaciones de mayor riesgo tienen un plazo de tres días para las agencias.
Estas directivas obligan solo a las agencias federales. Las empresas privadas no tienen ninguna obligación legal bajo ellas. Aun así, CISA recomienda que toda organización revise el catálogo e incluya la corrección de las vulnerabilidades KEV en su gestión de vulnerabilidades, y las cuatro preguntas de la BOD 26-04 son una forma sensata de pensar en el riesgo para cualquier empresa.
Por qué "explotada" pesa más que "grave"
La mayoría de los escáneres de vulnerabilidades ordenan los hallazgos por CVSS, el Sistema Común de Puntuación de Vulnerabilidades que mantiene FIRST. CVSS califica la gravedad de una falla en una escala de 0 a 10 (en la versión 4.0: Baja 0.1–3.9, Media 4.0–6.9, Alta 7.0–8.9, Crítica 9.0–10.0). La gravedad importa, pero no indica si alguien está atacando esa falla. El escaneo de una red modesta puede devolver fácilmente una larga lista de hallazgos "Altos" y "Críticos", y tratarlos todos como igual de urgentes es la manera en que los equipos se agotan.
Tres señales funcionan mejor juntas:
| Señal | Qué le dice | Dónde obtenerla |
|---|---|---|
| KEV | Los atacantes la están explotando ahora | Catálogo KEV de CISA |
| EPSS | Probabilidad estimada de explotación en los próximos 30 días (de 0 a 1) | FIRST, actualizado a diario, gratuito |
| CVSS | Qué tan grave es si se explota | NVD, avisos del fabricante, su escáner |
Una regla sencilla: primero KEV, luego EPSS alto, luego CVSS alto. Y dentro de cada grupo, corrija los sistemas expuestos a internet (firewalls, VPN, puertas de enlace de acceso remoto, sitios web, servidores de correo) antes que los internos.
CISA también publica datos adicionales de "Vulnrichment" para muchos CVE, incluido si la explotación puede automatizarse y su impacto técnico, los mismos factores que usa la BOD 26-04.
Paso 1: sepa qué tiene
La lista KEV solo sirve si puede compararla con sus propios sistemas. Empiece con un inventario, aunque sea una hoja de cálculo:
- Dispositivos expuestos a internet: firewall, VPN, puertas de enlace de escritorio remoto, routers, controladores Wi-Fi
- Servidores y hosting: Windows Server, Linux, paneles de control como cPanel, aplicaciones web y plugins
- Equipos de usuario: versiones de Windows y macOS, navegadores, Office, lectores de PDF
- Consolas de administración en la nube y SaaS y todo lo que la empresa administra por su cuenta
- Responsable y método de parcheo de cada elemento: automático, manual o administrado por el fabricante
Muchas herramientas de IT administrado y escáneres de vulnerabilidades pueden importar la lista KEV y marcar las coincidencias de forma automática, algo que la propia CISA recomienda.
Paso 2: suscríbase al catálogo
No necesita herramientas especiales para seguir el catálogo:
- Correo electrónico: la página del catálogo tiene una opción de suscripción (a través del servicio GovDelivery de CISA) que envía un aviso cada vez que se agregan entradas nuevas.
- Descargas CSV y JSON: el catálogo está disponible en CSV y JSON, con un esquema JSON publicado, para que un escáner, un script o una hoja de cálculo lo compare con su inventario.
- El sitio web: consulte o busque las entradas; cada una muestra su fecha de incorporación y su fecha límite.
Envíe los avisos a un buzón compartido o a una cola de tickets, no a la bandeja de una sola persona, para que no se pierdan durante las vacaciones.
Paso 3: una rutina semanal de 30 minutos
Para una pequeña empresa, una revisión semanal corta es realista y eficaz:
- Lea las nuevas incorporaciones a KEV de la última semana. Para cada una, pregúntese: ¿usamos este fabricante y producto?
- Si la respuesta es sí, verifique la versión con el aviso del fabricante. Si está afectado, abra un ticket.
- Fije una fecha objetivo. Un buen estándar interno es parchear en cuestión de días los sistemas expuestos a internet que coincidan, y los internos dentro de su ciclo normal, antes si la entrada indica que se usa en campañas de ransomware.
- Si todavía no puede parchear, aplique la mitigación del fabricante, restrinja el acceso (por ejemplo, limite una interfaz de administración a la VPN) y registre la excepción con una fecha de revisión. La guía de CISA es clara: las mitigaciones son temporales y los productos al final de su vida útil que no pueden actualizarse deben retirarse.
- Revise si hubo un compromiso en los sistemas expuestos. El parche cierra la puerta, pero no expulsa a quien ya entró. Si un dispositivo expuesto a internet estuvo vulnerable un tiempo, revise sus registros, sus cuentas de administrador y su configuración.
- Revise el resto según EPSS y CVSS con su escáner y prográmelo dentro del parcheo normal.
- Anote lo que hizo. Un registro breve ayuda con los cuestionarios de los seguros cibernéticos y con las auditorías.
Para la política más amplia en la que encaja esta rutina, consulte nuestra guía de prevención de ransomware, y nuestro artículo reciente sobre fallas críticas de PHP como ejemplo de cómo se maneja un problema explotado activamente.
Errores comunes que conviene evitar
- Olvidar los equipos de red. Los firewalls y los equipos VPN aparecen con frecuencia en la lista KEV y a menudo se pasan por alto porque no se actualizan solos como las laptops.
- Suponer que el proveedor de nube lo parchea todo. El fabricante parchea el SaaS, pero sus propios servidores virtuales, sitios web y plugins son su responsabilidad.
- Usar un escaneo como inventario. Los escaneos no ven los dispositivos apagados o conectados a otra red. Mantenga el inventario por separado.
- Correr primero detrás de cada puntuación Crítica. Una falla crítica en un sistema interno aislado puede ser menos urgente que una falla de gravedad media en su VPN que se está explotando hoy.
Para empezar esta semana
Suscríbase a los avisos de KEV, cree o actualice su inventario y haga la primera revisión de 30 minutos. Si prefiere que alguien se encargue del inventario, los escaneos y los parches, solicite una evaluación de IT gratuita. Core Florida IT apoya a empresas en todo Miami-Dade y el sur de Florida con soporte de IT administrado y servicios de ciberseguridad.
Fuentes
- Known Exploited Vulnerabilities Catalog (CISA)
- Reducing the Significant Risk of Known Exploited Vulnerabilities (CISA)
- BOD 26-04: Prioritizing Security Updates Based on Risk (CISA)
- BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities, revocada (CISA)
- Exploit Prediction Scoring System (FIRST)
- CVSS v4.0 Specification Document (FIRST)
