Qué CVE parchear primero: prioriza con EPSS, KEV y contexto
Cualquier escáner de vulnerabilidades te escupe cientos o miles de CVEs. Parchearlos todos «ya» es imposible, y parchear por orden de CVSS —lo que hace casi todo el mundo— es un mal uso del tiempo: acabas corriendo detrás de un 9.8 teórico que nadie explota mientras un 7.5 que se está explotando en la calle sigue abierto.
La pregunta correcta no es «¿cuál es más grave?», sino «¿cuál me van a explotar antes a mí?». Para responderla se combinan tres señales.
1. CVSS: gravedad, no prioridad
El CVSS mide el impacto potencial en el peor de los casos, y es estático: no cambia aunque exista (o no) un exploit funcional. Es útil como una dimensión más, pero ordenar el parcheo solo por CVSS trata por igual a un CVE con exploit masivo y a otro que nunca se ha explotado. Necesitas señales de explotabilidad real.
2. EPSS: probabilidad de que lo exploten
El EPSS (Exploit Prediction Scoring System, de FIRST.org) da, para cada CVE, la probabilidad de que se explote en los próximos 30 días (de 0 a 1), a partir de datos reales de actividad. Un CVE con CVSS 9.8 pero EPSS 0.02 es mucho menos urgente que uno con CVSS 7.5 y EPSS 0.85.
- EPSS alto (p. ej. > 0.5) = se está explotando o va a explotarse pronto → arriba en la cola.
- EPSS bajo con CVSS alto = vigílalo, pero no rompas la operación por él esta noche.
3. KEV: lo que ya se está explotando
El catálogo KEV (Known Exploited Vulnerabilities) de CISA lista los CVE con explotación confirmada en el mundo real. Regla simple: si un CVE está en KEV, va primero, casi sin importar su CVSS o EPSS. Es la evidencia más fuerte de que el riesgo es actual, no hipotético.
4. Contexto: ¿te afecta a ti?
Las tres señales anteriores son globales; la cuarta es tuya. Un CVE crítico y explotado en un software que no tienes, o en un activo interno sin exposición, no es tu emergencia. Prioriza según:
- ¿Lo usas? Cruza el CVE con tu inventario real (versiones instaladas).
- ¿Está expuesto? Un servicio en Internet pesa mucho más que uno solo accesible desde la red interna.
- Criticidad del activo: no es lo mismo el portal público que un equipo de laboratorio.
El orden práctico
Una cola de parcheo sensata, de más a menos urgente:
- En KEV y expuesto → hoy. Explotación confirmada + alcanzable.
- EPSS alto y expuesto → esta semana. Alta probabilidad de explotación inminente.
- KEV/EPSS alto pero interno → siguiente ventana. Riesgo real, menor alcance.
- CVSS alto, EPSS bajo, sin KEV → planificado. Grave en teoría, sin presión de explotación.
- El resto → mantenimiento normal.
La idea es sencilla: gravedad × probabilidad × exposición, no gravedad a secas.
Resumen
- CVSS = cuánto daño haría (estático).
- EPSS = probabilidad de que lo exploten pronto.
- KEV = ya se está explotando → máxima prioridad.
- Contexto = si lo tienes y está expuesto.
Parchear con estas cuatro señales, y no solo con el CVSS, es la diferencia entre apagar los fuegos que importan y quemar horas en los que no.
Analista de Ciberseguridad · SOC · Especialista en Sentinel/KQL