Catálogo KEV de CISA: qué es y cómo usarlo para priorizar parches

Cada año se publican decenas de miles de vulnerabilidades nuevas. Ninguna empresa puede parchearlas todas a la vez, y tampoco hace falta: solo una pequeña parte llega a explotarse en ataques reales. El catálogo KEV de la agencia estadounidense CISA es la herramienta más sencilla para saber cuáles son y ponerlas en primer lugar.

Qué es el catálogo KEV

KEV significa Known Exploited Vulnerabilities: vulnerabilidades explotadas conocidas. CISA, la agencia de ciberseguridad de Estados Unidos, mantiene esta lista pública desde 2021. Una vulnerabilidad entra en el catálogo cuando se cumplen tres condiciones:

1. Tiene un identificador CVE asignado.
2. Hay evidencias fiables de que se está explotando activamente.
3. Existe una medida clara de corrección, normalmente una actualización del fabricante.

Para las agencias federales estadounidenses, la directiva BOD 22-01 hace obligatorio corregirlas antes de una fecha límite. Para el resto del mundo es una referencia gratuita y de gran valor.

Qué información incluye

Por cada vulnerabilidad, el catálogo indica:

• El identificador CVE.
• El fabricante y el producto afectados.
• Una descripción breve del fallo.
• La acción requerida: normalmente, aplicar las actualizaciones del fabricante.
• La fecha en que se añadió y la fecha límite para las agencias federales.
• Si se conoce su uso en campañas de ransomware.

Se puede consultar en la web, filtrar y descargar en CSV o JSON, lo que permite automatizar su uso.

Por qué es tan útil

La puntuación CVSS mide lo grave que es una vulnerabilidad en teoría. Pero muchas vulnerabilidades críticas nunca se explotan, y algunas de gravedad media sí. El KEV responde a la pregunta que de verdad importa: ¿los atacantes ya la están usando?

Si una vulnerabilidad del KEV afecta a algo que tienes, sobre todo si está expuesto a internet, tu prioridad debería ser corregirla cuanto antes.

Cómo usarlo en tu empresa

Nivel básico: revisión semanal

1. Cada semana, revisa las entradas nuevas del catálogo.
2. Compáralas con tu inventario de software y dispositivos.
3. Si hay coincidencias, aplica el parche o la mitigación con prioridad máxima.

Es una tarea de quince minutos si tienes el inventario al día.

Nivel intermedio: suscripción y cruce con el inventario

• Suscríbete a las actualizaciones del catálogo.
• Complementa con los avisos de INCIBE-CERT, en español y con foco en lo que afecta a España.
• Si tu herramienta de análisis de vulnerabilidades lo permite, activa el filtro o la etiqueta de “explotada activamente” para ordenar los resultados.

Nivel avanzado: automatización

Descarga el JSON del catálogo con un script y crúzalo automáticamente con los resultados de tu escáner de vulnerabilidades o tu CMDB. Genera una alerta o un ticket cuando aparezca una coincidencia. Combínalo con EPSS, que estima la probabilidad de explotación en los próximos 30 días, para priorizar también lo que aún no está en el KEV.

Una regla de priorización sencilla

1. En el KEV y expuesta a internet → emergencia: horas o pocos días.
2. En el KEV, en sistemas internos → prioridad crítica.
3. EPSS alto o gravedad crítica → prioridad alta.
4. El resto → ciclo normal de parches.

Limitaciones a tener en cuenta

• No es exhaustivo. Que una vulnerabilidad no esté en el KEV no significa que no se esté explotando: solo que CISA no tiene todavía evidencias suficientes.
• Tiene sesgo estadounidense en la selección, aunque la mayoría de productos son globales.
• Llega después del ataque. Una vulnerabilidad se añade cuando ya hay explotación; para los fallos más graves y expuestos, no esperes a que aparezca.

Preguntas frecuentes

¿Es obligatorio para las empresas españolas? No. La directiva BOD 22-01 solo obliga a las agencias federales de Estados Unidos. Pero usarlo es una buena práctica que encaja con los requisitos de gestión de vulnerabilidades de NIS2 y del ENS.

¿Hay algo parecido en Europa? ENISA mantiene la Base de Datos Europea de Vulnerabilidades (EUVD), y en España INCIBE-CERT publica avisos de seguridad. Usarlos junto al KEV da una buena visión de conjunto.