El NVD publicó más de 33.000 CVE en 2025. Su equipo puede remediar de manera realista aproximadamente el 10% de las vulnerabilidades que aparecen en su entorno cada trimestre. Precisamente en esa brecha — entre lo que se descubre y lo que realmente se corrige — ocurren las brechas de seguridad. El Informe Verizon 2026 de Investigaciones de Brechas de Datos confirmó que explotar vulnerabilidades conocidas sin parchar seguía siendo el principal vector de acceso inicial por tercer año consecutivo.
El problema no es el descubrimiento de vulnerabilidades. El problema es el triaje. Las puntuaciones CVSS nunca fueron diseñadas para responder la pregunta que realmente importa: ¿cuál de estas será explotada en mi entorno en los próximos 30 días? Un CVSS 9,8 en un sistema interno aislado es mucho menos urgente que un CVSS 6,5 en un endpoint API de cara al público siendo activamente sondeado por actores de amenaza.
Por qué CVSS solo falla como señal de priorización
Los investigadores de FIRST analizaron datos históricos de CVE y encontraron que menos del 5% de los CVE publicados son explotados alguna vez en ataques del mundo real. Su equipo está potencialmente triando el 95% de su carga de trabajo de vulnerabilidades basándose en riesgo teórico. CVSS v4.0 mejoró la puntuación ambiental, pero la adopción sigue siendo inconsistente.
Puntuación EPSS: Predicción de exploits a escala
El Exploit Prediction Scoring System (EPSS) cambia fundamentalmente cómo puede responder la pregunta de triaje. EPSS utiliza machine learning entrenado en más de 1.500 características de inteligencia de amenazas para generar una puntuación de probabilidad — la probabilidad de que un CVE dado sea explotado en los próximos 30 días.
Un CVE con puntuación EPSS superior a 0,5 requiere atención inmediata independientemente de su puntuación base CVSS. Un CVE con EPSS inferior a 0,01 es un candidato legítimo para desvinculación incluso si CVSS lo llama crítico. La combinación más peligrosa: CVSS alto + EPSS alto.
El contexto de la superficie de ataque importa
Una vulnerabilidad no existe en el vacío. Existe en un activo específico, en una zona de red específica. Container Image Scanning integrado directamente en su pipeline detecta vulnerabilidades antes de que lleguen a producción. Para infraestructura tradicional, VM Scans con etiquetado de criticidad de activos permiten ponderar los hallazgos por impacto empresarial.
Cloud Inventory proporciona el grafo de relaciones de activos necesario para entornos cloud dinámicos. Un programa maduro de Vulnerability Management separa la ponderación de criticidad de un simple feed de salida del escáner.
Construyendo una matriz de priorización de CVE
La gestión de vulnerabilidades basada en riesgo requiere un modelo de puntuación que combine múltiples señales. Capa 1: señales de explotabilidad — EPSS como indicador primario, complementado con membresía en KEV. Capa 2: exposición del activo — los activos de cara al exterior reciben un multiplicador más alto. Capa 3: criticidad del activo — la infraestructura crítica para el negocio recibe el mayor multiplicador de riesgo. Capa 4: potencial de movimiento lateral — superposiciones del framework MITRE ATT&CK para evaluar si una vulnerabilidad permite escalada de privilegios.
Estrategia de gestión de parches y métricas
La mayoría de los programas maduros operan con un modelo SLA por niveles. Los CVE críticos obtienen una ventana de parche de emergencia de 24-72 horas. La capa CSPM añade la dimensión de configuración: un CVE CVSS 7,0 en un bucket de almacenamiento mal configurado como públicamente accesible tiene un perfil de riesgo fundamentalmente diferente. El análisis SAST permite la integración shift-left — identificar patrones de código explotables antes del despliegue. El Mean Time to Remediate (MTTR) por nivel de prioridad es su métrica principal de salud operativa. Los equipos que ganan en la priorización de CVE en 2026 son los que construyeron la lógica de triaje, el contexto de activos y la responsabilidad de remediación.