Ciberinteligencia · Guía
Cómo decidir qué vulnerabilidad parchear primero: CVSS, EPSS, KEV y SSVC en la práctica
19 de julio de 2026 · 5 min de lectura · Por Redacción Cubix Academia · Nivel profesional
Ningún equipo puede parchear todo lo que devuelve un escáner. Esta guía explica qué pregunta responde realmente cada marco de priorización (CVSS, EPSS, KEV y SSVC), cómo combinarlos en un flujo defendible y qué errores hacen fracasar la mayoría de los programas de gestión de vulnerabilidades.
Por qué la lista nunca cabe en el ciclo
Cualquiera que haya gestionado vulnerabilidades en una organización real conoce la escena: el escáner devuelve varios miles de hallazgos, una proporción incómoda marcados como críticos, y un equipo que puede tocar unas decenas de sistemas por ciclo. La reacción instintiva es ordenar por severidad e ir bajando. Es de las peores opciones disponibles, porque la severidad no mide lo que uno necesita saber para decidir.
El punto de partida honesto es aceptar que la priorización no es un problema de esfuerzo sino de información: de todas las vulnerabilidades que un escáner señala, solo una fracción pequeña llega a explotarse alguna vez. El trabajo consiste en identificar cuál, no en ir más rápido. Los cuatro marcos que se han impuesto en el sector no compiten entre sí: responden a preguntas distintas, y el error habitual es pedirle a uno la respuesta que solo da otro.
CVSS: cuánto daño haría si alguien lo explota
El Common Vulnerability Scoring System, mantenido por FIRST y hoy en su versión 4.0, describe las propiedades intrínsecas de un fallo: si se explota en red o en local, si necesita autenticación previa o interacción del usuario, y qué se rompe en confidencialidad, integridad y disponibilidad. De ahí sale la puntuación base de 0 a 10 que todo el mundo cita.
Su virtud es que es estable y comparable: describe el fallo, no el momento. Ahí está también su límite, que casi nadie respeta. La puntuación base no sabe nada de tu organización, ni de si el activo está expuesto a internet o enterrado en una red sin salida, ni de si existe un exploit publicado. Un 9,8 en un sistema apagado y un 6,5 en el balanceador que da la cara a internet no se ordenan bien por ese número. CVSS contesta a "cuánto daño haría": pregunta legítima, pero insuficiente para construir una cola de trabajo.