Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
Cómo la expiración de un contrato estuvo a punto de colapsar el ecosistema mundial de gestión de vulnerabilidades
Era un martes cualquiera en los centros de operaciones de seguridad de todo el mundo. Los analistas supervisaban sus cuadros de mando SIEM, los escáneres de vulnerabilidades realizaban sus análisis diarios y los responsables de la respuesta a incidentes clasificaban la avalancha habitual de alertas, todas ellas basadas en un sistema de identificadores que la mayoría nunca se piensa dos veces.
Entonces MITRE soltó una bomba.
El 15 de abril de 2025, el vicepresidente de MITRE y director del Center for Securing the Homeland envió una carta a los miembros de la Junta de CVE que parecía la escena inicial de una película de desastres de ciberseguridad. La carta afirmaba que el miércoles 16 de abril -el día siguiente- "expirará la actual vía de contratación para que MITRE desarrolle, opere y modernice CVE y varios otros programas relacionados, como CWE".
Para los que estamos en las trincheras de la ciberseguridad, no se trataba simplemente de otro problema de financiación o actualización de programas. Era el equivalente digital a que te dijeran que los cimientos de tu casa desaparecerían de la noche a la mañana.
La arquitectura silenciosa de nuestra infraestructura de seguridad
Para comprender la magnitud de lo que estuvo a punto de ocurrir, hay que apreciar la arquitectura invisible que hace posible la ciberseguridad moderna. Los identificadores de vulnerabilidades y exposiciones comunes (CVE) son el lenguaje universal de nuestro sector, el sistema que, durante 25 años, ha permitido a los defensores de todo el mundo hablar de los mismos problemas de seguridad con precisión y claridad.
¿Cualquier escáner de vulnerabilidades que utilices? Mapea los hallazgos a CVEs.
¿Todos los sistemas de gestión de parches? Organizados por CVE.
¿Cada fuente de información sobre amenazas? Estructurada en torno a los CVE.
¿Todos los avisos de seguridad de los proveedores? Clasificados por CVE.
En esencia, CVE es la piedra Rosetta de la ciberseguridad, la capa de traducción que hace posible la comunicación sobre vulnerabilidades entre diferentes herramientas, equipos, organizaciones y naciones.
Si este sistema desapareciera de repente, como amenazó el 15 de abril, perderíamos nuestra capacidad de comprender y comunicar colectivamente los riesgos de seguridad. Imagínese llegar al trabajo y descubrir que, de la noche a la mañana, toda su cadena de herramientas de seguridad ha perdido su marco de referencia común. El día después sería muy diferente. Rastrear nuevas vulnerabilidades significaría rastrear la propia lista de vulnerabilidades de -cada- -proyecto, lo cual es simultáneamente una tarea de Sysiphean y absolutamente imposible, ya que la mayoría de los proyectos ni siquiera rastrean ellos mismos las vulnerabilidades en un formato utilizable. No habría una fuente centralizada de la verdad.
24 horas en el precipicio
La cronología de lo que ocurrió a continuación es un duro recordatorio de lo frágil que puede ser nuestra infraestructura de seguridad:
15 de abril de 2025, por la mañana: MITRE envía su carta a los miembros del Consejo de CVE, advirtiendo de la expiración del contrato al día siguiente.
15 de abril de 2025, por la tarde: Comienza a correr la voz en la comunidad de la ciberseguridad a medida que los miembros del consejo asimilan las implicaciones.
16 de abril de 2025, por la mañana: Un grupo de miembros de la Junta de CVE en activo desde hace tiempo anuncia la creación de la Fundación CVE, un intento desesperado de crear un plan de respaldo para la supervivencia del programa.
16 de abril de 2025, a última hora de la tarde: CISA anuncia que han ejecutado una extensión del contrato con MITRE "para asegurar que no habrá ningún lapso en los servicios críticos de CVE."
En menos de 24 horas, hemos sido testigos tanto del posible colapso como del rescate de emergencia de un sistema fundamental para la ciberseguridad mundial. Estuvo cerca, mucho más cerca de lo que la mayoría de los profesionales de la seguridad creen.
Lo que estuvo a punto de romperse
Si CISA no hubiera prorrogado el contrato en el último momento, las consecuencias habrían sido inmediatas y graves:
- La gestión de vulnerabilidades se fracturaría: Sin la publicación de nuevos CVE, no habría una forma estándar de identificar y rastrear las vulnerabilidades recién descubiertas.
- Las herramientas de seguridad perderían eficacia: Los escáneres de vulnerabilidades, los SIEM y otras herramientas de seguridad dependen de los mapeos de CVE para correlacionar los hallazgos y priorizar los problemas.
- La gestión de parches se volvería caótica: Sin los CVE como puntos de referencia, el seguimiento de las vulnerabilidades que se han parcheado en una empresa se haría exponencialmente más difícil.
- La respuesta a los incidentes se vería obstaculizada: Los equipos perderían el marco de referencia común utilizado para comunicarse sobre cuestiones de seguridad durante los incidentes.
- La inteligencia sobre amenazas se fragmentaría: La capacidad de compartir información precisa sobre amenazas activas entre organizaciones se deterioraría.
Todo esto ocurriría mientras los actores de amenazas -en particular grupos como Black Basta (recientemente expuesto a través de mensajes filtrados que discuten su explotación de más de 60 CVEs sólo el año pasado)- seguirían operando con sus libros de jugadas existentes, enfrentándose a defensores repentinamente despojados de su lenguaje de vulnerabilidades compartido.
No una solución, sino una suspensión de la ejecución
Aunque se evitó la crisis inmediata, lo que recibimos no fue una solución, sino un indulto. La prórroga del contrato de CISA sólo dura 11 meses, lo que en esencia supone una "suspensión de la ejecución" más que un indulto.
Esta medida temporal significa que las cuestiones fundamentales sobre la sostenibilidad a largo plazo del Programa CVE siguen sin resolverse. Ahora tenemos una cuenta atrás definida: 11 meses para conseguir una financiación permanente o realizar con éxito la transición a un modelo de gobernanza alternativo.
El sistema imperfecto que no podemos perder
El sistema CVE dista mucho de ser perfecto. Los críticos tienen argumentos válidos sobre sus limitaciones:
- A veces incentiva la notificación de problemas que apenas pueden considerarse de seguridad, lo que obliga a los responsables a perder tiempo en resolverlos.
- A menudo, el sistema de puntuación CVSS parece responder más a los intereses de las empresas que a un análisis objetivo de los riesgos.
- Hemos experimentado una avalancha de nuevos CVE en los últimos años, sobre todo después de que el Kernel Linux se convirtiera en CNA y empezara a marcar grandes volúmenes de fallos como CVE.
- El diseño fundamental refleja el panorama de la seguridad de hace 25 años, no el complejo entorno actual.
Pero, a pesar de todos sus defectos, el CVE sigue siendo el único sistema universal que tenemos. No hay ninguna alternativa viable lista para desplegarse. No hay un sistema de respaldo esperando entre bastidores. No hay una forma realista de realizar un seguimiento independiente de las vulnerabilidades en millones de proyectos diferentes sin una única fuente de verdad.
Y si no crees lo crítico que es, toma un sistema menos impactante actualmente en uso: una simple convención de nomenclatura para diferentes actores de amenazas. Como no tenemos un equivalente estándar al sistema CVE para nombrar a los actores de amenazas, tenemos ridículos esquemas de nomenclatura específicos de cada proveedor, como colores y fenómenos meteorológicos en un proveedor, algo completamente diferente para otro, otro proveedor utiliza números - al final, necesitas una guía y un diccionario sólo para entender si una actividad dada se refiere al mismo actor de amenazas cuando te enfrentas a diferentes situaciones. Esto hace que la recopilación eficaz de información sea innecesariamente más difícil y lenta, especialmente en situaciones en las que la claridad de intenciones y la rapidez de respuesta son esenciales. Si ocurriera con los CVE, el impacto sería órdenes de magnitud más relevantes.
La fragilidad oculta de las infraestructuras críticas
Este cuasi accidente revela algo preocupante sobre el ecosistema de la ciberseguridad: muchos de nuestros recursos más críticos descansan sobre cimientos sorprendentemente frágiles.
Durante 25 años, la mayoría de los profesionales de la seguridad nunca se cuestionaron si el sistema CVE seguiría existiendo. Era una infraestructura tan fundamental que su posible desaparición no se consideraba un escenario realista... hasta que estuvo a punto de ocurrir.
Esto plantea preguntas incómodas: ¿Qué otras infraestructuras críticas de ciberseguridad podrían ser igualmente vulnerables a una interrupción repentina? ¿Qué otros sistemas "demasiado importantes para fallar" podrían estar a un contrato de expirar?
Avanzar: La carrera contra un reloj de 11 meses
La creación de la Fundación CVE representa un posible camino a seguir: una entidad sin ánimo de lucro centrada exclusivamente en continuar con la misión de ofrecer una identificación de vulnerabilidades de alta calidad y mantener la integridad y disponibilidad de los datos de CVE en todo el mundo.
Pero con sólo 11 meses hasta que potencialmente nos enfrentemos de nuevo a esta misma crisis, no podemos permitirnos simplemente esperar y tener esperanzas. Este estrecho margen exige una acción inmediata y coordinada en múltiples frentes:
- Establecer un modelo de gobernanza sostenible que represente los intereses globales, no sólo los de una sola nación. Este modelo debe ser resistente a los cambios políticos y a las incertidumbres de financiación.
- Desarrollar mecanismos prácticos de sustitución para el modo en que se identifican, catalogan y difunden globalmente las vulnerabilidades, mecanismos que puedan funcionar sin depender de un único punto de fallo.
- Adaptar toda nuestra cadena de herramientas para obtener información sobre vulnerabilidades de múltiples fuentes alternativas. Cada escáner, SIEM, plataforma de inteligencia de amenazas y herramienta de seguridad existente puede necesitar actualizaciones para adaptarse a un nuevo enfoque.
Se trata de una empresa monumental que supondría un reto incluso con años por delante; intentarlo en sólo 11 meses parece casi imposible. Sin embargo, como demuestra claramente este incidente, mantener el statu quo no es una alternativa viable.
La cruda realidad es que ningún sistema tan crítico debería permanecer bajo el control de una sola entidad, ya sea una agencia gubernamental, una corporación o una organización sin ánimo de lucro. El modelo de gobernanza actual ha demostrado ser fundamentalmente inseguro, independientemente de quién tenga las llaves.
Una llamada de atención: La CVE es sólo el principio
Las 24 horas durante las cuales casi perdemos los cimientos de la gestión moderna de vulnerabilidades deberían servirnos de llamada de atención. Pero nos equivocaríamos peligrosamente si pensáramos que CVE es un caso aislado.
El sistema CVE fue simplemente la víctima "du jour". Otros sistemas de infraestructuras críticas de Internet sufren vulnerabilidades de gobernanza idénticas. Pensemos en los servidores raíz DNS, otro sistema del que depende todo el mundo digital, pero que en teoría podría enfrentarse a amenazas existenciales similares en las circunstancias adecuadas (o equivocadas). Lo mismo podría decirse de las autoridades de certificación, los servidores de tiempo, la infraestructura de enrutamiento y otros sistemas fundamentales en los que rara vez pensamos hasta que están en peligro.
Como profesionales de la seguridad, identificamos diligentemente puntos únicos de fallo en los sistemas que protegemos a diario. Sin embargo, de alguna manera, hemos permitido que la propia infraestructura que hace posible nuestra profesión desarrolle graves dependencias y vulnerabilidades de gobernanza.
La cuenta atrás de 11 meses está en marcha, no sólo para el CVE, sino como advertencia de que debemos replantearnos los frágiles cimientos de nuestro ecosistema digital. Debemos aprovechar esta prórroga para construir modelos de gobernanza más resistentes para todas las infraestructuras críticas de ciberseguridad, distribuyendo el control y eliminando los puntos únicos de fallo antes de que nos encontremos ante otra crisis existencial, posiblemente con mucho menos aviso la próxima vez.
La elección es clara: transformar ahora la forma en que gobernamos y gestionamos estos sistemas fundamentales, o seguir dando tumbos de crisis en crisis, siempre a una sola rescisión de contrato del caos digital.
