Explotabilidad: la probabilidad frente a la gravedad

La gravedad (el CVSS) y la explotabilidad responden a preguntas diferentes. La gravedad pregunta «si este fallo se explotara, ¿cuánto daño haría?». La explotabilidad pregunta «¿qué probabilidad hay de que se explote?». Un fallo puede ser gravísimo y casi imposible de explotar en la práctica, y otro moderado y trivial de usar con un exploit que circula por todas partes. Ordenar por gravedad y olvidar la explotabilidad llena la semana de fallos aparatosos que nadie va a tocar, mientras los fáciles y usados siguen abiertos.

Dos preguntas, dos respuestas. Mezclarlas en un solo número es justo lo que hace que un 9.8 teórico tape a un 7.3 que se está explotando ahora mismo.

El EPSS es una puntuación de 0 a 1 que estima la probabilidad de que un fallo se explote en los próximos treinta días, calculada a partir de señales reales —menciones, pruebas de concepto publicadas, actividad observada—. Es útil porque pone en una escala común algo que antes era intuición: un fallo con EPSS 0.9 es muy probable que se use pronto; uno con 0.01, casi seguro que no. No sustituye al CVSS; lo complementa. Entre dos hallazgos de gravedad parecida, el EPSS desempata hacia el que de verdad tiene papeletas de explotarse.

Es una estimación, no una certeza, y se lee como tal: una probabilidad alta sube la urgencia, una baja la relaja, pero ninguna cierra la decisión por sí sola.

El EPSS estima; el catálogo de vulnerabilidades explotadas conocidas confirma. Es una lista curada de fallos de los que se tiene constancia de que se están usando en ataques reales, ahora. Cuando un hallazgo aparece en ese catálogo, la conversación cambia: ya no es «podría explotarse», es «se explota». Un fallo de gravedad moderada que está en el catálogo se persigue por encima de un crítico que no aparece en ninguna lista de explotados y tiene una probabilidad estimada ínfima. La certeza de que algo se usa pesa más que la hipótesis de que algo sería grave.

El catálogo y el EPSS se leen juntos: la probabilidad estimada para lo que aún no se sabe, y la confirmación para lo que ya se usa. El que está en el catálogo y además tiene probabilidad alta no admite discusión.

La explotabilidad real decide la cabeza de la cola. Abre el panel de explotabilidad de Ferranova y aísla el hallazgo que está a la vez en el catálogo de explotadas conocidas y con una probabilidad estimada por encima de 0.9. La nota de ese resultado trae un código de la sala.