La lista corta de la semana

Dos señales miran la explotación desde ángulos distintos. La lista de explotación conocida recoge fallos de los que ya hay evidencia de uso real contra organizaciones; es un hecho observado. El EPSS es un modelo que estima, de 0 a 1, la probabilidad de que se observe explotación de un fallo en los próximos 30 días; es una estimación. Ninguna sustituye al contexto: ni dice si ese activo importa ni si alguien puede llegar a él.

Un hallazgo sube a la cabeza cuando varias cosas coinciden: hay explotación conocida, cualquiera puede alcanzarlo desde internet y el activo es de los que le duelen al negocio. Filtra la tabla por cada condición y busca la fila que aparece en todas.

Un CVSS alto describe lo grave que sería el fallo en abstracto. Si además no hay explotación conocida y el activo no se alcanza desde fuera, la urgencia de esta semana baja, aunque el número sea de los más altos. Esos hallazgos no se ignoran: entran en su plazo normal, con su propio ticket.

Quien lee la tabla ordenada por CVSS ve arriba un 9,8 y pide empezar por ahí. Responderle con una opinión no sirve; sirve señalar los datos de esa fila: el activo, dónde está, si hay explotación y qué probabilidad le da el modelo. La respuesta correcta se sostiene con la tabla.