Los cuatro estados de una declaración VEX

Los requisitos mínimos de VEX publicados por la agencia estadounidense CISA definen cuatro estados mutuamente excluyentes, y los formatos modernos los usan con los nombres not_affected, affected, fixed y under_investigation.

• not_affected: el producto no se ve afectado por la vulnerabilidad. Pide una justificación.
• affected: la vulnerabilidad afecta al producto. Pide una declaración de acción, es decir, qué hacer.
• fixed: ya hay una versión que la corrige.
• under_investigation: el proveedor todavía no sabe.

La tabla estados los muestra con el dato que pide cada uno.

Un estado affected sin acción es una mala noticia a medias: el cliente sabe que el fallo lo afecta y no sabe si hay actualización, una medida temporal o nada. El formato exige la declaración de acción justamente para evitarlo. Una acción puede ser una actualización, una mitigación o la aclaración de que no hay corrección prevista, pero no puede faltar.

En la tabla declaraciones hay tres declaraciones affected. Una de ellas no trae acción.

under_investigation es un estado honesto: el proveedor reconoce que aún no sabe. Pero es un estado de tránsito. Un hallazgo que sigue en investigación meses después no se ha resuelto; se ha aparcado, y el analista que depende del proveedor debe reclamar una respuesta o decidir por su cuenta con otros datos.

La lectura tiene corte el 2026-10-07. Calcula los días que lleva la declaración más antigua en under_investigation, desde su fecha hasta el corte.

La regla de trabajo del analista es sencilla y conviene fijarla antes de ver tablas más grandes. Solo un not_affected bien justificado permite retirar el hallazgo de la cola de remediación. Los otros tres estados cambian el siguiente paso, pero no retiran nada: affected manda a actuar, fixed manda a actualizar a la versión corregida y under_investigation manda a esperar con fecha límite y a mantener el hallazgo visible.