De la publicación de un CVE a la prioridad

La gestión de vulnerabilidades responde a «qué tengo y en qué orden lo arreglo». La inteligencia de vulnerabilidades responde a otra pregunta que cambia ese orden: quién la está usando, contra quién y desde cuándo. No sustituye a la puntuación de gravedad ni al inventario; los alimenta con lo único que ninguno de los dos trae: evidencia del comportamiento de los adversarios.

Es el mismo oficio que el resto de la ruta, aplicado a un objeto nuevo. Una vulnerabilidad es el terreno; la inteligencia dice quién camina por él.

Todo parte de la ficha que publica el fabricante: el boletín con el parche, las versiones afectadas y la versión corregida. Es la fuente de verdad para saber si el fallo toca tu producto; para saber quién lo usa, no sirve. Conviene anotar el identificador del boletín porque es lo que se cita cuando se pide la ventana de parcheo.

La cronología tiene seis hitos y no todos pesan igual. Publicar un fallo no dice nada de adversarios. Puntuarlo tampoco. Un código de prueba público dice que alguien sabe cómo, no que alguien lo haya hecho. Un intento contra un sistema trampa dice que ya hay quien lo prueba. Y una confirmación de víctimas reales es el primer hecho que cambia de verdad la prioridad: ahí empieza a ser una amenaza y no solo un fallo.

Separar esos hitos es leer la inteligencia con precisión: cada fuente dice una cosa distinta.

Un catálogo de explotación conocida es un indicador retrasado por diseño: solo incorpora un fallo cuando hay evidencia fiable de que se explotó y una acción de remediación clara. Eso lo vuelve muy fiable y también lento. Entre que existe el código público y que el catálogo lo refleja pasan días en los que la información útil ya estaba circulando.

Mide ese hueco con la cronología de Santa Rita: cuenta los días entre la fecha de la prueba de concepto pública y la de la entrada en el catálogo.

El 17 de septiembre aparece en un repositorio público una prueba de concepto. Es una señal que importa, pero hay que leerla con exactitud. Según el propio catálogo de CISA, la disponibilidad pública de una prueba de concepto puede aumentar la probabilidad de que alguien lo explote, pero no indica por sí sola que ya se haya explotado ni que vaya a explotarse.

Una señal de «alguien sabe cómo» y una de «alguien lo hizo» no se ponen en la misma casilla.