Explotada no es lo mismo que explotable

Un CVE entra al catálogo KEV de CISA cuando cumple tres condiciones: tiene un identificador CVE asignado, existe evidencia fiable de que se explotó en estado real, y hay una acción de remediación clara, como una actualización del fabricante. El catálogo es por tanto una lista curada, no un inventario de todo lo explotado: lo que no está puede estar pendiente.

Estas condiciones explican por qué el catálogo es muy fiable y a la vez va por detrás de la realidad.

El catálogo es explícito en lo que no considera explotación activa: el escaneo, la investigación de seguridad sobre un exploit y la publicación de una prueba de concepto. Un escaneo de internet que cuenta cuántos servidores exponen el servicio dice cuánta superficie hay, no que alguien la esté atacando. Una demostración en el laboratorio de un investigador dice que es posible, no que ocurra.

Estas tres cosas son señales útiles de contexto. Lo que no son es evidencia de que haya víctimas.

Santa Rita tiene cuatro CVE en su registro de evidencias y dos de ellos tienen código de prueba en un repositorio público. Uno de los dos, además, tiene víctimas confirmadas. El otro tiene solo el código: es un fallo explotable, no explotado, y su lugar en la cola depende de otras señales y no de una alarma automática.

Distinguirlos es el primer filtro de la inteligencia de vulnerabilidades: no tratar igual «hay código» y «hay víctimas».

Entre las evidencias del CVE-2099-7101 hay una telemetría de un sistema trampa de un tercero: alguien ejecutó código malicioso contra un señuelo. Como el señuelo no es una víctima real, la ejecución exitosa no cuenta como explotación exitosa. Para el catálogo, la explotación intentada forma parte de la explotación activa: lo decisivo es que el actor tenía la intención de lograrlo y que ocurrió en tiempo real, en estado real.

El punto de decisión de explotación de SSVC (el marco de decisión de CERT/CC y CISA) tiene tres valores: none, public PoC y active. El último exige evidencia compartida, observable y fiable de que el fallo lo usan atacantes reales, con información pública creíble. Eso se puede cumplir antes de que el catálogo incorpore el CVE.

La valoración de Santa Rita pone el valor de cada CVE y si consta en el catálogo. Cruza las dos columnas.