NIST elige el enfoque, pero olvida a quién corre verdadero peligro

El nuevo enfoque de NIST para la NVD es un paso lógico para gestionar la avalancha de CVE. Pero al priorizar el software gubernamental, el sector privado corre el riesgo de quedarse sin la información que necesita.

263% CRECIMIENTO EN EL ENVÍO DE CVE ENTRE 2020 y 2025

42.000 CVE ENRIQUECIDOS EN 2025, TODAVÍA INSUFICIENTE

1% DE TODOS LOS CVE REALMENTE EXPLOTADOS EN LA PRÁCTICA

Debería haber ocurrido hace mucho tiempo. Tras años de una marea creciente de divulgaciones de vulnerabilidades, un aumento del 263 por ciento en el envío de CVE entre 2020 y 2025, el National Institute of Standards and Technology por fin ha tomado una decisión firme. A partir del 15 de abril de 2026, NIST solo enriquecerá los CVE que cumplan criterios específicos de priorización: vulnerabilidades incluidas en el catálogo Known Exploited Vulnerabilities (KEV) de CISA, software utilizado dentro del gobierno federal de EE. UU. y sistemas designados como críticos bajo la Orden Ejecutiva 14028. Todos los demás envíos seguirán apareciendo en la National Vulnerability Database (NVD), pero se etiquetarán como "Not Scheduled". Ese es el lenguaje burocrático para decir: no contengas la respiración.

Como profesional de la seguridad, entiendo la lógica. Nuestro sector lleva mucho tiempo sufriendo lo que yo llamo "sobrecarga de señal y ruido": una avalancha de datos que analizar, cuya gran mayoría no tiene relevancia directa para los sistemas que realmente protegemos. Una investigación de VulnCheck demostró que, de las más de 40.000 vulnerabilidades nuevas catalogadas el año pasado, solo el 1 por ciento, apenas 422 CVE, se explotaron activamente en la práctica. Centrarse en lo que realmente importa es, por tanto, del todo defendible.

"Las vulnerabilidades se publican, pero no se priorizan. Eso no le facilita la vida a quien defiende."

Y aun así, algo falla. De forma bastante fundamental.

La paradoja de la transparencia sin contexto

NIST ha optado por seguir publicando todos los CVE, pero ya no los enriquecerá de forma rutinaria con puntuaciones CVSS, configuraciones de software afectadas ni contexto adicional. El resultado es un incómodo término medio: las vulnerabilidades se divulgan, pero sin la orientación que los equipos de seguridad necesitan para saber qué hacer con ellas. Eso es transparencia en su forma más hueca.

Imagina a un médico que le dice a un paciente que algo va mal, pero se niega a decir hasta qué punto es grave, qué órgano está afectado o cómo es el plan de tratamiento. "Escríbenos un correo si quieres saber más." Así es exactamente como se siente esto para los miles de organizaciones que dependían de la NVD como su fuente principal y autorizada para priorizar parches.

Las pequeñas y medianas empresas, sin un centro de operaciones de seguridad propio ni costosas suscripciones de inteligencia de amenazas, son las más golpeadas. Dependían de la NVD como un ancla gratuita. Esa ancla se ha soltado.

Primero el gobierno, ¿y todos los demás?

El segundo problema toca una diferencia fundamental entre la realidad digital de las agencias gubernamentales y la de las empresas y los particulares. Las prioridades de NIST tienen sentido desde la óptica de la seguridad nacional: primero proteges la infraestructura crítica del Estado. Pero los entornos de software de un proveedor sanitario, una empresa manufacturera o un pequeño negocio se parecen poco al panorama de TI del gobierno federal de EE. UU.

Microsoft 365, Google Workspace, plataformas CRM muy extendidas, sistemas de control industrial en la fabricación, muchos de ellos no encajan en la definición de "software crítico" tal como la establece la Orden Ejecutiva 14028. Una vulnerabilidad en una aplicación en la nube ampliamente implantada y usada por pymes podría quedarse sin tocar en la categoría "Not Scheduled" durante meses, mientras los atacantes ya la están explotando activamente.

Michelangelo Sidagni, CTO de NopSec, lo expresó con acierto: NIST está delegando de hecho la priorización en CISA, pero el catálogo KEV de CISA es deliberadamente conservador. El análisis comparativo muestra que KEV recoge actualmente 1.559 vulnerabilidades, mientras que VulnDB rastrea más de 7.000 con explotación conocida. Miles de fallos peligrosos quedan, por tanto, fuera tanto de KEV como del nuevo proceso de enriquecimiento de la NVD. Para un atacante, esa distinción es irrelevante.

El fin de una única fuente de verdad

El contexto más amplio agrava la preocupación. El CVE Programme gestionado por MITRE, el mismísimo cimiento sobre el que se construye la NVD, se libró por poco del colapso el año pasado, cuando su contrato de financiación federal estaba a punto de expirar. CISA intervino en el último momento, pero la fragilidad de esta infraestructura ha quedado al descubierto. Mientras tanto, la UE está desarrollando su propia European Vulnerability Database (EUVD), aunque todavía está en sus primeras fases. Y el crecimiento explosivo del descubrimiento de vulnerabilidades impulsado por IA, FIRST prevé un récord de 50.000 CVE nuevos en 2026, promete empeorar mucho las cosas.

La era de una única fuente de verdad pública y fiable para la información de vulnerabilidades ha terminado definitivamente. Las organizaciones que aún no lo habían asumido se enfrentan ahora de lleno a esa realidad.

¿Qué tiene que pasar?

La crítica a NIST está justificada, pero, siendo realistas, la agencia tenía pocas opciones. Con los envíos batiendo récords cada trimestre y una capacidad de análisis incapaz por naturaleza de seguir el ritmo, un cambio de rumbo era inevitable. La dirección, priorizar en función del riesgo real, es en principio la correcta.

Pero la ejecución necesita ajustes. Primero: los criterios de priorización se centran de forma demasiado estrecha en el contexto gubernamental. Una definición más amplia de "alto impacto", que tenga también en cuenta la prevalencia en el software comercial, reflejaría mejor la realidad del sector privado. Segundo: el modelo de "escríbenos si quieres enriquecimiento" no es escalable y genera desigualdad. Las organizaciones grandes saben cómo y dónde defender su caso; las pequeñas no.

Tercero, y quizá lo más urgente: el sector debe dejar de depender de una única base de datos pública como su principal línea de defensa. Diversificar las fuentes, inteligencia de amenazas comercial, ISAC sectoriales, alternativas de código abierto, no es un lujo sino una necesidad. Los profesionales de la seguridad que ya lo sabían sortearán esta transición. Los demás acaban de recibir una llamada de atención.

La avalancha de datos irrelevantes fue siempre el problema. NIST lo ha reconocido ahora oficialmente. La cuestión es si la solución que han elegido protege a las personas adecuadas, o solo a quienes tienen los contratos gubernamentales adecuados.

FUENTES

1. NIST, NVD Updates NVD Operations to Address Record CVE Growth (15 de abril de 2026)
2. Help Net Security, NIST admits defeat on NVD backlog, will enrich only highest-risk CVEs going forward (16 de abril de 2026)
3. CyberScoop, NIST narrows scope of CVE analysis to keep up with rising tide of vulnerabilities (17 de abril de 2026)
4. Socket.dev, NIST Officially Stops Enriching Most CVEs as Vulnerability Volume Surges (abril de 2026)
5. Infosecurity Magazine, NIST Drops NVD Enrichment for Pre-March 2026 Vulnerabilities (abril de 2026)
6. SecureWorld, The NVD Course Correction: Navigating NIST's Strategic Pivot for 2026 (abril de 2026)
7. Dark Reading, NIST Revamps CVE Framework to Focus on High-Impact Vulnerabilities (abril de 2026)
8. The Hacker News, NIST Limits CVE Enrichment After 263% Surge in Vulnerability Submissions (abril de 2026)