Catálogo KEV
Known Exploited Vulnerabilities — el catálogo de la CISA con las CVE que realmente se explotan en el mundo real. Lanzado en 2021. Las agencias federales de EE. UU. tienen una directiva obligatoria: parchear cualquier CVE del KEV en 14 días.
Antes del KEV, las organizaciones priorizaban por puntuación CVSS (gravedad teórica). El KEV distingue "explotada" de "potencialmente explotable" — una señal accionable. Unas 1100 CVE figuraban en el catálogo en 2025. El sector privado también lo usa como lista de prioridades. La CISA publica nuevas incorporaciones con regularidad, entre 2 y 10 al mes. Desde la perspectiva de un proveedor, que un CVE entre en el KEV activa el canal de parcheo urgente. Desarrollo más reciente: el EPSS (Exploit Prediction Scoring System) da una puntuación probabilística a CVE que TODAVÍA no se han explotado pero probablemente lo serán. KEV + EPSS + CVSS forman la trinidad de la priorización moderna de vulnerabilidades.