Zero-day, CVE, CVSS și KEV: cum citești un aviz de securitate și în cât timp aplici patch-urile într-un IMM

Publicat pe 10 noiembrie 2026 · Echipa mitza.es

„Zero-day critic cu CVSS 9,8 în catalogul KEV”. O frază ca aceasta poate alarma sau plictisi, iar niciuna dintre reacții nu ajută. Cele mai multe avize de securitate pe care le vezi în presă nu te afectează; câteva da și cer să acționezi chiar în ziua respectivă. Acest ghid îți oferă vocabularul și o metodă simplă pentru a le distinge, gândite pentru un IMM fără departament de securitate.

Glosar rapid, fără jargon

• Vulnerabilitate: un defect într-un program sau într-un echipament care permite să faci ceva ce nu ar trebui (să intri fără parolă, să execuți comenzi, să vezi datele altora).
• CVE: „numărul de identificare” public al unei vulnerabilități concrete, în formatul CVE-an-număr (de exemplu, CVE-2026-98432). Ajută ca toată lumea să vorbească despre același defect, indiferent dacă are sau nu un nume comercial.
• CVSS: un scor de la 0 la 10 pentru gravitatea tehnică. Scara obișnuită îl clasifică astfel: 0,1–3,9 scăzută; 4,0–6,9 medie; 7,0–8,9 ridicată; 9,0–10 critică. Măsoară cât de gravă ar fi vulnerabilitatea, nu dacă cineva o atacă.
• Zero-day: strict vorbind, un defect exploatat înainte ca producătorul să aibă un patch. Termenul se folosește cu nuanțe: Microsoft îl aplică și defectelor făcute publice înainte de a fi corectate. Un zero-day exploatat este cazul cel mai urgent.
• Exploit: codul sau tehnica ce folosește vulnerabilitatea. „Există un exploit public” înseamnă că atacul este mai ușor.
• KEV: catalogul de vulnerabilități exploatate cunoscute al agenției americane CISA. Dacă un defect ajunge acolo, există dovezi de exploatare reală. Termenele pe care le stabilește sunt pentru agențiile federale din SUA, dar lista este un semnal util pentru oricine.
• CWE: tipul de slăbiciune din spatele defectului (de exemplu, o condiție de cursă sau folosirea memoriei după eliberarea ei). Este informație pentru tehnicieni; nu ai nevoie de ea ca să decizi.
• EPSS: o estimare statistică a probabilității ca un defect să fie exploatat în următoarele 30 de zile. Completează CVSS.
• Patch, actualizare și atenuare: patch-ul corectează defectul; atenuarea este o măsură temporară când încă nu există patch (de exemplu, închiderea unui port sau dezactivarea unei funcții).
• Patch Tuesday: în a doua marți a fiecărei luni, Microsoft publică actualizările sale de securitate.

Cele cinci întrebări pentru a citi orice aviz

1. Folosesc acel produs și acea versiune? Cele mai multe avize se elimină chiar aici. De aceea ai nevoie de un inventar, fie și o foaie de calcul.
2. Este deja exploatat? Caută expresii precum „exploatat activ” (în engleză, „exploited in the wild”) sau includerea în catalogul KEV. Este întrebarea care schimbă cel mai mult prioritatea.
3. Este expus la internet? Un VPN, un firewall, un site web sau un server de email accesibile din exterior sunt ținte imediate. Un echipament accesibil doar din rețeaua internă oferă ceva mai mult răgaz.
4. Există patch sau doar atenuare? Dacă există doar atenuare, aplic-o și urmărește avizul până apare corecția.
5. Ce se întâmplă dacă actualizarea merge prost? Înainte de a aplica patch-uri, ai pregătită o copie de siguranță și un plan de revenire, mai ales pe servere și site-uri. Aici explicăm regula 3-2-1 a copiilor de siguranță.

De ce nu este suficient scorul: două exemple din acest sezon

Un 9,8 sperie mai tare decât un 8,1, dar ordinea de acțiune poate fi inversă. Uită-te la două avize pe care le-am analizat luna aceasta:

• Vulnerabilitatea din kernelul Linux CVE-2026-98432 are un CVSS de 9,8, dar în avizele Red Hat pe care le-am consultat nu figura ca exploatată, iar exploatarea ei cere o sincronizare precisă.
• Vulnerabilitatea WordPress CVE-2026-119977 are un scor mai mic potrivit analizei pe care o menționăm (8,1), dar CISA a inclus-o în catalogul său pentru exploatare activă. Pentru un site WordPress, aceasta este cea de care trebuie să te ocupi prima.

Regula practică: exploatat + expus la internet bate întotdeauna „scor ridicat, dar teoretic”. Mai mult decât scorul, contextul firmei tale decide urgența: ce ai expus și ce date se află în spate.

Termene rezonabile de aplicare a patch-urilor pentru un IMM

Nici NIS2, nici GDPR nu stabilesc un termen în ore pentru aplicarea patch-urilor: cer măsuri adecvate riscului. Aceste termene sunt o referință practică obișnuită în firmele mici, nu o obligație legală:

• Exploatat și expus la internet: în 24–48 de ore. Dacă nu există patch, atenuare imediată.
• Critic (CVSS 9 sau mai mult) și expus, fără exploatare cunoscută: în 72 de ore.
• Ridicat (7,0–8,9): în 7 zile.
• Mediu: în ciclul lunar de mentenanță.
• Scăzut: la următoarea actualizare obișnuită.

După ce aplici patch-ul pentru un defect exploatat, nu te opri la „gata”: verifică dacă a existat o intruziune înainte de patch (utilizatori noi, fișiere modificate, jurnale ciudate). În cazul VPN-ului Ivanti era deosebit de important, pentru că atacul lăsa puține urme.

Unde afli ce te afectează

• INCIBE-CERT: publică avize de vulnerabilități în spaniolă; INCIBE (institutul național spaniol de securitate cibernetică) oferă în plus ajutor gratuit la numărul 017.
• Producătorul: abonează-te la avizele produselor pe care le folosești (VPN, firewall, switch-uri, NAS, WordPress, browsere).
• Catalogul KEV al CISA: ca să știi ce defecte sunt exploatate cu adevărat.
• Furnizorul tău de servicii informatice: cere-i să te anunțe în scris despre defectele critice care îți afectează firma și despre termenul în care le va corecta.

Ce echipamente merită urmărite mai întâi

Prioritizează ce este expus sau reprezintă poarta de intrare: VPN, firewall, gateway de email, server web, echipamente de rețea și browsere. În ultimele săptămâni am văzut avize din fiecare categorie:

• Browser: al optulea zero-day Chrome din 2026.
• Echipamente de rețea: switch-urile Zyxel GS1900, VPN-ul Ivanti și Citrix NetScaler.
• Servere: kernelul Linux și OpenSSH pe Alpine.
• Site-uri web: WordPress 7.1.4 și pluginurile exploatate.
• Stații de lucru: Patch Tuesday din octombrie.

Un proces minim de gestionare a patch-urilor

1. Inventar: ce echipamente, programe și versiuni ai și cine răspunde de fiecare.
2. Abonare la avizele produselor din inventar.
3. Clasificare cu cele cinci întrebări de mai sus și termenele de referință.
4. Testare și copie de siguranță înainte de aplicare, mai ales pe servere și site-uri.
5. Verificare și evidență: verifică versiunea finală și notează data, echipamentul și cine a făcut operațiunea. Este ceea ce ți se va cere dacă într-o zi trebuie să justifici măsurile, de exemplu în cadrul reglementării NIS2.

Întrebări rapide

Trebuie să citesc toate avizele?

Nu. Cu un inventar și două abonări, cele mai multe se elimină în câteva secunde. Scopul este să nu ratezi procentul mic care chiar te afectează.

Ce fac dacă producătorul nu publică un patch?

Aplică atenuarea pe care o recomandă, limitează expunerea echipamentului și ia în calcul înlocuirea lui dacă producătorul îl abandonează. Un echipament fără suport este un risc permanent.

Pot patch-urile să strice lucruri?

Uneori. De aceea se aplică cu copie de siguranță și, pe cât posibil, mai întâi într-un mediu de testare. Riscul de a nu aplica patch-ul pentru un defect exploatat este de obicei mai mare decât cel al unei actualizări.

Are sens o asigurare de securitate cibernetică?

Este un complement, nu un substitut al aplicării patch-urilor, iar asigurătorii întreabă adesea despre aceste practici. Găsești mai multe în cât costă o asigurare cibernetică pentru un IMM.

Cum te ajutăm la Mitza

Facem inventarul, urmărim avizele care te afectează și aplicăm patch-urile cu copie de siguranță prealabilă și evidență. Descoperă serviciul nostru de mentenanță IT pentru IMM-uri, auditul de securitate web sau spune-ne cazul tău din pagina de contact.

Citește și: ce este un firewall și de ce are nevoie un IMM și ransomware în companiile din Spania.

Vezi și: Patch Tuesday noiembrie 2026 (zero-day în Outlook) și N-able N-central și ce întrebi furnizorul tău IT.