Publicado el 10 noviembre 2026 · Equipo mitza.es
«Zero-day crítico con CVSS 9,8 en el catálogo KEV». Una frase así puede alarmar o aburrir, y ninguna de las dos reacciones ayuda. La mayoría de los avisos de seguridad que ves en la prensa no te afectan; unos pocos sí, y requieren actuar el mismo día. Esta guía te da el vocabulario y un método sencillo para distinguirlos, pensado para una pyme sin departamento de seguridad.
Glosario rápido, sin jerga
- Vulnerabilidad: un fallo en un programa o equipo que permite hacer algo que no debería (entrar sin contraseña, ejecutar órdenes, ver datos ajenos).
- CVE: el «DNI» público de una vulnerabilidad concreta, con formato
CVE-año-número(por ejemplo, CVE-2026-98432). Sirve para que todos hablen del mismo fallo, tengan o no un nombre comercial. - CVSS: una puntuación de 0 a 10 sobre la gravedad técnica. La escala habitual lo clasifica así: 0,1–3,9 baja; 4,0–6,9 media; 7,0–8,9 alta; 9,0–10 crítica. Mide lo grave que sería, no si alguien lo está atacando.
- Zero-day: en rigor, un fallo que se aprovecha antes de que el fabricante tenga parche. El término se usa con matices: Microsoft también lo aplica a fallos que se hacen públicos antes de corregirse. Un zero-day explotado es el caso más urgente.
- Exploit: el código o la técnica que aprovecha la vulnerabilidad. «Hay un exploit público» significa que atacar es más fácil.
- KEV: el catálogo de vulnerabilidades explotadas conocidas de la agencia estadounidense CISA. Si un fallo entra ahí, hay evidencia de explotación real. Las fechas límite que fija son para agencias federales de EE. UU., pero la lista es una señal útil para cualquiera.
- CWE: el tipo de debilidad detrás del fallo (por ejemplo, una condición de carrera o un uso de memoria tras liberarla). Es información para técnicos; no la necesitas para decidir.
- EPSS: una estimación estadística de la probabilidad de que un fallo se explote en los próximos 30 días. Complementa al CVSS.
- Parche, actualización y mitigación: el parche corrige el fallo; la mitigación es una medida temporal cuando aún no hay parche (por ejemplo, cerrar un puerto o desactivar una función).
- Patch Tuesday: el segundo martes de cada mes Microsoft publica sus actualizaciones de seguridad.
Las cinco preguntas para leer cualquier aviso
- ¿Uso ese producto y esa versión? La mayoría de avisos se descartan aquí. Por eso hace falta un inventario, aunque sea una hoja de cálculo.
- ¿Se está explotando ya? Busca expresiones como «explotado en la naturaleza» o la inclusión en el catálogo KEV. Es la pregunta que más cambia la prioridad.
- ¿Está expuesto a internet? Una VPN, un firewall, una web o un servidor de correo accesibles desde fuera son objetivos inmediatos. Un equipo solo accesible desde la red interna da algo más de margen.
- ¿Hay parche o solo mitigación? Si solo hay mitigación, aplícala y vigila el aviso hasta que salga la corrección.
- ¿Qué pasa si la actualización sale mal? Antes de parchear ten una copia y un plan para volver atrás, sobre todo en servidores y webs. Aquí te explicamos la regla 3-2-1 de copias de seguridad.
Por qué la puntuación no basta: dos ejemplos de esta temporada
Un 9,8 asusta más que un 8,1, pero el orden de actuación puede ser el contrario. Fíjate en dos avisos que hemos analizado este mes:
- El fallo del kernel de Linux CVE-2026-98432 tiene un CVSS de 9,8, pero en los avisos de Red Hat que revisamos no figuraba como explotado y su aprovechamiento exige una temporización precisa.
- El fallo de WordPress CVE-2026-119977 tiene una puntuación más baja según el análisis que citamos (8,1), pero CISA lo incluyó en su catálogo por explotación activa. Para una web WordPress, es el que hay que atender primero.
La regla práctica: explotado + expuesto a internet gana siempre a «puntuación alta pero teórica». Más que la puntuación, lo que decide la urgencia es el contexto de tu empresa: qué tienes expuesto y qué datos hay detrás.
Plazos de parcheo razonables para una pyme
Ni NIS2 ni el RGPD fijan un plazo en horas para parchear: piden medidas adecuadas al riesgo. Estos plazos son una referencia práctica habitual en empresas pequeñas, no una obligación legal:
- Explotado y expuesto a internet: en 24–48 horas. Si no hay parche, mitigación inmediata.
- Crítico (CVSS 9 o más) y expuesto, sin explotación conocida: en 72 horas.
- Alto (7,0–8,9): en 7 días.
- Medio: en el ciclo mensual de mantenimiento.
- Bajo: con la siguiente actualización normal.
Después de parchear un fallo explotado, no te quedes en «ya está»: comprueba si hubo intrusión antes del parche (usuarios nuevos, archivos modificados, registros extraños). En el caso de la VPN de Ivanti era especialmente importante porque el ataque dejaba poco rastro.
Dónde enterarte de lo que te afecta
- INCIBE-CERT: publica avisos de vulnerabilidades en castellano; el INCIBE ofrece además ayuda gratuita en el teléfono 017.
- El fabricante: suscríbete a los avisos de los productos que usas (VPN, firewall, switches, NAS, WordPress, navegadores).
- El catálogo KEV de CISA: para saber qué fallos se explotan de verdad.
- Tu proveedor de informática: pídele que te avise por escrito de los fallos críticos que afecten a tu empresa y del plazo en que los aplicará.
Qué equipos conviene vigilar primero
Prioriza lo que está expuesto o es la puerta de entrada: VPN, firewall, pasarela de correo, servidor web, equipos de red y navegadores. En las últimas semanas hemos visto avisos de cada categoría:
- Navegador: el octavo zero-day de Chrome en 2026.
- Equipos de red: los switches Zyxel GS1900, la VPN de Ivanti y los Citrix NetScaler.
- Servidores: el kernel de Linux y OpenSSH en Alpine.
- Webs: WordPress 7.1.4 y los plugins explotados.
- Puestos de trabajo: el Patch Tuesday de octubre.
Un proceso mínimo de gestión de parches
- Inventario: qué equipos, programas y versiones tienes, y quién es responsable de cada uno.
- Suscripción a avisos de los productos del inventario.
- Clasificación con las cinco preguntas de arriba y los plazos de referencia.
- Prueba y copia antes de aplicar, sobre todo en servidores y webs.
- Verificación y registro: comprueba la versión final y anota fecha, equipo y quién lo hizo. Es lo que te pedirán si algún día hay que justificar medidas, por ejemplo en el marco de la normativa NIS2.
Preguntas rápidas
¿Tengo que leer todos los avisos?
No. Con un inventario y un par de suscripciones, la mayoría se descarta en segundos. El objetivo es no perderse el pequeño porcentaje que sí te afecta.
¿Qué hago si el fabricante no publica parche?
Aplica la mitigación que recomiende, limita la exposición del equipo y valora sustituirlo si el fabricante lo abandona. Un equipo sin soporte es un riesgo permanente.
¿Los parches pueden romper cosas?
A veces. Por eso se aplican con copia y, en lo posible, primero en un entorno de pruebas. El riesgo de no parchear un fallo explotado suele ser mayor que el de una actualización.
¿Tiene sentido un seguro de ciberseguridad?
Es un complemento, no un sustituto del parcheo, y las aseguradoras suelen preguntar por estas prácticas. Tienes más en cuánto cuesta un ciberseguro para una pyme.
Cómo te ayudamos en Mitza
Hacemos el inventario, vigilamos los avisos que te afectan y aplicamos los parches con copia previa y registro. Descubre nuestro mantenimiento informático para pymes, la auditoría de seguridad web o cuéntanos tu caso desde la página de contacto.
Lectura relacionada: qué es un firewall y qué necesita una pyme y ransomware en empresas españolas.
Ver también: el Patch Tuesday de noviembre de 2026 (zero-day de Outlook) y N-able N-central y qué preguntar a tu proveedor de informática.