¿Qué es un CVE y qué significa realmente una puntuación CVSS de 10.0?

Cada vez que ejecutas npm audit, revisas una alerta de GitHub Dependabot o lees un aviso de seguridad, te encuentras con dos siglas estandarizadas: CVE (por ejemplo, CVE-2026-110264) y CVSS (por ejemplo, Score: 9.8 Critical).

Para muchos desarrolladores parecen simples números de serie burocráticos. En realidad, forman el lenguaje universal que evita que la infraestructura global de internet se venga abajo. Vamos a desmitificar cómo se asignan los CVE y cómo se calculan matemáticamente las puntuaciones CVSS.

1. ¿Qué es un CVE (Common Vulnerabilities and Exposures)?

Lanzado por la MITRE Corporation en 1999, CVE es un diccionario global de vulnerabilidades de ciberseguridad divulgadas públicamente.

Antes de que existiera CVE, si se encontraba un error de corrupción de memoria en OpenSSL, cinco proveedores de seguridad distintos le daban cinco nombres internos diferentes, lo que hacía imposible que los administradores de sistemas supieran si estaban parcheando el mismo error.

Hoy, cada vulnerabilidad verificada recibe un único identificador globalmente único con el formato CVE-YYYY-NNNNN:

• YYYY: El año en que se asignó o se divulgó la vulnerabilidad.
• NNNNN: Un número de serie secuencial único emitido por una CNA (CVE Numbering Authority) como GitHub, Google, Red Hat o Microsoft.

2. ¿Qué es CVSS (Common Vulnerability Scoring System)?

Mientras que un CVE le da un nombre a un error, CVSS mide su gravedad en una escala de 0.0 a 10.0.

3. Anatomía de una puntuación 10.0: las 5 condiciones del control total

Una vulnerabilidad no recibe una puntuación de 9.8 o 10.0 porque alguien se sintiera dramático. Se calcula a partir de una cadena de vector como esta:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Para que un fallo alcance 9.8 o 10.0, cinco condiciones de pesadilla deben darse a la vez:

1. Vector de ataque = Red (AV:N): Se puede explotar de forma remota a través de internet público.
2. Complejidad del ataque = Baja (AC:L): Exploit determinista; no hacen falta temporizaciones complejas ni una disposición del heap afortunada.
3. Privilegios requeridos = Ninguno (PR:N): El atacante NO necesita una cuenta de usuario, una contraseña ni un token de API.
4. Interacción del usuario = Ninguna (UI:N): Cero phishing; nadie tiene que hacer clic en un enlace.
5. Impacto = Alto (C:H/I:H/A:H) + Alcance modificado (S:C): Pérdida total de Confidencialidad (leer todos los secretos), Integridad (modificar cualquier archivo o código) y Disponibilidad (hacer caer el servidor), escapando del componente vulnerable hacia el sistema operativo anfitrión o el contenedor.