CISA retira su boletín semanal de vulnerabilidades el 28 de septiembre
La agencia estadounidense deja de enviar el correo semanal y remite a los administradores al catálogo KEV y a sus alertas. El motivo: priorizar por riesgo real y no por la puntuación CVSS.
CISA ha decidido que su boletín semanal de vulnerabilidades ya no hace falta. La agencia lo dejará de enviar tras el número del lunes 28 de septiembre, según el anuncio que hizo público esta semana. Quien lo usara como rutina para repasar los CVE recién publicados tendrá que buscarse otra fuente o, mejor dicho, tres: el catálogo de vulnerabilidades explotadas conocidas (KEV), las alertas y avisos de ciberseguridad de la propia agencia, y el catálogo del CVE.
El argumento oficial es un cambio de criterio. CISA dice que pasa de gestionar vulnerabilidades por severidad a un enfoque moderno basado en riesgo. Ese enfoque está descrito en la directiva operativa vinculante que publicó en junio y que obliga a las agencias civiles federales cubiertas a ordenar sus parches según el riesgo real y no según una puntuación estática.
Qué entra en el cálculo
La tabla de remediación que acompañaba a esa directiva enumera los factores: si hay evidencia de exposición y de explotación, cuánto control da al atacante explotar el fallo y si esa explotación se puede automatizar. Fuera, por tanto, el CVSS como único criterio. Tiene sentido que ese giro se lleve por delante un correo que ordenaba las vulnerabilidades por gravedad. Lo que CISA no explica es por qué lo elimina en lugar de adaptarlo al nuevo estándar, que habría sido lo obvio.
Una hipótesis razonable es el volumen. Cada ciclo de parches mueve un número creciente de vulnerabilidades, en parte por la investigación de seguridad asistida por IA. El NVD sigue arrastrando un retraso enorme y el ecosistema CVE dedica cada vez más esfuerzo a separar los informes generados por IA de los fallos reales. Un boletín semanal con todo eso dentro empieza a no caber.
Si dependes de ese correo, mueve ficha
CISA no pide abandonar los CVE. Pide tirar del resto de canales. Hay un detalle operativo que conviene no saltarse: quien reciba el boletín a través de GovDelivery o Granicus tiene que entrar en su cuenta y comprobar que tiene activadas las suscripciones al catálogo KEV y a los avisos de ciberseguridad. Si no lo hace, puede quedarse sin ver avisos críticos. La agencia no parece preocupada por los tropiezos que genere la transición.
El movimiento dice bastante de hacia dónde va la gestión de vulnerabilidades: menos listas ordenadas por puntuación y más catálogos curados con lo que se está explotando de verdad. Queda por ver si el resto del sector, que no está sujeto a la directiva, adopta el mismo criterio o sigue necesitando un correo semanal para no perderse nada.
