⏱ 3 min de lectura
Puntos clave
- El 15 de abril, el NIST dejó de calcular las puntuaciones CVSS automáticas para la mayoría de las CVE; la señal de priorización de parches en la que confiaban la mayoría de las organizaciones acaba de cambiar para siempre.
- Solo las CVE de la lista KEV de CISA, el software federal y el software crítico de la EO 14028 reciben enriquecimiento completo de la NVD. Todo lo demás está "No programado"; sin calificación de gravedad automática.
- Las organizaciones sin un equipo de seguridad dedicado han perdido su principal herramienta gratuita de triaje para decidir qué parchear primero.
- TC21-05 (Actualizaciones de seguridad y gestión de parches), junto con inteligencia de amenazas experta, es la respuesta estructurada; la defensa en profundidad significa nunca depender de una sola fuente de datos que pueda descarrilarse de la noche a la mañana.
- Si no puedes responder si tu proceso de parches puede sobrevivir sin las calificaciones de la NVD, comienza con un evaluación de riesgos gratuita en topcyber21.help.
En 15 de abril de 2026, el NIST descarriló el proceso de priorización de parches del que dependen la mayoría de las organizaciones — y la mayoría de las organizaciones aún no se han dado cuenta.
Lo que cambió el NIST, y por qué
El Instituto Nacional de Estándares y Tecnología (NIST) anunció el 15 de abril que ya no enriquecerá automáticamente cada CVE publicado en la Base de Datos Nacional de Vulnerabilidades. Durante años, las puntuaciones CVSS de la NVD han sido las herramienta de triaje estándar para la gestión de parches —la calificación de gravedad estándar que indica a los equipos si una vulnerabilidad es baja, media, alta o crítica. Esa señal ahora ha desaparecido para la mayoría de las vulnerabilidades.
Bajo el nuevo modelo, solo las CVE que cumplen con uno de tres criterios reciben un enriquecimiento completo: aquellas que figuran en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la CISA, las que afectan al software utilizado por el gobierno federal y las que afectan al software designado como "crítico" bajo la Orden Ejecutiva 14028. Todo lo demás cae en una categoría que el NIST llama "No programado". Sin puntaje CVSS. Sin calificación automática de gravedad. Solo un identificador de CVE y una descripción.
¿Por qué hizo esto el NIST? Las cifras ya no cuadraban. Las reportaciones de CVE han aumentado un 263% desde 2020, y en el primer trimestre de 2026 se registró un incremento de casi un tercio respecto al mismo período del año pasado. El NIST amplió la información de casi 42 000 CVE en 2025 —un aumento interanual de 45%— y aún así no pudo mantener el ritmo. La decisión de priorizar es comprensible. Las consecuencias para las organizaciones que no están preparadas, no lo son.
Lo que significa el cambio en la NVD para su proceso de priorización de parches
Si su organización cuenta con un equipo de operaciones de seguridad dedicado con fuentes de inteligencia de amenazas, flujos de trabajo de correlación de CISA KEV y procesos estructurados de gestión de parches, este cambio es manejable. Ya sabían perfectamente que no debían depender únicamente de NVD como su única fuente de datos.
Si su organización es como la mayoría —que utiliza Microsoft 365 o Google Workspace, opera sin un SOC dedicado y depende de generalistas de TI que usan datos de gravedad disponibles públicamente para clasificar los ciclos de parches—, este cambio acaba de eliminar una herramienta fundamental sin reemplazarla. Una vulnerabilidad puede divulgarse mañana sin una puntuación CVSS adjunta. Es posible que su equipo no sepa si debe aplicar el parche esta tarde o el próximo trimestre.
Los atacantes no están esperando a que NIST se ponga al día. Saben qué es explotable antes de que se le asigne una puntuación de gravedad. Esto es lo que #CYBERinsanity parece que en 2026 —no se trata de una brecha sofisticada, sino de una organización tomando decisiones de parches con información incompleta porque la señal gratuita de la que dependía desapareció silenciosamente.
La respuesta TOPCYBER21™: TC21-05 y la Capa de Inteligencia Expert
Este es exactamente el entorno para el que se diseñó TOPCYBER21™: no un mundo donde cada fragmento de inteligencia sobre vulnerabilidades es limpio, completo y se le entrega en bandeja, sino el mundo real donde las fuentes de datos cambian, las señales desaparecen y las organizaciones necesitan orientación experta para mantenerse un paso adelante.
TC21-05 — Actualizaciones de seguridad y gestión de parches es una de las 21 áreas de mejores prácticas en el marco de trabajo TOPCYBER21™ porque la gestión eficaz de parches nunca se ha tratado solo de puntajes. Requiere contexto: ¿qué activos están expuestos? ¿Qué vulnerabilidades se están explotando activamente? ¿Qué parches representan un riesgo operativo si se implementan incorrectamente? Ese criterio no puede provenir de una entrada de base de datos. Proviene de un equipo que conoce su entorno y se mantiene actualizado sobre el panorama de amenazas.
La defensa en profundidad significa que no dependes de ninguna fuente de datos individual que pueda fracasar de la noche a la mañana. Protege primero, documenta después, adecúa según corresponda. Así es como operan nuestros clientes: no de manera reactiva, sino con una estructura y una alianza que no se rompen cuando una agencia gubernamental cambia su modelo operativo.
Tres preguntas que vale la pena hacer en este momento: ¿Tiene su proceso de gestión de parches un plan de respaldo cuando las puntuaciones de la NVD no están disponibles? ¿Está su equipo haciendo referencias cruzadas del catálogo KEV de CISA en cada nuevo CVE? Y cuando la señal gratuita desaparezca, ¿qué la reemplazará? Si alguna de esas respuestas no es clara, ahí es por donde debe empezar.
263%
Aumento en los envíos de CVE desde 2020: el incremento que el NIST ya no pudo seguir el ritmo, lo que impulsó el fin permanente de la puntuación de gravedad automática para la mayoría de las vulnerabilidades en la NVD.
¿Listo para DETENER la locura cibernética de #CYBER?
La evaluación de riesgos gratuita de 15 minutos en topcyber21.help te indica exactamente dónde están tus brechas, antes de que un atacante las encuentre primero.
Sobre el autor
Matt Tankersley, CISSP es un veterano de combate de la Marina de los Estados Unidos, fundador y director ejecutivo de TechOnPurpose, y creador del marco TOPCYBER21™. Con más de 35 años de experiencia en TI y ciberseguridad, ayuda a las organizaciones a poner fin a la «#CYBERinsanity» y a construir una protección real y en capas que realmente funcione.
Acerca de TechOnPurpose
En TechOnPurpose, ayudamos a las organizaciones a pasar de tener escasez de recursos y estar "paralizadas ante la ciberseguridad" a estar totalmente respaldadas y protegidas en cuestión de horas o días, no de semanas. A través de un soporte de TI integral y nuestro marco TOPCYBER21™, evaluamos el riesgo cibernético en 15 minutos y construimos una protección de defensa en profundidad rápidamente. Como un proveedor de servicios de seguridad administrados (MSSP) propiedad de veteranos y reconocido mundialmente entre los 250 mejores, no solo respaldamos y aseguramos, sino que elevamos el rol de socio tecnológico de confianza.
