Cómo utilizar el catálogo KEV para revisar una vulnerabilidad concreta

Busca el identificador completo

Parte del código CVE del aviso, no solo del nombre del producto. Comprueba en la entrada que fabricante, producto y descripción corresponden al caso. Registra fecha de consulta, fecha de incorporación, acción requerida y enlaces que proporcione el catálogo. Si tu herramienta importa una copia, conserva cuándo se actualizó; un resultado negativo en datos antiguos tiene menos valor que una consulta actual.

Separa explotación conocida y afectación local

Una entrada informa de explotación conocida del fallo; no demuestra que tus equipos estén comprometidos ni que todas las versiones del producto sean vulnerables. Contrasta rangos y condiciones con el aviso del fabricante y tu inventario. Si falta la versión de un equipo, la salida es una verificación pendiente, no un descarte. Si no encuentras la CVE en KEV, sigue evaluando exposición e impacto con otras fuentes oficiales.

Interpreta la acción dentro de su alcance

Lee la acción específica y las notas: puede haber mitigaciones, requisitos adicionales o retirada de uso cuando no exista solución. No conviertas automáticamente una fecha del catálogo en obligación legal para cualquier pyme española. Identifica las obligaciones que sí te afectan mediante tu marco contractual y normativo. La utilidad operativa de KEV es ayudarte a priorizar una respuesta informada, sin reemplazar las instrucciones concretas del fabricante.

Deja una decisión que se pueda ejecutar

Anota activos confirmados, exposición, responsable, acción elegida y siguiente revisión. Si procede una mitigación, define cómo comprobarla y cuándo volver a evaluar el parche. Ante indicios de explotación en tu entorno, coordina respuesta a incidentes además del cambio técnico. Como comprobación final, otra persona debería poder reconstruir la consulta con la misma CVE y entender qué datos locales justifican la prioridad, sin depender de una captura sin fecha.

Fuentes y documentación

• CISA · incorporación de vulnerabilidades con explotación conocida — Comunicado oficial que vincula el catálogo con evidencia de explotación y priorización; no se extrapolan plazos federales a pymes españolas.
• CISA · esquema oficial de datos KEV — Define identificador CVE, producto, fecha de incorporación, acción requerida, fecha y notas; revisado para el método de lectura, sin afirmar una entrada concreta.