¿Qué es CVSS (Common Vulnerability Scoring System)?
$ man cvss
CVSS es un estándar abierto que asigna a cada vulnerabilidad un puntaje de 0 a 10 según su gravedad técnica, para comparar y priorizar fallas de seguridad de forma consistente.
El CVSS es un sistema estandarizado, mantenido por FIRST, para medir la severidad de vulnerabilidades. Calcula un puntaje de 0.0 a 10.0 a partir de métricas como el vector de ataque (red, adyacente, local, físico), la complejidad, los privilegios requeridos, la interacción del usuario y el impacto en confidencialidad, integridad y disponibilidad. Las métricas se agrupan en Base (características intrínsecas), Temporal/Threat (si existe exploit o parche) y Environmental (contexto de tu organización). Las versiones más usadas son la 3.1 y la 4.0, y el puntaje se traduce en rangos: Ninguna, Baja, Media, Alta y Crítica.
🧪Ejemplo
Una ejecución remota de código explotable por red, sin autenticación ni interacción del usuario y con impacto total suele recibir un puntaje de 9.8 (Crítica), expresado con un vector como Código: text
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
. En cambio, una falla que requiere acceso físico y privilegios altos obtiene un puntaje mucho menor.
🛡Cómo protegerse
Usá el puntaje CVSS como punto de partida para priorizar parches, no como única fuente de decisión.
Ajustá las métricas ambientales a tu infraestructura: una falla crítica en un servicio que no exponés puede ser menos urgente.
Combiná CVSS con información de explotación real, como el catálogo KEV de CISA o el modelo EPSS.
Aprendé a leer el vector completo, no solo el número, para entender por qué la falla es grave.
Si reportás vulnerabilidades (bug bounty o pentesting autorizado), justificá cada métrica del vector que proponés.
⚠Para tener en cuenta
Un error común es confundir severidad con riesgo: CVSS mide la gravedad técnica de la falla, pero no la probabilidad de que la exploten ni el valor del activo afectado. Además, el puntaje Base que publica NVD puede diferir del que asigna el fabricante.
Redactado con el asistente Underc0de IA. Actualizado el 15/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.
