Qué entra en el catálogo KEV
KEV es el catálogo Known Exploited Vulnerabilities, que mantiene CISA, la agencia de ciberseguridad del gobierno de Estados Unidos, con las CVE que ya tuvieron explotación confirmada contra objetivos reales.
Tres condiciones tienen que valer a la vez para que un fallo entre: identificador CVE asignado, evidencia confiable de explotación activa y una acción de corrección o mitigación ya disponible. Una prueba de concepto publicada no alcanza, y un investigador demostrando el ataque en laboratorio tampoco.
Eso hace del KEV la más conservadora de las señales que ordenan una cola de vulnerabilidades. Llega después de las otras. A cambio, lo que está ahí dentro no depende de ninguna estimación.
De dónde salió el KEV y a quién obliga
El KEV nació el 3 de noviembre de 2021 con la directiva operativa vinculante BOD 22-01, y abrió con 287 entradas el primer día.
La obligación legal alcanza a las agencias civiles federales de Estados Unidos, que tienen que corregir cada elemento dentro del plazo publicado junto a la entrada. Ninguna empresa brasileña, española o mexicana está sujeta a eso. El catálogo se volvió referencia de mercado igual, por dos motivos prácticos: es la fuente pública más barata de consultar sobre explotación confirmada, y el archivo es gratuito, legible por máquina y se actualiza casi todos los días hábiles.
El KEV en números, al 16 de septiembre de 2026
En la versión 2026.09.16 el KEV tenía 1.713 entradas, de las cuales 229 se agregaron desde el 1 de enero de 2026. El plazo mediano que CISA asigna a una entrada nueva es de 21 días.
Dos lecturas del conjunto dicen más que el recuento.
La edad de los fallos. Las CVE del catálogo van de 2002 a 2026, y solamente 150 de las 1.713 llevan identificador de 2026. Nueve de cada diez elementos bajo explotación confirmada hoy se publicaron en algún año anterior. La entrada más antigua es la CVE-2002-0367, de Windows, agregada en marzo de 2022. Lo que derriba una empresa suele ser conocido desde hace tiempo suficiente para haberse vuelto rutina.
La marca de ransomware. 360 entradas, el 21% del catálogo, aparecen marcadas con uso conocido en campañas de ransomware. Es el subconjunto que mejor se corresponde con un incidente de parada de operación, y cabe en una reunión de una hora.
Por qué el KEV es demasiado corto para ser la cola entera
1.713 entradas contra 374.847 CVE con puntuación EPSS en la misma fecha da 0,46%. El catálogo cubre menos de medio por ciento del universo publicado.
La virtud y el límite son la misma propiedad. Si un elemento de su parque está en el KEV, la discusión sobre prioridad terminó. A cambio, el catálogo registra lo que fue observado y reportado, con el retraso de quien depende de la observación ajena.
VulnCheck midió ese retraso el 21 de enero de 2026: 884 vulnerabilidades tuvieron primera evidencia de explotación durante 2025, contra 245 que CISA agregó al catálogo en el mismo año. La distancia entre los dos números es la parte del problema que el catálogo no ve a tiempo.
El plazo de CISA y el plazo que su empresa cumple
Cada entrada llega con fecha de corrección. El DBIR 2026 de Verizon muestra qué pasa con ese plazo fuera del gobierno estadounidense: apenas el 26% de los fallos del catálogo estaba totalmente corregido, y el tiempo mediano de corrección subió de 32 a 43 días.
Tres cuartos de lo que se sabe bajo ataque sigue abierto, y la lista es pública, gratuita y cabe en una planilla. El cuello de botella está entre saber y actuar. Dueño del activo sin definir, ventana de mantenimiento disputada, un sistema que nadie quiere reiniciar en horario comercial. La ventana de exposición mide esa distancia en horas o días, por activo.
Cómo usar el KEV sin convertirlo en techo
Como piso. Un elemento del parque que aparece en el catálogo sube a la cima sin reunión. El error común es el movimiento inverso, que trata como opcional todo lo que queda fuera de la lista.
Cruzado con lo que responde desde fuera. Una entrada del catálogo en un componente que usted no expone pesa menos que un fallo de nota media en un activo abierto. El catálogo dice que el fallo se usa en el mundo. Quien dice que es alcanzable en su entorno es la validación de explotabilidad.
Como disparador de reordenamiento. Cuando una CVE entra en el catálogo, un activo que ya estaba parado en su cola cambia de posición sin haber cambiado de estado. Un programa que solamente reordena en el ciclo siguiente pierde esa señal durante semanas.
Sumado al pronóstico. El KEV es hecho consumado. El EPSS estima lo que todavía va a pasar. Quien usa los dos agarra lo que ya está en uso y lo que está subiendo; quien usa el catálogo a secas trabaja siempre mirando hacia atrás.
Qué no cubre el KEV
Registra explotación observada, lo que deja fuera por construcción todo lo que aún no fue observado ni reportado. Un ataque dirigido a un objetivo único, con un exploit que nunca circuló, entra en el catálogo cuando alguien lo cuenta, a veces años después.
Tampoco dice nada sobre su parque. Ninguna de las 1.713 entradas sabe si usted ejecuta ese producto, si el servicio responde desde internet o si la precondición del fallo se cumple en su activo. Esa parte es trabajo de gestión de vulnerabilidades sumado a una vista de la superficie de ataque externa.
CSURFACE cruza el catálogo de CISA con el inventario externo del cliente, la puntuación EPSS, la existencia de exploit público y la telemetría de ataque que registran los sensores, y ordena la cola a partir de ese conjunto. Endpoint, correo electrónico y red interna quedan fuera de lo que la plataforma observa, y ningún ajuste de texto cambia eso.