CVE

Una CVE es un ID único, como CVE-2024-3094, con un breve registro público de una vulnerabilidad divulgada. CVE significa Common Vulnerabilities and Exposures.

Última actualización: 11 de noviembre de 2026

CVE significa Common Vulnerabilities and Exposures. Una CVE es un identificador único, como CVE-2024-3094, asignado a una vulnerabilidad de seguridad divulgada públicamente, junto con un breve registro que la describe. El programa CVE emite los identificadores a través de cientos de CVE Numbering Authorities. Una CVE dice de qué vulnerabilidad se trata; no dice lo grave que es ni cómo corregirla.

Cómo es un identificador CVE

Un identificador CVE tiene la forma CVE-YYYY-NNNN: el prefijo, un año y un número de secuencia de cuatro o más cifras. CVE-2021-44228 es Log4Shell en Apache Log4j; CVE-2024-3094 es la puerta trasera de la biblioteca de compresión xz.

El año es el año en que se reservó el identificador o en que la vulnerabilidad se hizo pública, no necesariamente el año en que se descubrió o se corrigió. Un identificador reservado en diciembre y publicado en febrero conserva el año anterior, y por eso una CVE «de 2025» puede aparecer en 2026.

Quién asigna los identificadores CVE

El programa CVE se fundó en 1999. Lo patrocina la agencia estadounidense Cybersecurity and Infrastructure Security Agency (CISA), lo gestiona MITRE como secretaría y lo gobierna un CVE Board.

Los identificadores los asignan las CVE Numbering Authorities (CNA): fabricantes de software, proyectos de código abierto, CERT, plataformas de bug bounty y empresas de investigación, cada una para un ámbito acordado, normalmente sus propios productos. Microsoft asigna identificadores para los productos de Microsoft, el proyecto del kernel de Linux para el kernel, GitHub para los proyectos que informan a través de GitHub. La lista de socios de CVE incluye más de 500 organizaciones. Los Roots y Top-Level Roots (MITRE y la CISA) captan y supervisan a las CNA, y una CNA of Last Resort atiende los informes que ninguna otra CNA cubre. Los Authorized Data Publishers (ADP) añaden información a registros publicados por otros; el ADP de la CISA añade, por ejemplo, puntos de decisión SSVC y el estado KEV.

Si necesita un identificador para una vulnerabilidad de su propio producto, vea identificadores CVE y CNA.

El ciclo de vida de un registro CVE

Se descubre una vulnerabilidad y se comunica al fabricante o a una CNA.
La CNA reserva un identificador, a menudo mientras la vulnerabilidad sigue bajo embargo y antes de que exista una corrección.
La CNA publica el registro: una descripción, los productos y versiones afectados, y referencias. Puede añadir una puntuación CVSS y una CWE.
Otros lo enriquecen: los ADP añaden datos al registro, y bases posteriores como la NVD, la EUVD y las distribuciones Linux añaden sus propias puntuaciones, nombres de producto y estado de corrección.
El registro puede actualizarse más tarde, o rechazarse si resulta ser un duplicado o no ser una vulnerabilidad.

Los registros usan el formato CVE JSON 5 y se publican en el repositorio cvelistV5, que alimenta nuestras tendencias de publicación de CVE.

CVE frente a CVSS, CWE, NVD y EUVD

Término	Qué es	Lo gestiona	Ejemplo	Responde a
CVE	ID y registro de una vulnerabilidad	Programa CVE	CVE-2024-3094	¿Qué vulnerabilidad?
CVSS	Puntuación de gravedad de 0 a 10, con vector	FIRST	10.0 Critical	¿Qué gravedad, en general?
CWE	Catálogo de tipos de debilidades	MITRE	CWE-79 (XSS)	¿Qué tipo de error?
NVD	Base que enriquece los registros CVE	NIST	CVSS, CWE, CPE	¿Qué productos, qué gravedad?
EUVD	Base europea de vulnerabilidades	ENISA	EUVD-2025-4893	La visión de la UE del mismo problema
GHSA	GitHub Security Advisories	GitHub	GHSA-hgfh-7qxq-x5c9	¿Qué versiones del paquete?
OSV	Formato y base abiertos de avisos	OpenSSF, Google	Reúne GHSA y otros	¿Qué versiones del paquete?

CVSS (FIRST, versión 4.0 desde noviembre de 2023) mide la gravedad, no el riesgo. Una CVE puede tener varias puntuaciones: la de la CNA, la de la NVD, la de una distribución.
CWE (cwe.mitre.org) clasifica el error que hay detrás de una vulnerabilidad, como el cross-site scripting o una escritura fuera de límites. Muchas CVE comparten una CWE.
La NVD no es la lista CVE. La National Vulnerability Database del NIST toma los registros CVE publicados y añade análisis, incluidos los nombres CPE que los escáneres usan para cotejar productos. Una CVE existe en cuanto su CNA la publica, la haya enriquecido o no la NVD.
La EUVD es la base de la ENISA, operativa desde el 13 de mayo de 2025 (ENISA). Asigna a cada entrada un identificador EUVD y lista los identificadores CVE y GHSA como alias. La ENISA es además CNA desde enero de 2024. Con el CRA, las vulnerabilidades corregidas que se han notificado a través de la plataforma única de notificación pueden divulgarse después en la EUVD.
GHSA y OSV se organizan por ecosistema y paquete en lugar de por producto, así que encajan directamente con la package URL de un componente.

Dos señales más se apoyan en una CVE: si se está explotando (KEV de la CISA) y qué probabilidad hay de que se explote (EPSS). Cómo las combinan los equipos se explica en priorización de vulnerabilidades.

Por qué la misma CVE aparece muchas veces en un escaneo

Un escáner informa de hallazgos, no de CVE. Una CVE se convierte en muchos hallazgos cuando varios componentes incluyen la misma biblioteca, cuando varios productos o imágenes la distribuyen, o cuando dos herramientas la notifican con identificadores distintos. «400 CVE» en un informe suelen ser muchas menos vulnerabilidades distintas; vea reducir el ruido de vulnerabilidades.

2025 y 2026: la alarma por la financiación y los cambios en la NVD

Abril de 2025. MITRE comunicó al CVE Board que su contrato para gestionar el programa vencía el 16 de abril. La CISA lo prorrogó esa misma noche, por 11 meses (The Record), y afirmó que se trataba de una cuestión de administración del contrato y no de financiación. Miembros del CVE Board anunciaron la CVE Foundation, una organización sin ánimo de lucro pensada para dar al programa una gobernanza independiente. Desde entonces los registros CVE se publican sin interrupción, hasta noviembre de 2026.
Mayo de 2025. La ENISA lanzó la EUVD, presentada en muchos medios como una forma de que Europa dependa menos de un único programa gestionado por Estados Unidos.
NVD. En abril de 2025, el NIST marcó como aplazadas las CVE publicadas antes de 2018 que seguían pendientes de enriquecimiento. Desde el 15 de abril de 2026 solo enriquece las CVE que cumplen criterios de prioridad, empezando por las entradas del KEV de la CISA, y etiqueta el resto como «Lowest Priority - not scheduled for immediate enrichment» (NIST). Las herramientas que solo cotejan con los datos CPE de la NVD ven ahora más lagunas; el cotejo por paquete (OSV, GHSA, package URL) depende menos de la NVD.

Cuántas CVE se publican

El programa CVE publicó 39.718 registros en 2024 y 47.801 en 2025, y el ritmo sigue aumentando. El recuento del año en curso, por semana y por CNA, está en tendencias de publicación de CVE; lo que ese volumen supone para un equipo pequeño se explica en automatización de la gestión de vulnerabilidades. Los casos recientes con página propia están en vulnerabilidades.

Las CVE y su software

Saber qué CVE le afectan empieza por saber qué componentes y versiones contiene realmente cada build: vea SBOM en tiempo de build y ¿nos afecta una CVE?. La corrección se trata en remediación de CVE, las vulnerabilidades sin corrección en vulnerabilidad de día cero y el proceso general en gestión de vulnerabilidades. Una CVE describe una vulnerabilidad, no un exploit: muchas CVE nunca se explotan.

CRACI coteja los componentes registrados en cada build con las vulnerabilidades publicadas y los vuelve a evaluar a medida que aparecen nuevas CVE.