¿Qué es un CVE? Los números CVE y las puntuaciones CVSS, explicados

WindowsMacActualizado

Un CVE es un número de referencia público para un fallo de seguridad divulgado, como CVE-2026-109618, uno de los dos fallos de PHP conocidos como PHP2Shell. El programa CVE define un identificador CVE como una cadena alfanumérica que identifica una vulnerabilidad divulgada públicamente. Una puntuación CVSS es otra cosa: una nota de 0 a 10 sobre lo grave que es ese fallo. Esta guía refleja la situación a 23 de octubre de 2026.

Respuesta rápida

Un CVE es un identificador único para un fallo de seguridad divulgado públicamente, para que todo el mundo se refiera al mismo problema. CVSS es un sistema de puntuación que califica la gravedad del fallo de 0,0 a 10,0. Una puntuación de 9,0 o más es Crítica, así que el 9,2 que recibieron los dos fallos de PHP2Shell es Crítico.

¿Qué es un CVE?

CVE son las siglas de Common Vulnerabilities and Exposures. El programa CVE dice que su misión es identificar, definir y catalogar vulnerabilidades de ciberseguridad divulgadas públicamente, y que hay un registro CVE por cada vulnerabilidad del catálogo. Sus preguntas frecuentes describen el identificador CVE como la parte numérica del registro, con el formato CVE-AAAA-NNNN.

El número sirve para que personas y herramientas estén seguras de hablar del mismo fallo. Cuando INCIBE-CERT, la agencia estadounidense CISA y el proyecto PHP citan CVE-2026-109619, hablan de un fallo concreto.

¿Quién asigna el número CVE a un fallo?

Una organización llamada Autoridad de Numeración de CVE, o CNA. El programa CVE define una CNA como una entidad autorizada que asigna identificadores CVE y publica los registros correspondientes dentro de su ámbito. INCIBE, por ejemplo, es CNA desde el 15 de enero de 2020.

En PHP2Shell, la CNA fue el propio proyecto PHP. Los registros CVE oficiales de los dos fallos lo nombran como asignador, y muestran que reservó los dos identificadores el 12 de octubre de 2026 y publicó los registros el 21 de octubre, el día en que salieron las correcciones.

¿El número CVE dice lo grave que es un fallo?

No. El número es solo un identificador. Las preguntas frecuentes del programa CVE dicen que el formato del registro permite a las CNA incluir puntuaciones CVSS u otras calificaciones de gravedad cuando lo publican. La puntuación viene de quien la redacta, y ahí entra CVSS.

¿Qué es CVSS?

CVSS es el Common Vulnerability Scoring System, el sistema común de puntuación de vulnerabilidades. INCIBE-CERT lo describe como un marco abierto y de uso universal que establece métricas para comunicar las características, el impacto y la gravedad de las vulnerabilidades, y señala que la organización responsable es FIRST, el foro internacional de equipos de respuesta a incidentes. La especificación de la versión 4.0 de FIRST dice que CVSS recoge las principales características técnicas de las vulnerabilidades y produce puntuaciones numéricas que indican la gravedad de una vulnerabilidad en relación con otras.

La cifra principal suele ser la puntuación Base, de 0,0 a 10,0. Va acompañada de un vector, un código corto que recoge cada valor que hay detrás de la puntuación. INCIBE-CERT lo explica igual: el valor numérico se acompaña de una cadena de texto, el vector, con cada métrica y su valor. Para los dos fallos de PHP2Shell es CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. AV:N significa que el fallo se puede atacar a través de la red, PR:N que no hace falta iniciar sesión, y VC:H, VI:H y VA:H que el impacto en el sistema vulnerable es Alto. FIRST exige a quien publique una puntuación CVSS que dé también el vector, para que otros vean cómo se obtuvo.

Nuestra guía sobre la ejecución remota de código explica qué significan esos impactos en la práctica.

¿Qué significa una puntuación CVSS de 9,2?

Que es Crítica. La especificación de FIRST asigna a cada puntuación una gravedad, y la base de datos nacional de vulnerabilidades de Estados Unidos (NVD) usa las mismas bandas:

  • Ninguna: 0,0
  • Baja: de 0,1 a 3,9
  • Media: de 4,0 a 6,9
  • Alta: de 7,0 a 8,9
  • Crítica: de 9,0 a 10,0

El proyecto PHP puntuó los dos fallos de PHP2Shell, CVE-2026-109618 y CVE-2026-109619, con 9,2 en CVSS v4.0, en la banda Crítica. Las fichas de INCIBE-CERT de ambos CVE muestran la misma puntuación base, 9,20 CRÍTICA, con el mismo vector. FIRST dice que las bandas ayudan a las organizaciones a evaluar y priorizar bien la gestión de sus vulnerabilidades.

¿Por qué la puntuación no lo dice todo?

Porque la puntuación Base mide lo grave que es un fallo, no el riesgo que supone para ti. La NVD dice claramente que CVSS no es una medida del riesgo. La guía de usuario de FIRST dice que las puntuaciones Base están pensadas para medir la gravedad de una vulnerabilidad y no deben usarse solas para evaluar el riesgo.

CVSS v4.0 tiene otros grupos de métricas para eso. Las métricas de Amenaza ajustan la puntuación según, por ejemplo, la existencia de código de prueba de concepto o de explotación activa, y las de Entorno reflejan los sistemas de cada organización. FIRST dice que la información de Amenaza y Entorno solo la tienen las organizaciones que usan el software, que deberían añadirla a las métricas Base para obtener una puntuación propia. La NVD dice que solo evalúa las métricas Base.

También importa quién puntúa. En PHP2Shell, tres fuentes oficiales dan cifras distintas:

  • El proyecto PHP: 9,2, Crítica, para los dos fallos, con CVSS v4.0.
  • La evaluación propia de la NVD con CVSS v3.1: 9,8, Crítica, para CVE-2026-109618, y 8,1, Alta, para CVE-2026-109619. A 23 de octubre de 2026, la NVD no muestra ninguna evaluación propia en v4.0.
  • El aviso de Synology Synology-SA-26:14: una puntuación base CVSS3 de 9,8, Crítica, para los dos fallos.

Los vectores muestran dónde difieren. Para CVE-2026-109619, la NVD marca la complejidad de ataque como Alta y Synology como Baja. Ninguna de las tres pone ninguno de los fallos por debajo de Alta, y el consejo del proyecto PHP para los dos es actualizar.

Más preguntas

¿Qué significan las siglas CVE?

Common Vulnerabilities and Exposures, en español algo así como vulnerabilidades y exposiciones comunes. El programa CVE, que gestiona la lista, se describe en su web como un esfuerzo internacional y comunitario para identificar y catalogar vulnerabilidades divulgadas públicamente.

¿Una vulnerabilidad crítica es una emergencia para mí?

Solo si usas el software afectado. La calificación Crítica describe el fallo, y la NVD dice que CVSS no es una medida del riesgo. En PHP2Shell, eso afecta a quien tiene webs o dispositivos que usan PHP. Nuestra guía para comprobar la versión de PHP de tu web te dice dónde mirar.

¿Qué diferencia hay entre CVSS 3.1 y 4.0?

La NVD dice que CVSS v3.x tiene tres grupos de métricas (Base, Temporal y Entorno), y la v4.0, cuatro (Base, Amenaza, Entorno y Suplementario). Las bandas de gravedad Baja, Media, Alta y Crítica son las mismas en las dos.

¿Dónde puedo buscar un número CVE?

En cve.org, que guarda los registros CVE oficiales, y en la NVD, en nvd.nist.gov. La NVD dice que añade información CVSS a todos los registros CVE publicados, y sus páginas muestran las puntuaciones de la NVD y de la CNA. INCIBE-CERT publica fichas en español de muchos CVE en su sección de vulnerabilidades.

¿Un CVE es lo mismo que una vulnerabilidad?

No del todo. La vulnerabilidad es el fallo en sí, y el CVE es su etiqueta. Nuestra guía sobre qué es una vulnerabilidad trata el fallo.

Fuentes