Cada vez que se descubre una falla de seguridad en un software, suele asignársele un identificador con el formato CVE-AAAA-NNNNN (por ejemplo, CVE-2024-12345). CVE significa Common Vulnerabilities and Exposures: un catálogo público y compartido por toda la industria para que todos hablen de la misma vulnerabilidad con el mismo nombre.
El sistema lo coordina MITRE, una organización sin fines de lucro, junto con cientos de «CNA» (CVE Numbering Authorities) — fabricantes de software, investigadores y equipos de seguridad autorizados para asignar nuevos identificadores dentro de sus propios productos.
Junto al CVE suele venir una puntuación CVSS (de 0 a 10) que estima qué tan grave es la vulnerabilidad y qué tan fácil es explotarla. No toda vulnerabilidad con CVE es urgente: la puntuación, sumada a si ya existe un exploit público y si el sistema afectado está expuesto a internet, es lo que debería definir qué se parcha primero.
Para cualquier equipo de TI, seguir los boletines de CVE relevantes para su stack tecnológico —y tener un inventario claro de qué versiones corren en cada sistema— es la base de una buena gestión de vulnerabilidades.