«Una RCE con CVSS 10.0» es una de las expresiones más graves en las noticias sobre vulnerabilidades. Aquí tienes por qué la RCE es la «peor clase» y en qué se diferencia de otros fallos, desde cero.
En qué se diferencia de otros fallos
La mayoría de las vulnerabilidades tienen un impacto limitado. La RCE ejecuta comandos en el propio servidor, así que es un orden de magnitud peor.
| Vulnerabilidad | Dónde se ejecuta el código | Daño principal | Gravedad típica |
|---|---|---|---|
| XSS | el navegador | robo de sesión, desfiguración | media–alta |
| SQLi | la base de datos | leer/alterar datos | alta |
| RCE | el propio servidor | toma de control, propagación a otros sistemas, todo lo que pueda hacer el proceso | la peor (clase 10.0) |
Por qué es la peor clase
Que un atacante ejecute comandos en tu servidor significa que todo lo que ese proceso pueda hacer, lo puede hacer él.
RCE conseguida (ejecución de código arbitrario)
.env y robar secretosHasta dónde se extiende el daño lo determinan «los privilegios de ese proceso». Por eso exactamente funcionan la contenerización, los privilegios mínimos y el aislamiento (limitar hasta dónde se extiende el daño). Ejecuta como root y el atacante puede controlar todo el servidor; ejecuta sin privilegios y aislado y lo contienes.
La mayoría de las RCE vienen de vulnerabilidades publicadas, no de tus propios fallos
La RCE muy a menudo no viene de un fallo que escribiste, sino de una vulnerabilidad conocida en un framework o librería que usas. Muchos incidentes históricos fueron RCE.
- Log4Shell (CVE-2021-44228): RCE vía un componente de registro; organizaciones de todo el mundo se apresuraron a responder.
- Equifax (CVE-2017-5638): una RCE de Struts sin parchear llevó a la fuga de datos de unos 147 millones de personas.
- El CVSS 10.0 descuidado: una RCE publicada dejada sin parchear durante meses.
Qué puedes hacer para defenderte
No descuides las CVE publicadas (la mayor defensa)
Monitoriza las CVE con máquinas (Dependabot / osv-scanner) y actualiza rápido a las versiones corregidas. La mayoría de las RCE vienen de dejar sin parchear vulnerabilidades conocidas.
Juzga por la versión en ejecución
Mide el riesgo por la versión que realmente se ejecuta, no por el mínimo del manifiesto. Fiarte del texto malinterpreta el peligro.
Limita el daño
Ejecuta como usuario sin privilegios; aísla contenedores y redes. Contén el daño si te alcanzan.
No pases la entrada directamente a la ejecución
Nunca alimentes la entrada externa directamente a comandos de shell, deserialización o evaluación de plantillas. Lo básico para no crear tú mismo una RCE.
Las principales causas que llevan a una RCE
RCE nombra el resultado; las causas se dividen en varios tipos. La lista «CWE Top 25» de MITRE (las 25 debilidades de software más peligrosas), publicada en diciembre de 2025, incluye muchas debilidades que llevan a una RCE.
| Causa (CWE) | En qué consiste | CWE Top 25 (2025) |
|---|---|---|
| Inyección de comandos del SO (CWE-78) | La entrada externa se mezcla en un comando de shell y se ejecuta como comando | 9.º |
| Inyección de código (CWE-94) | La entrada externa se evalúa y se ejecuta como código del programa | 10.º |
| Subida de archivos peligrosa (CWE-434) | Se coloca un archivo ejecutable en el servidor y se ejecuta allí (→ vulnerabilidades de subida de archivos, en inglés) | 12.º |
| Deserialización insegura (CWE-502) | Se ejecuta código al restaurar datos recibidos del exterior (→ deserialización insegura, en inglés) | 15.º |
| Corrupción de memoria (CWE-787 y otras) | Software escrito en C/C++ escribe fuera de los límites de su memoria y se secuestra su ejecución | 5.º (escritura fuera de límites) |
Las cuatro primeras son las que más probablemente introduzcas en tu propia aplicación. La corrupción de memoria aparece sobre todo en sistemas operativos, dispositivos de red y librerías, donde la defensa del usuario es actualizar.
Casos reales: se atacan los productos accesibles desde fuera
- Dispositivos de red: en julio de 2024, las agencias estadounidenses CISA y FBI emitieron una alerta pidiendo a los fabricantes eliminar la inyección de comandos del SO, después de que fallos de este tipo en dispositivos de red perimetrales se explotaran como RCE sin autenticación (→ defensa de dispositivos VPN, en inglés).
- Herramientas de IA: Langflow, una herramienta para crear agentes de IA, tenía una RCE sin autenticación en su función de validación de código (CVE-2026-0770), que se añadió al KEV (→ CVE-2026-0770 explicada, en inglés).
- CMS: un fallo de inclusión de archivos en el núcleo de WordPress (CVE-2026-87902) lleva a una RCE cuando se dan ciertas condiciones en el servidor (→ CVE-2026-87902 explicada, en inglés).
Lo que tienen en común es que los productos están en un lugar al que se puede llegar desde internet sin autenticación. El peligro de una RCE no depende solo del fallo en sí, sino en gran medida de si es accesible desde fuera.
Qué comprobar cuando oyes «RCE con CVSS 10.0»
¿Lo usas?
Usa la consulta de CVE / KEV para ver el producto y las versiones afectados a partir del número de CVE, y compáralos con las versiones que realmente se ejecutan en tu entorno. Para las dependencias, osv-scanner las revisa todas de una vez.
¿Es accesible desde fuera?
Comprueba si la función afectada o la pantalla de administración se puede alcanzar desde internet sin autenticación. Si es así, plantéate desconectarla hasta actualizar.
¿Se está explotando?
Si figura en el KEV de CISA, se está explotando en la práctica. Para interpretar las puntuaciones, consulta priorizar con CVSS, EPSS y KEV.
Tras actualizar, busca señales de intrusión
Si alguien entró antes de la actualización, seguirá dentro después. Busca archivos desconocidos, cuentas nuevas y tráfico saliente sospechoso (C2).
Fuentes (primarias)
- MITRE, «2025 CWE Top 25 Most Dangerous Software Weaknesses» (diciembre de 2025) — cwe.mitre.org (en inglés; puestos de CWE-78, 94, 434, 502 y 787)
- CISA y FBI, «Secure by Design Alert: Eliminating OS Command Injection Vulnerabilities» (10 de julio de 2024) — cisa.gov (en inglés)
- FIRST, «CVSS v3.1 Specification Document» — first.org (en inglés; cómo se puntúa la gravedad)
- CISA, «Known Exploited Vulnerabilities Catalog» — cisa.gov (en inglés)
Sigue leyendo
- Glosario: Qué es una CVE · Qué es CVSS
- Historia: Log4Shell: RCE a través de una dependencia
- Defensa: Ejecutar Next.js con seguridad (higiene de CVE)