2026-09-04
Qué CVE parchear primero: qué mide de verdad CVSS, EPSS y KEV
CVSS es gravedad, EPSS es probabilidad de explotación y KEV es explotación confirmada. No se sustituyen entre sí. Nuestros datos de las 1.695 entradas de KEV: el 64 % está por debajo de CVSS 9 y el 24 % por debajo de EPSS 0,1, así que tanto «parchear solo lo de puntuación alta» como «EPSS bajo, que espere» fallan en la práctica. Ordena por KEV, luego EPSS, luego CVSS, y fija el plazo según tu propia exposición.