Gestión de parches.

La gestión de parches cubre todo el ciclo desde la divulgación de la vulnerabilidad hasta la remediación verificada en sistemas operativos, firmware, aplicaciones, contenedores y dependencias. Los programas maduros priorizan parches con datos de explotabilidad (CVSS, EPSS, KEV), criticidad de negocio y controles compensatorios, y los despliegan en anillos escalonados para limitar el riesgo operativo. Automatización, ventanas de cambio, planes de reversión y SLAs por severidad son imprescindibles.

La ventana que te mata está entre el parche y el despliegue

Que exista un parche no protege a nadie; instalarlo sí, y el hueco entre ambos es donde ocurren las brechas.

• Equifax (2017): el fallo de Apache Struts CVE-2017-5638 se parcheó el 7 de marzo de 2017; los atacantes empezaron a explotar el portal sin parchear de Equifax hacia el 10 de marzo y exfiltraron datos de unos 147 millones de personas hasta finales de julio, porque la corrección nunca se aplicó.
• WannaCry (mayo de 2017): Microsoft publicó MS17-010 el 14 de marzo de 2017, corrigiendo el fallo de SMBv1 (CVE-2017-0144) que abusaba el exploit filtrado EternalBlue. Dos meses después, organizaciones que no lo habían desplegado —incluidas partes del NHS británico— quedaron paralizadas por un ransomware que se propagaba como gusano.
• Log4Shell (CVE-2021-44228, 2021): una RCE trivialmente explotable en una librería de logging omnipresente mostró por qué un inventario de software (SBOM) vivo es hoy parte de la gestión de parches.

Cómo priorizan los programas maduros

Como ningún equipo puede parchearlo todo a la vez, los programas modernos ordenan el trabajo por probabilidad de explotación, no solo por CVSS. El catálogo Known Exploited Vulnerabilities (KEV) de CISA (lanzado en noviembre de 2021) y las puntuaciones EPSS de FIRST permiten priorizar el pequeño conjunto de fallos bajo ataque activo, mientras las correcciones rutinarias fluyen por anillos escalonados con planes de reversión.

flowchart LR
  A[Vulnerabilidad divulgada / CVE] --> B[Inventario de activos + SBOM:<br/>¿estamos afectados?]
  B --> C[Priorizar: CVSS + EPSS + KEV<br/>+ criticidad de negocio]
  C --> D[Probar en anillo piloto]
  D --> E[Despliegue escalonado:<br/>general y luego producción]
  E --> F[Verificar con nuevo escaneo]
  F -->|Fallo / regresión| G[Reversión + control compensatorio]
  G --> D