El fuerte crecimiento del número de vulnerabilidades y el uso de inteligencia artificial para descubrir nuevos fallos están obligando a revisar el funcionamiento del programa CVE. CISA ha presentado un marco con el que pretende reforzar la calidad, fiabilidad y utilidad de la información que alimenta buena parte de las herramientas de gestión de vulnerabilidades.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) quiere abrir una nueva etapa en la evolución del programa Common Vulnerabilities and Exposures (CVE). Tras años centrados en ampliar su alcance y el número de organizaciones capaces de asignar vulnerabilidades, la prioridad pasa ahora por mejorar la calidad de la información que ofrece el sistema.
El nuevo marco, denominado CVE Program: Establishing a Quality Era Framework, responde al fuerte aumento del volumen de vulnerabilidades. A 18 de septiembre se habían publicado más de 67.000 CVE durante 2026 y las previsiones apuntan a que la cifra podría acercarse a los 96.000 al cierre del año. Además, el número de vulnerabilidades remitidas al National Vulnerability Database (NVD) aumentó un 263 % entre 2020 y 2025.
A este crecimiento se suma el impacto de la inteligencia artificial y de las herramientas automatizadas, que permiten descubrir y analizar vulnerabilidades con mayor rapidez. Para CISA, esta aceleración hace todavía más importante que los registros sean completos, coherentes y útiles para quienes posteriormente utilizan esa información para evaluar y priorizar riesgos.
Cuatro áreas para mejorar el programa CVE
El marco establece cuatro grandes dimensiones sobre las que trabajar: la gobernanza del programa, la participación del ecosistema, la infraestructura de datos y el contenido de los propios registros CVE. La intención es mejorar tanto el funcionamiento interno como la calidad de la información que reciben fabricantes, investigadores y proveedores de herramientas de seguridad.
Entre las posibles métricas se encuentran el tiempo necesario para tomar decisiones de gobernanza, la diversidad y participación de las CVE Numbering Authorities (CNA), la disponibilidad y rendimiento de las API o el porcentaje de registros que cumplen determinados criterios de calidad. CISA, sin embargo, todavía no ha fijado objetivos concretos ni plazos para estas métricas.
La modernización tecnológica será otra de las piezas del proceso. El programa CVE ya trabaja en nuevas capacidades de automatización y validación que permitan detectar problemas antes de publicar los registros y facilitar que las distintas organizaciones utilicen criterios más homogéneos. También se estudian nuevas capacidades de búsqueda mediante API y mecanismos que ayuden a conservar las referencias asociadas a las vulnerabilidades.
El planteamiento da continuidad a la estrategia presentada por CISA en 2025, cuando defendió que CVE debía mantener su carácter abierto, gratuito y neutral respecto a los fabricantes. La agencia considera el programa un bien público para la comunidad de ciberseguridad y sostiene que su evolución debe mantener una participación internacional en su gobernanza.
El reto ahora será trasladar este marco a medidas concretas. CISA y el programa CVE prevén publicar durante los próximos meses más detalles sobre la modernización de su infraestructura y de los sistemas de gestión de datos, mientras continúan trabajando con las CNA, investigadores, fabricantes y usuarios de la información CVE.
