CVE

Qué es un CVE

Un CVE es el identificador único con el que se cataloga públicamente una vulnerabilidad conocida de un software (de WordPress, un plugin o un tema), para que todo el sector pueda referirse a ella sin ambigüedad.

Es como el número de expediente que se asigna a una denuncia: da igual cómo cada persona cuente lo ocurrido, todo el mundo (policía, abogados, prensa) puede referirse exactamente al mismo caso con ese número. Con el software pasa algo parecido: cuando se descubre un fallo de seguridad en un plugin, un tema o el propio WordPress, se le asigna un código CVE (de «Common Vulnerabilities and Exposures»), con el formato CVE-año-número, para que cualquier escáner, firewall o desarrollador sepa exactamente a qué fallo concreto se refiere.

Cómo funciona

1. Un investigador de seguridad, o el propio desarrollador del plugin o tema, descubre un fallo que podría explotarse.
2. El fallo se registra y se le asigna un identificador CVE único, del tipo CVE-2025-12345.
3. Se publica junto a una puntuación CVSS (de 0 a 10) que indica su gravedad: cuanto más alta, más urgente es aplicar la solución.
4. Los escáneres de seguridad, los firewalls y los propios desarrolladores usan ese identificador para saber con precisión qué versiones están afectadas y qué parche las corrige.
5. El desarrollador publica una actualización que soluciona el fallo; quien no actualiza sigue expuesto exactamente a ese CVE.

Ejemplo

Una tienda online de decoración en Alicante tenía instalado un plugin de reseñas de producto en una versión con un CVE publicado meses atrás y una puntuación CVSS alta. Detectamos el aviso en un escaneo de rutina, actualizamos el plugin a la versión que corregía el fallo antes de que nadie llegara a aprovecharlo, y revisamos el resto de plugins instalados para comprobar que ninguno tuviera un CVE pendiente de parchear.

Señales de que te afecta

• Tienes un plugin o tema que lleva meses, o años, sin actualizarse.
• Un escaneo de seguridad te avisa de un CVE asociado a algo instalado en tu web.
• Usas plugins poco mantenidos, o de desarrolladores que ya no los actualizan.
• No sabes si las versiones que tienes instaladas corresponden a alguna vulnerabilidad ya conocida públicamente.

Cómo lo resolvemos

Revisamos qué plugins, temas y versión de WordPress tienes instalados y los cruzamos con las vulnerabilidades (CVE) conocidas para ese software, priorizando las que tienen mayor puntuación CVSS. En nuestro servicio de seguridad WordPress nos encargamos de que ningún CVE conocido quede sin corregir en tu web. Esto va de la mano de una buena gestión de las actualizaciones y de contar con un firewall (WAF) que bloquee los intentos de explotación mientras se aplica el parche.

Preguntas frecuentes

¿Tener un CVE asociado a un plugin significa que mi web está hackeada?

No necesariamente: un CVE indica que existe una vulnerabilidad conocida en una versión concreta del software, no que alguien la haya explotado ya en tu caso — pero cuanto más tiempo pase sin actualizar, más riesgo corres.

¿Dónde se publican los CVE?

Los mantiene un sistema de catalogación coordinado a nivel internacional, y los escáneres de seguridad y los plugins especializados de WordPress los consultan automáticamente para avisarte si algo instalado en tu web está afectado.

¿Qué es exactamente la puntuación CVSS?

Es un número de 0 a 10 que mide la gravedad de un CVE según lo fácil que sea explotarlo y el daño que podría causar; una puntuación alta significa que conviene actualizar cuanto antes, no dejarlo para más tarde.