Entra en vigor el nuevo estándar 'CNA Rules v4.2.0' del CVE Board para la divulgación y gestión de vulnerabilidades

El programa global de Identificación de Vulnerabilidades Comunes y Exposiciones (Common Vulnerabilities and Exposures - CVE), supervisado por el CVE Board y MITRE, ha oficializado la entrada en vigor del nuevo marco operativo y normativo CNA Rules versión 4.2.0. Este estándar es de cumplimiento obligatorio para las más de 380 Autoridades de Numeración de CVE (CVE Numbering Authorities - CNAs) que operan en 40 países de todo el mundo, incluyendo a gigantes como Microsoft, Google, Red Hat, Apple y agencias nacionales de ciberdefensa.

Mayor transparencia y prohibición de cláusulas restrictivas

La actualización v4.2.0 introduce reformas profundas destinadas a erradicar las prácticas de opacidad corporativa que históricamente retrasaban la divulgación de fallos de seguridad. Entre los cambios normativos más destacados se encuentran:

• Prohibición expresa de acuerdos de confidencialidad (NDAs) dilatorios: Las CNAs tienen terminantemente prohibido imponer acuerdos de confidencialidad a investigadores de seguridad independientes que impidan o posterguen la asignación y publicación de identificadores CVE una vez que exista un parche o mitigación disponible.
• Estandarización de vulnerabilidades por configuraciones inseguras: Se clarifican los criterios técnicos para catalogar como vulnerabilidades formales aquellos fallos originados en configuraciones inseguras por defecto (*insecure by default*) provistas por el fabricante.
• Plazos estrictos de publicación: Obligación de publicar los detalles técnicos del registro CVE dentro de los 30 días posteriores a la liberación pública del parche correctivo.

«La entrada en vigor de CNA Rules v4.2.0 representa un triunfo histórico para la comunidad global de investigación en ciberseguridad. La transparencia obligatoria y la estandarización en la asignación de CVEs son indispensables para reducir las ventanas de exposición que aprovechan los ciberdelincuentes.» — Anuncio Oficial en CVE.org News & Blog, agosto 2026.

Impacto en el ciclo de vida del software y en los equipos de DevSecOps

Para los directores de ciberseguridad (CISOs) y administradores de sistemas, este nuevo estándar garantiza una mayor agilidad y calidad en los feeds de inteligencia sobre amenazas. Las herramientas automatizadas de escaneo de vulnerabilidades (SCA y DAST) recibirán información más precisa y temprana sobre componentes de código abierto y software comercial comprometidos.

Responsabilidades reforzadas para empresas fabricantes de software

Las compañías que actúan como CNAs deberán documentar de manera transparente la descripción técnica del impacto, los productos afectados y las versiones exactas corregidas, eliminando descripciones ambiguas que dificultaban evaluar el riesgo real en entornos de producción.

Relevancia para la industria del software en América Latina

Para las software factories y empresas tecnológicas de la región que aspiran a certificarse como CNAs o que comercializan soluciones a nivel internacional, familiarizarse con las reglas v4.2.0 es indispensable para alinear sus procesos de divulgación coordinada de vulnerabilidades con las mejores prácticas globales.

En conclusión, el estándar CNA Rules v4.2.0 fortalece el ecosistema mundial de ciberseguridad, consolidando la colaboración transparente entre investigadores y fabricantes como la base para un software más seguro.