Puntos clave
- La National Vulnerability Database es el repositorio del gobierno de Estados Unidos que cataloga las vulnerabilidades de software y hardware divulgadas públicamente mediante identificadores CVE estandarizados y puntuaciones de gravedad CVSS.
- El NIST creó la NVD en 2005 como sucesora del Internet Category of Attack Toolkit, que hacía seguimiento de vulnerabilidades de software desde 1999.
- Una vulnerabilidad entra en la NVD después de que un investigador de seguridad, un proveedor o un desarrollador la notifique, MITRE le asigne un identificador CVE y el NIST revise la entrada y le asigne una puntuación de gravedad.
- En abril de 2026, el NIST pasó la NVD a un modelo de enriquecimiento basado en riesgos que prioriza las vulnerabilidades del catálogo Known Exploited Vulnerabilities de CISA, el software federal y el software crítico, en lugar de todo el catálogo de envíos.
- Los equipos de TI no deberían depender solo de la NVD, ya que puede sufrir retrasos en los datos y tener una cobertura incompleta; conviene complementarla con otras fuentes de inteligencia de amenazas.
La National Vulnerability Database (NVD) es un recurso de información que ofrece el gobierno de Estados Unidos y que cataloga vulnerabilidades de seguridad en un formato estandarizado y consultable. Incluye bases de datos de productos de software y hardware, sus fallos de seguridad conocidos (incluidas las configuraciones incorrectas) y su gravedad e impacto. La NVD es un recurso muy útil para que los profesionales de TI se mantengan al día de los posibles problemas de seguridad de su infraestructura de TI.
Esta guía completa explica qué es la National Vulnerability Database y por qué es importante en ciberseguridad. Te ofrecerá una visión general de su funcionamiento y te ayudará a aprovecharla en tus operaciones de seguridad TI para evaluar, clasificar y mitigar las vulnerabilidades que se esconden en tu software y tus sistemas.
Detecta, gestiona y resuelve vulnerabilidades sin complicaciones.
📝 Regístrate para una prueba gratuita de NinjaOne Vulnerability Management.
¿Qué es la National Vulnerability Database? Estructura y componentes de la NVD
La National Vulnerability Database se creó en 2005 con financiación estadounidense como sucesora del Internet Category of Attack Toolkit (ICAT), que catalogaba vulnerabilidades de software desde 1999. En agosto de 2026, la NVD había documentado más de 374.000 vulnerabilidades, y el ritmo de detección sigue acelerándose rápidamente.
La NVD se construye en torno a una base de datos de vulnerabilidades y productos afectados. Estos son sus componentes y funciones principales:
- Vulnerabilidades: también incluye información sobre productos y versiones de software concretos, así como el identificador Common Vulnerabilities and Exposures (CVE) de cada vulnerabilidad. Los productos se identifican de forma unívoca mediante su Common Platform Enumeration (CPE).
- Puntuaciones de gravedad y métricas de impacto: las puntuaciones del Common Vulnerability Scoring System (CVSS) y las métricas de impacto informan sobre la gravedad y las posibles consecuencias de la vulnerabilidad, incluido su efecto sobre la confidencialidad, la integridad y la disponibilidad del producto afectado.
- Recomendaciones de mitigación: para cada vulnerabilidad, la NVD indica las medidas recomendadas que deberías aplicar para eliminarla (por ejemplo, con un parche de software o un cambio de configuración que la resuelva) o para mitigarla con configuración o protección adicionales.
La NVD ofrece funciones de búsqueda y filtrado para que puedas comprobar si tus dispositivos y software presentan vulnerabilidades que requieran mitigación o la aplicación de parches. Además, la NVD también pone a disposición un repositorio de listas de comprobación consultable: directrices y buenas prácticas para productos concretos que puedes seguir para proteger mejor tu infraestructura de TI frente a vectores de ataque conocidos.
Así funciona la NVD para hacer frente a los riesgos de ciberseguridad
El proceso para añadir una vulnerabilidad a la NVD empieza cuando un investigador de seguridad, un proveedor o un desarrollador detecta un problema en su propio producto. A veces, incluso un usuario final puede notificar un fallo en un dispositivo o software que utiliza.
Las posibles vulnerabilidades se notifican y reciben un ID único en la base de datos CVE para poder seguir el problema. El informe debe incluir detalles de la vulnerabilidad: qué productos afecta, el impacto del exploit y los pasos de mitigación identificados. Una vez creado el CVE, la National Vulnerability Database revisa la entrada, determina su gravedad, le asigna un CVSS y la publica en su base de datos online.
Cómo usar la NVD para evaluar y gestionar vulnerabilidades
Para gestionar y mitigar las vulnerabilidades de seguridad TI, puedes buscar las amenazas relevantes en la NVD, ya sea manualmente o mediante automatización y productos de seguridad que obtienen datos del CVE y de la NVD.
Puedes acceder a la National Vulnerability Database desde su web nvd.nist.gov y buscar las vulnerabilidades que te interesen por su CVE o CPE, o consultar listas de comprobación que puedes seguir para mejorar la configuración de seguridad del software concreto que tengas desplegado.
Sobre la buena práctica de realizar mapeos de red y evaluaciones de vulnerabilidades con regularidad, puedes incorporar la consulta de la NVD a tus tareas rutinarias de mapeo de red. Así te aseguras de que todos los dispositivos de tu red están completamente parcheados frente a amenazas conocidas o de que las amenazas sin parche se mitigan de forma eficaz (por ejemplo, con reglas de firewall adicionales para endpoints concretos).
Por ejemplo, puedes tener hardware heredado (como equipos industriales o médicos caros o difíciles de sustituir) que necesite una versión de software concreta que la NVD marca como insegura. Una vez identificada la amenaza, puedes aislar la máquina, permitir el acceso remoto seguro solo si es necesario y restringir su acceso al resto de la red y a internet. Eso te permitiría seguir usando el sistema sin arriesgarte a quedar expuesto a un método de ataque conocido.
Retos y limitaciones de la NVD en seguridad TI
No puedes confiar únicamente en la NVD para conocer el estado de tu seguridad TI. Tu infraestructura es una combinación única de hardware y software, cada uno con sus propios retos de configuración y vulnerabilidades de seguridad, y algunas pueden facilitar la explotación de otras.
La National Vulnerability Database tampoco es exhaustiva. No incluye (ni puede incluir) todas las vulnerabilidades existentes, sobre todo tras los cambios en los procesos del NIST en 2026. Muchas vulnerabilidades nunca se descubren (y no se explotan en la práctica), mientras que los atacantes pueden encontrar vulnerabilidades que no revelan para poder explotarlas activamente.
Por eso es importante contar con una detección y respuesta a amenazas sólida y realizar evaluaciones y mitigaciones de vulnerabilidades de forma rutinaria, idealmente con herramientas que utilicen fuentes de inteligencia diversas y apliquen heurísticas para detectar código o comportamientos potencialmente maliciosos.
¿Están actualizados los datos de la NVD en 2026?
En abril de 2026, el NIST cambió la forma en que procesa las nuevas vulnerabilidades. Ante un volumen récord de CVE, la NVD ya no enriquece cada envío con una puntuación CVSS y una lista de productos afectados. En su lugar, prioriza las vulnerabilidades incluidas en el catálogo de Known Exploited Vulnerabilities (KEV) de CISA, el software utilizado por el gobierno federal y el software que entra en la definición de software crítico de la Orden Ejecutiva 14028. El resto se publica, pero con la etiqueta «Lowest Priority – not scheduled for immediate enrichment», y puede que nunca reciba una puntuación CVSS.
Esto significa que la entrada de la NVD para un CVE concreto puede mostrar datos básicos sin puntuación de gravedad, especialmente en el caso de todo lo publicado antes del 1 de marzo de 2026 que no cumpliera ya alguna categoría prioritaria.
¿Sigue siendo fiable la NVD? ¿Hay alternativas?
El programa CVE que alimenta la NVD vivió su propio sobresalto de financiación en abril de 2025, cuando el contrato de MITRE con el Departamento de Seguridad Nacional estuvo a punto de expirar. CISA amplió la financiación en el último momento y un grupo de miembros del consejo del CVE creó la organización sin ánimo de lucro CVE Foundation como plan de contingencia. En 2026, CISA ha confirmado la continuidad de la financiación del programa.
Las organizaciones de fuera de EE. UU. también tienen una alternativa: la EU Vulnerability Database (EUVD), gestionada por ENISA y operativa desde mayo de 2025 en el marco de la Directiva NIS 2 de la UE. Esta base de datos hace referencias cruzadas con los mismos identificadores CVE, lo que ofrece a las organizaciones europeas una opción con gobernanza regional además de la NVD.
Detecta las vulnerabilidades antes de que se conviertan en un dolor de cabeza para TI con NinjaOne.
El futuro de la National Vulnerability Database
El papel de la National Vulnerability Database ha evolucionado y se ha asentado, sobre todo con los recientes cambios de proceso del NIST y la aparición de métodos de detección y respuesta con IA capaces de consumir inteligencia de amenazas y formular y desplegar automáticamente estrategias de mitigación adaptadas a su entorno operativo. Esto ha ganado valor frente a amenazas complejas impulsadas por IA que utilizan las mismas tecnologías.
Con todo lo visto, conviene recordar que, aunque la NVD es una buena base de partida, ya no es del todo exhaustiva y solo debería usarse como una de varias fuentes de datos para la gestión de vulnerabilidades. Si vas a desplegar software de gestión y protección de endpoints, asegúrate de que ofrezca suficiente visibilidad para identificar de forma rápida y clara posibles vectores de amenaza nuevos.
¿Quieres entender mejor «qué es la National Vulnerability Database»? Mira esta breve guía en vídeo.
