No són errors vells: són classes d'error velles. Hem comptat el catàleg de CISA

Aquesta setmana ha circulat un titular còmode: que el que més s'explota són errors que haurien d'estar erradicats des de fa dècades. Ens ho hem cregut a mitges, així que hem fet l'única cosa sensata amb un tema que es pot mesurar: descarregar el catàleg sencer i comptar-lo. Són 1.685 entrades. De les 201 que CISA ha afegit en el que portem de 2026, 123 tenen identificador del 2026 i la mediana del desfasament amb l'any d'alta és zero. Això respon a una pregunta que el titular no estava fent, i pel camí ha aparegut una altra cosa que sí que canvia la feina de demà.

El catàleg es diu Known Exploited Vulnerabilities, KEV per als amics, i és la llista que CISA manté amb les vulnerabilitats de les quals existeix prova d'explotació real. Dels més de quaranta mil CVE que es publiquen cada any, aquí només hi entra el que algú ha vist fer servir. I es publica en un fitxer JSON obert, sense registre i sense API de pagament, de manera que qualsevol pot fer el compte en comptes de refiar-se del resum d'un altre.

El recompte, perquè el puguis refer

Hem treballat sobre la versió 2026.08.27 del catàleg, publicada el 27 d'agost a les 17:00 UTC. Són dues ordres:

curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json -o kev.json

jq -r '[.vulnerabilities[] | select(.dateAdded >= "2026-01-01") | (.cveID|split("-")[1])]
       | group_by(.) | map("\(.[0]): \(length)") | join(", ")' kev.json

Un avís abans que algú ens escrigui: el curl descarrega sempre el fitxer vigent, no la foto que hem fet servir nosaltres. Si l'executes d'aquí a un mes et sortiran més entrades i altres percentatges, i estarà bé. Aquesta és la foto de la versió del 27 d'agost, amb les 201 entrades que CISA va afegir entre l'1 de gener i aquella data, repartides per l'any del seu identificador CVE (l'ordre les retorna de més antiga a més recent; aquí les ordenem al revés):

123 de 201 són d'aquest mateix any, i unes altres 34 de l'anterior: el 78 % del que CISA ha confirmat explotat el 2026 té identificador del 2025 o del 2026. La mitjana del desfasament surt d'1,76 anys, i aquesta mitjana l'estiren unes poques entrades molt antigues; la mediana, que descriu el cas típic, és zero. El gruix del que s'explota avui és material fresc.

Aleshores, d'on surt això de les dècades?

De dues coses que s'assemblen i no són el mateix. Un CVE és una instància: aquest error concret, en el producte d'un fabricant concret, en un interval de versions. Un CWE és la classe, la manera d'equivocar-se que el va produir. Els titulars parlaven de classes. L'article que ho va originar ho explica amb cura; és el titular el que es presta al malentès, i nosaltres hi vam picar com tothom.

El que és bo és que aquesta part també es pot mesurar amb el mateix fitxer, perquè cada entrada del catàleg porta un camp cwes. El porten 1.510 de les 1.685. Comptant-lo, les classes que més apareixen entre les vulnerabilitats amb explotació confirmada són aquestes:

No hi ha ni una sola sorpresa en aquesta taula, i aquesta és exactament la notícia. La primera és no comprovar el que t'arriba. La tercera i la cinquena són escriure fora del lloc reservat a la memòria, que és l'error que ensenyen a segon curs. Totes estaven descrites i amb nom propi molt abans que existís la meitat del programari que avui les conté.

Això encaixa amb el que diu el Vulnerability Review que CISA va publicar el 28 d'agost, una anàlisi dels registres CVE i KEV dels seus anys fiscals 2024 i 2025: set dels deu CWE més freqüents del 2025 continuaven sent defectes que MITRE ja va qualificar d'imperdonables el 2007. L'informe atribueix a la família de les injeccions 7.701 CVE el 2024 i 21.019 el 2025. Aquesta segona xifra s'ha d'agafar amb pinces: gairebé triplicar en un any s'explica millor per una millor assignació de classes que per una explosió real d'injeccions, i són anys fiscals, no naturals.

La cua llarga existeix, i mesura una altra cosa

D'aquestes 201 entrades del 2026, 35 porten un identificador del 2023 o anterior, 16 són del 2019 o anterior i 10 del 2012 o anterior. Aquí hi ha peces de museu. El 20 de maig va entrar a la llista CVE-2008-4250, l'error del servei Server de Windows que Microsoft va apedaçar fora de cicle l'octubre del 2008 amb el butlletí MS08-067 i pel qual es va propagar el cuc Conficker. El 26 d'agost van entrar CVE-2015-3246 i CVE-2015-5287, dos errors de Red Hat de fa onze anys, en la mateixa tanda que CVE-2026-8452 de NetScaler, del qual vam parlar divendres. L'identificador més antic del catàleg sencer és CVE-2002-0367.

La lectura fàcil seria que hi ha gent sense apedaçar des del 2008. Potser n'hi ha, però la dada no diu això. La data d'alta mesura quan CISA confirma que hi ha explotació, no quan aquella explotació va començar. Un error del 2008 que entra el 2026 no ha ressuscitat: el més probable és que porti anys fent-se servir contra sistemes que ningú no mirava i que enguany algú l'hagi documentat per fi en termes que permetin anotar-lo. La cua llarga mesura com de tard arriba la prova. És la nostra lectura, no una dada del catàleg.

El que no anàvem a buscar: al juny van canviar les regles

Cada entrada del catàleg porta una data límit de correcció. En comptar la diferència entre la data d'alta i aquella data límit a les 201 entrades del 2026 ens va sortir una mitjana estranya, així que vam partir la llista per mesos. I la ratlla apareix sola al juny:

Fins al 9 de juny els terminis es repartien entre 21 dies (44 entrades), 14 dies (55) i 3 dies (31). Des del 10 de juny només queden dos valors: 55 entrades amb tres dies i 13 amb catorze. Res més. L'explicació no és al fitxer, és al Butlletí Oficial d'allà: el 10 de juny del 2026 CISA va emetre la directiva BOD 26-04, «Prioritizing Security Updates Based on Risk», que deroga expressament la BOD 22-01 del 2021 i la BOD 19-02 del 2019. En comptes d'un termini únic per a tot el catàleg, la nova munta una matriu que puntua exposició de l'actiu, evidència d'explotació, capacitat d'automatització de l'atacant i impacte tècnic; el pitjor de la matriu es corregeix en tres dies i, a més, amb triatge forense obligatori.

Convé dir a qui obliga això abans que ningú s'espanti: a les agències civils federals dels Estats Units. A la teva empresa no l'obliga ningú. Però és el millor senyal públic que hi ha sobre la velocitat a què l'organisme que manté la llista creu que cal moure's, i aquest senyal s'ha multiplicat per tres i mig aquest estiu. Nosaltres ho vam veure per primera vegada divendres, en el mateix text del catàleg per a l'error de NetScaler, que ja exigia BOD 26-04 més els requisits de triatge forense.

Aquí hi ha el nus, i ho diem sense adorns perquè és el que veiem en empreses reals: una pime no té un procés d'aplicació de pedaços que guanyi aquesta cursa de manera sostinguda. Tres dies laborables inclouen la persona que ho ha de fer de vacances, la finestra d'aturada que cal negociar amb qui factura, i el proveïdor del programari vertical que encara no ha certificat la versió nova. Qui et digui que la solució és «apedaçar més ràpid» no ha mirat el calendari d'una empresa de quaranta persones.

El que el recompte NO diu (i on ens equivocaríem)

Si agrupes les 201 entrades del 2026 per fabricant, el repartiment és temptador. Van els dotze amb quatre o més, de 88 fabricants diferents: Microsoft 36, Cisco 14, Apple 8, Fortinet 6, i amb 5 cadascun Google, Ivanti, Linux i Synacor, i amb 4 cadascun Adobe, Langflow, Oracle i SolarWinds. La temptació és publicar això com a rànquing de mals fabricants. Seria un error, i ho diem sabent que un titular així funcionaria millor. Aquest recompte mesura superfície instal·lada, atenció dels investigadors i disposició del fabricant a reconèixer els seus errors. Microsoft encapçala la llista perquè el seu programari és a tot arreu i perquè, quan una cosa s'explota, se sap. Si deixes de comprar-li arran d'aquesta taula, has llegit malament la taula.

Hi ha una segona cosa que el recompte no diu, i és més important: el catàleg és un terra, no un sostre. Només recull el que algú ha vist, confirmat i comunicat. El que falta de la llista és el que encara ningú no ha enxampat. En la mateixa línia, 352 de les 1.685 entrades —el 21 %— estan marcades amb ús conegut en campanyes de ransomware, i el 2026 en són 24 de 201. Les altres hi figuren com a Unknown, que vol dir «no consta».

El que sí que pots decidir

No pots apedaçar una classe d'error, i no pots fer que el teu proveïdor de programari validi les seves entrades. El que sí que controles són quatre decisions, totes d'arquitectura. Cap no és nova ni brillant; continuen funcionant quan el pedaç arriba tard, que és tot el seu mèrit.

• Què està publicat a internet. Mira una altra vegada la taula de classes: la validació d'entrada, la injecció d'ordres i el salt de directori necessiten que algú arribi a l'entrada. Un panell de gestió accessible només des de la xarxa interna o des de VPN retalla el catàleg a la part que t'afecta de debò. És la mesura més avorrida de totes i la que més disgustos ens ha estalviat.
• Amb quins privilegis corre cada servei. El mateix error val un ensurt o val el domini sencer segons el compte sota el qual s'executa el procés. Ho vam escriure ahir arran de PaperCut: la criticitat d'un servidor la fixa amb quins privilegis corre i a què està connectat, no el que fa de cara a l'usuari.
• Què veu aquest servei si se l'emporten. A les xarxes que ens trobem, segmentar acostuma a ser una tarda de tallafocs, i decideix si un servidor compromès és un incident o una reconstrucció.
• Què passa quan falli igualment. Perquè fallarà. Detecció per comportament en lloc de per signatura, que és el que delata un binari legítim fent una cosa que no fa mai. I una còpia que hagis restaurat de debò alguna vegada: el nostre últim simulacre de recuperació completa va durar catorze minuts, i ho expliquem com a prova, no com a promesa. Una còpia sense provar no és una còpia: és un amulet.

I hi ha una cinquena decisió que gairebé ningú no pren i que és l'única que ataca la classe en lloc del cas: què li exigeixes al programari abans de comprar-lo. El recompte brut de CVE del fabricant ja hem vist que no serveix. El seu comportament sí: si publica identificadors dels seus propis errors en lloc d'arreglar-los en silenci, si té un canal de divulgació, si lliura inventari de components, si documenta amb quins privilegis corren els seus serveis. Són quatre preguntes i caben en un plec. A la nostra consultoria les fem sempre, i no som resellers de cap plataforma: això és el que ens permet respondre «aquest no» quan toca.

Quan això no va amb tu

Si no tens res publicat a internet tret de la web corporativa a casa d'un tercer, i tot l'accés remot passa per VPN amb segon factor, bona part d'aquest catàleg no t'aplica i no mereix que hi perdis el matí. Si a més el teu proveïdor d'IT t'envia cada mes quina versió corre cada cosa, contrastada contra aquesta llista, això és un article i no una tasca pendent. I si tens equip de seguretat propi, aquest recompte ja l'havies fet; ens agradaria veure els teus números, perquè els nostres surten d'una estona d'aquest matí i d'un sol fitxer.

Nou l'error, vell el modus

El que s'explota és d'enguany. La manera d'aconseguir-ho fa des del 2007 que està descrita, i les sis classes de la taula ho confirmen amb el mateix fitxer de CISA. A sobre, des del 10 de juny el 81 % del que entra a la llista arriba amb tres dies de termini, així que la via de la velocitat està tancada per a una empresa normal. Queda l'altra: què exposes, amb quins privilegis ho corres, què veu si te'l prenen i què has provat que pots restaurar. Descarregar la llista costa un segon i comptar-la, vint minuts; comença per aquí, sobretot si en acabar descobreixes que la teva defensa es pot apagar amb un reinici.

Fonts (consultades el 30 d'agost del 2026): tots els recomptes d'aquest article són nostres, calculats amb jq sobre la versió 2026.08.27 del catàleg Known Exploited Vulnerabilities de CISA, publicada el 27 d'agost a les 17:00 UTC. En surten: les 1.685 entrades, les 201 del 2026, el repartiment per any de l'identificador, les 35 amb identificador del 2023 o anterior, la taula de classes CWE (1.510 entrades amb el camp cwes emplenat), el tall de terminis del 10 de juny, el repartiment per fabricant, les 352 entrades amb ús conegut en ransomware i les dates d'alta de CVE-2008-4250, CVE-2015-3246 i CVE-2015-5287. El fitxer és a cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json i les ordres són a dalt perquè qualsevol ens pugui contradir. La derogació de la BOD 22-01 i la BOD 19-02, la data del 10 de juny del 2026, la matriu de priorització i el triatge forense obligatori, a BOD 26-04, «Prioritizing Security Updates Based on Risk». Que set dels deu CWE més freqüents del 2025 ja eren a la llista de defectes imperdonables de MITRE del 2007, i les xifres d'injeccions (7.701 CVE el 2024 i 21.019 el 2025), provenen del CISA Vulnerability Review del 28 d'agost del 2026, a través de la cobertura de The Register i d'altres cobertures de l'informe: ho assenyalem perquè el servidor de CISA ens va retornar un 403 en intentar llegir aquella pàgina de manera automàtica i no hem pogut contrastar aquelles dues xifres absolutes amb el document original, a diferència de tota la resta. L'atribució de CVE-2008-4250 al butlletí MS08-067 i al cuc Conficker, al registre públic del CVE. Són nostres, i les marquem com a criteri i no com a fets publicats: la lectura de la cua llarga com a retard de la prova, l'advertiment de no fer servir el recompte per fabricant com a rànquing de qualitat, la sospita que el salt de 7.701 a 21.019 sigui de classificació i no de realitat, i les cinc decisions del final. La dada dels catorze minuts és interna, del nostre últim simulacre de recuperació completa, i la donem com a prova i no com a compromís contractual.