Dell avisó el 1 de octubre. El CVE se publicó cinco días después

Esta tarde nos sentamos a consultar, uno a uno, los trece identificadores CVE propios que enumera un aviso de Dell publicado hace cinco días. Ocho existían. Cinco devolvían 404. Veinte minutos más tarde los trece estaban publicados: el registro se llenó mientras escribíamos este post.

El aviso es el DSA-2026-448, sobre Dell Container Storage Modules, el componente que conecta las cabinas de almacenamiento de Dell con un clúster de Kubernetes. Publicación inicial: 1 de octubre de 2026. Dentro hay dos vulnerabilidades con la puntuación máxima, CVSS 10.0, trece CVE propios de Dell y otra tanda larga heredada de dependencias de Go. La vía de arreglo es una sola: subir a la versión 1.18.0.

Nosotros no tenemos cabinas Dell ni ese módulo concreto: operamos Kubernetes y Docker Swarm, pero con Proxmox VE y Ceph debajo. Así que lo que medimos aquí no es el riesgo de nadie, sino otra cosa: cuánto tarda en enterarse tu proceso.

Qué consultamos y qué salió

El programa CVE tiene una API pública que no necesita clave ni registro. Se le pide un identificador y contesta el registro oficial o un 404 si todavía no existe. Cogimos los trece identificadores propios del aviso y los pasamos por ella. Esta es la línea, y cualquiera puede repetirla ahora mismo:

for c in 63688 63692 67269 54472 61421 67273 67270 \
         76105 61411 70411 63689 63691 63690; do
  printf "CVE-2026-%s " $c
  curl -s "https://cveawg.mitre.org/api/cve/CVE-2026-$c" \
    | jq -r '.cveMetadata.datePublished // .error'
done

Las marcas de tiempo son las que devuelve el propio registro, no una lectura nuestra. Última comprobación: 15:42 UTC del 6 de octubre de 2026, las 17:42 en hora peninsular.

Cincuenta y siete minutos para los trece registros, a razón de uno cada cuatro o cinco minutos. Y fíjate en la columna del medio: 10, 10, 9,9, 9,8, 9,8, 9,6, 8,2, 7,7, 7,7, 7,1, 6,5, 6,1, 5,4. Trece de trece en orden descendente de gravedad, sin una sola excepción; alguien está vaciando una cola ordenada por CVSS. En nuestra primera consulta faltaban cinco. Preguntamos tres veces más mientras redactábamos esto, y cada vez había uno nuevo; el último entró a las 15:29:48, con el post ya a medio escribir.

En NVD ya están. Y siguen sin servirte

Muchas herramientas de gestión de vulnerabilidades no consultan el registro CVE en bruto: casan tu inventario contra la base de datos nacional estadounidense, NVD, usando los identificadores de producto CPE. Sin CPE, un escáner tiene un texto y ninguna manera automática de saber si habla de ti. Preguntamos por los dos 10.0 y por uno de los 9.8 a las 15:29 UTC, nada más cerrar la tabla de arriba:

curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-63688" \
  | jq '{total:.totalResults,
         published:.vulnerabilities[0].cve.published,
         status:.vulnerabilities[0].cve.vulnStatus,
         cpe:(.vulnerabilities[0].cve.configurations != null),
         score:.vulnerabilities[0].cve.metrics.cvssMetricV31[0].type}'

{ "total": 1,
  "published": "2026-10-06T15:17:18.890",
  "status": "Awaiting Analysis",
  "cpe": false,
  "score": "Secondary" }

Está. NVD no fue siguiendo el goteo: se trajo el lote entero de una pasada a las 15:17, unos cuarenta y cinco minutos después de que apareciera el primer registro. Las otras tres líneas son las que cuentan. Awaiting Analysis: NVD no lo ha analizado. configurations ausente: no hay CPE, no hay nada contra lo que casar tu inventario. Y el único CVSS que lleva está marcado como Secondary, con origen [email protected]: ese 10.0 lo puso Dell, no NVD. Idéntico en los tres que miramos.

Hay una letra pequeña que conviene conocer antes de montar un proceso encima de NVD. Desde el 15 de abril de 2026, NIST prioriza el enriquecimiento de tres grupos: los CVE que aparecen en el catálogo KEV de CISA, los que afectan a software usado por la administración federal estadounidense y los de software crítico según la orden ejecutiva 14028. El resto pasa a una categoría que el propio NIST llama «Lowest Priority - not scheduled for immediate enrichment», y añade sin rodeos que «we will no longer routinely provide a separate severity score for those CVEs». Comprobamos el catálogo KEV, versión 2026.10.04 con 1.734 entradas: ninguno de estos trece CVE está en él. O sea: nada de explotación catalogada por CISA, que es buena noticia, y a la vez ninguno entra por la única de las tres puertas prioritarias que un tercero puede comprobar desde fuera.

Dos relojes, no uno

Aquí no hay a quién señalar, y eso es lo que lo hace difícil de arreglar. Dell es su propia autoridad de numeración —el registro de cada CVE lleva assignerShortName: dell—: reserva los identificadores, publica el aviso a sus clientes cuando tiene el arreglo listo y rellena los registros públicos después. Trece registros a mano llevan la tarde que llevan. Y NVD hace lo que ha anunciado que haría desde abril. Los dos relojes funcionan; lo que no funciona es suponer que marcan la misma hora.

El reloj del fabricante va delante, y la distancia entre los dos no es fija: depende de qué fabricante, de cuántos registros tenga que rellenar y de si el CVE cae o no en uno de los tres grupos prioritarios. Aquí han sido cinco días hasta el registro, y el enriquecimiento con CPE —el que hace que una herramienta pueda decidir por ti— podría no llegar nunca. Si tu procedimiento dice «cuando el escáner lo marque como crítico, abrimos ticket», acabas de descubrir que ese disparador puede no dispararse.

Ya escribimos sobre qué haces cuando no hay parche. Aquí el parche lleva cinco días disponible y el proceso sigue sin enterarse, porque espera a que se lo diga un tercero.

Qué hay dentro, si sí te toca

Para quien tenga Dell CSM en un clúster, lo esencial de los registros que ya son públicos, en palabras de la propia Dell:

Esas dos últimas merecen un párrafo aparte, y aquí ya opinamos nosotros. Una credencial embebida en un producto que se distribuye públicamente nunca fue un secreto: lo era por despiste, no por diseño. Subir el binario a 1.18.0 quita la credencial del código, pero no revoca lo que ya esté desplegado y confiando en ella. Si en tu instalación hay un secreto de firma o un token que vino de serie y nadie cambió, el salto de versión no lo invalida. Eso hay que rotarlo a mano, y es justo el paso que se cae de un proceso que mide el parcheo contando versiones instaladas.

Sobre cómo leer un aviso con muchos CVE de golpe sin dejarse llevar por el titular ya escribimos a propósito de otra tanda de diez. Aplica igual aquí: la puntuación más alta no siempre es la que más te afecta a ti.

La pregunta que queda

Si el reloj que va delante es el del fabricante, la pregunta deja de ser técnica: ¿quién está suscrito a ese aviso, y qué hace el jueves por la tarde cuando llega? Un módulo CSI vive justo en la costura entre dos equipos. El de almacenamiento dice que eso es de Kubernetes. El de plataforma dice que eso es de la cabina. Los dos tienen razón y ninguno lo tiene en su lista.

Nosotros llevamos el inventario en NetBox y tratamos cada pieza de producción —incluidas las internas— como lo que es: algo con dueño y con ventana de actualización. Lo que este episodio nos deja es una columna más que recomendar: de qué boletín de fabricante depende cada componente y quién lo lee. Es fea de mantener, y es la que convierte un aviso en un ticket el mismo día en lugar de esperar a que un tercero lo traduzca. Esa idea de un solo equipo con objetivos compartidos sobre seguridad, infraestructura y datos es exactamente lo que es el programa RID, en vez de tres listas que no se tocan. Y la parte de que alguien lea el aviso a las cinco de la tarde de un martes es, literalmente, el soporte 24×7.

Lo que no afirmamos

Con cuatro servidores, un hipervisor y ningún componente que viva entre dos fabricantes, esto no te hace falta: un correo bien suscrito y leído cumple el mismo papel sin ceremonial. Empieza a importar cuando aparecen las costuras —cabina más orquestador, cortafuegos más concentrador de VPN, identidad más aplicación—, que es justo donde vive el módulo del que va este post. Y el conflicto de interés, dicho por delante: vendemos servicios gestionados y soporte. Si esa columna la lleva tu gente, perfecto y no nos facturas nada; si prefieres que la llevemos nosotros, cuéntanoslo. La opción mala es la tercera, que es la habitual.

Fuentes