“¿Estamos afectados?” Ya tienes la respuesta.

Un fallo crítico aparece por la mañana, está en todos los feeds y la pregunta llega antes del mediodía. En su escritorio, la alerta salió antes que la pregunta, porque su Monitoreo CVE solo pistas las versiones que realmente ejecutas, declaradas una vez a mano, mediante un SBOM o desde una URL. Nueve fuentes se releen de continuo, entre ellas el catálogo KEV de la CISA y las alertas del CERT-FR. Y el orden de corrección ya está fijado: explotación observada primero, probabilidad durante los 30 días siguientes, gravedad al final.

Crea una cuenta gratis Mira como funciona

Procesamiento < 30 s 360.000 indexado CVEs Construido y alojado en Francia

Plan Free, sin tarjeta de crédito Subprocesadores publicados Exporta tus datos en cualquier momento

Integraciones

Slack Microsoft Teams Discord Email Notificaciones dentro de la aplicación HTTP Webhooks DESCANSO API

Plataforma

Tres guardias que mantener. Uno para leer.

Nueve fuentes de vulnerabilidades alimentan sus alertas: CVE List, NVD, el catálogo KEV de la CISA, el EPSS, PoC-in-GitHub, GHSA, OSV, los avisos y alertas del CERT-FR y la base europea EUVD. Doce fuentes editoriales alimentan su resumen diario. Usted ya solo abre una pestaña; nosotros mantenemos las demás abiertas. Cómo se construye un alcance de monitoreo CVE.

01 · Detección Escaneo

Cada CVE examinó su pila.

Sin ruido. Nuestro motor compara sus tecnologías y sus versiones, mediante el identificador CPE (Common Platform Enumeration, el esquema de nomenclatura que identifica un producto y su versión), frente a 360.000 registros CVE indexados, identificadores reservados y rechazados incluidos. Sólo se transmite lo que toca los componentes declarados.

CVEs crítico que afecta su pila de 1.842 publicados en los últimos 30 días · relación de señal 0,38%

Tu pila · 51 componentes

php 8.1.28

nginx 1.24.0

postgresql 16.2

ubuntu 22.04

node 20.10

redis 7.2.3

elasticsearch 8.11

docker 24.0.7

kubernetes 1.28.4

openssl 3.2.1

mysql 8.0.35

apache 2.4.58

+ 39 más

7 partidos críticos

9.8 CVE-2026-1847 KEV

OpenSSL: RCE mediante análisis de certificados

Explotación pública · parche disponible

9.1 CVE-2026-1801 KEV

Apache 2.4: SSRF en mod_proxy

Explotado activamente · parche disponible

8.1 CVE-2026-1798

PostgreSQL 16: escalada de privilegios

EPSS 0.82 · parche disponible

7.8 CVE-2026-1712

nginx 1.24: desbordamiento del búfer HTTP/3

Mitigación: deshabilitar HTTP/3

7.5 CVE-2026-1689

Node.js 20: prototipo de contaminación

EPSS 0.44 · parche disponible

02 · Anticipación endoflife.date

Ninguna fecha de finalización del soporte te sorprende.

Alertas en D-90, D-30 y D-7 para cada componente de su pila.

dias

PHP 8.1

Fin del soporte de seguridad

31 de diciembre de 2026

D-94CentOS 7SO del servidor

D-218Ubuntu 20.04LTS estándar

D-412Node 18 LTSRuntime

D-548MySQL 5.7Base de datos

03 · Resumen Todas las mañanas a las 8:00

Un resumen diario, no una inundación de RSS.

A esto lo llamamos breve Patchwork: un correo electrónico de las 8 a.m. que resume lo que nuestras 12 fuentes editoriales publicaron el día anterior, filtrado en su pila. Dos minutos de lectura en lugar de doce pestañas.

Patchwork · tu resumen diario

Su informe para el martes 14 de abril

3 críticos CVEs en tu pila

PHP 8.1: fin del soporte en 62 días

CERT-FR informa 2 campañas activas

Fortinet publica 3 avisos importantes

5 parches menores disponibles

2 minutos de lectura Resumen de muestra

Un día en la vida de un CVE

De la publicación a tu canal: menos de 30 segundos de procesamiento.

Dos retrasos, que no deben confundirse. el sincronización: volvemos a leer CVE List, KEV y EPSS continuamente, en ciclos de unos minutos. el procesamiento: una vez que se ve el CVE, hacer coincidirlo con su pila, priorizarlo y notificarle toma menos de 30 segundos. Nadie puede ser más rápido que su propio intervalo de votación; preferiríamos escribirlo.

T+0

Publicación CVE

Detectada en un ciclo de sincronización sobre CVE List v5, el catálogo KEV de la CISA o el EPSS de FIRST.org.

T+15s

Emparejar contra tu pila

Proveedor/producto/versión CPE que coincide con los componentes que declaró, luego un filtro de gravedad mínima.

T+20s

Priorización

Tres señales, en este orden: ¿el CVE ya está siendo explotado (KEV)? ¿Qué posibilidades hay de explotación en un plazo de 30 días (EPSS)? ¿cuánto daño si sucede (CVSS)?

T+30s

Notificación multicanal

Slack, Teams, correo electrónico, webhook. Flujo de trabajo: PENDING → ANALYZING → FIXING → RESOLVED.

Flujos de trabajo

Lo que rehaces en cada alerta, escríbelo una vez.

Elija un desencadenante, agregue sus condiciones, conecte sus acciones. Del CVE detectado al equipo notificado, automáticamente, sin escribir una línea de código.

editor visual

Del gatillo a la acción, sobre un lienzo.

Cree sus automatizaciones en un lienzo: cada flujo de trabajo comienza a partir de un evento, se filtra por condiciones y luego ejecuta acciones en sus canales.

✓CVE, EOL y activadores de certificado nuevo CVE, actualización, PoC, KEV, fin del soporte…
✓Condiciones componibles gravedad, CVSS, EPSS, KEV, producto, proveedor
✓Acciones multicanal Slack, Teams, correo electrónico, webhook, caso
✓Ejecución en seco simular en un CVE real antes de activar

Flujo de trabajo · Alertas críticas

Nuevo CVE en tu pilatrigger.cve_new_match gatillo

Puntuación CVSS ≥ 9,0condition.cvss Condición

Incluido en el catálogo KEVcondition.is_kev Condición

Notificar a Slack / Teamsaction.fire_webhooks acción

crear un casoaction.create_case acción

asistente de IA

Proyecto: Núcleo de producción

¿Cómo puedo ayudar?

Conozco la pila, las alertas y el seguimiento de fin de soporte de su proyecto actual.

¿Cuál es el CVE más grave de mi patrimonio?

¿Cuál de las alertas de esta semana debo manejar primero?

¿Qué productos llegan al final del soporte este trimestre?

Tus conversaciones permanecen en tu espacio de trabajo. Vigie sólo ve los datos técnicos del proyecto seleccionado.

¿Cuál es el CVE más grave de mi patrimonio?

asistente de IA

CVE-2026-1847 es la prioridad en su patrimonio en este momento: CVSS 9.8, confirmó la explotación.

Por qué es lo primero

Agregado al catálogo KEV el 12 de marzo: se explota en estado salvaje, no solo se considera grave.

EPSS al 97%, la puntuación más alta entre sus 214 vulnerabilidades abiertas.

12 de sus servidores se ejecutan OpenSSL 3.2.1; la versión fija es 3.2.2.

El proveedor ha publicado la solución. Puedo preparar el seguimiento de la remediación; No se aplica nada sin su aprobación.

CVE-2026-1847 Crítico 12 de marzo de 2026 KEV Público PoC

OpenSSL · OpenSSL 3.2.1

Desbordamiento de búfer en el manejo de extensiones TLS, lo que permite la ejecución remota de código no autenticado.

CVSS 9.8EPSS 97 %12 activos

Haga una pregunta sobre su patrimonio

Las respuestas pueden contener errores. Comprueba cualquier cosa importante.

asistente de IA

247 CVEs publicado desde anoche. Vigie te señala uno.

Una pregunta en lenguaje sencillo, una respuesta sobre SU inventario: sus versiones, sus alertas, sus plazos de fin de soporte. El tono de un analista, 250 palabras como máximo, y cada CVE que cita se compara con la base de datos antes de mostrarlo.

Entiende tus vulnerabilidadesExplica cada CVE (CVSS, EPSS, KEV, PoC) y qué solucionar primero.

Conoce tu contextoLee su pila, sus alertas, sus fechas límite de EOL y las fuentes de las fuentes que sigue.

no inventa nadaCada identificador que cita se lee de la base de datos: si no existe, no se muestra ninguna tarjeta.

Propone, apruebasActualización de una versión, seguimiento del fin del soporte: Vigie prepara la acción, usted confirma con un clic.

Construido y alojado en Francia · entender EPSS en cinco minutos

entender

Cuatro conceptos, veinte minutos. Suficiente para defender una llamada prioritaria en una reunión.

No le vendes una herramienta de priorización a alguien a quien nunca le explicaste la priorización. Estas cuatro guías se leen en este orden; son gratuitos, no requieren registro y no contienen ni una sola palabra de texto de ventas.

1. El CVE, el identificador

¿Qué se designa exactamente con CVE-2021-44228, quién asigna ese número y por qué dos herramientas pueden describir el mismo defecto de manera diferente.

Qué es realmente un CVE

2. CVSS, la gravedad

Cómo leer un vector campo por campo y por qué un 9,8 no es una instrucción prioritaria sino una medida de daño potencial.

Cómo leer un vector CVSS

3. EPSS, la probabilidad

Qué significa una puntuación de 0,92, por qué se vuelve a calcular cada mañana y qué es lo que enfáticamente no predice.

Cómo estima EPSS el riesgo

4. KEV, el hecho observado

El catálogo de CISA no predice nada: enumera los fallos cuya explotación se ha observado. Es la señal más dura de las cuatro.

Qué requiere el catálogo KEV

API v1 · Planes Pro y Business

CVE DESCANSO API: el monitoreo desciende a su canal de entrega.

Veinte puntos finales REST documentados: lea sus alertas, consulte la base de datos CVE, vea su inventario, bloquee una implementación cuando no se haya manejado un CVE crítico. El API está incluido en los planes Pro y Business. Autenticación de portador, cuotas por plan, ejemplos en curl, Python, JavaScript y GitHub Actions.

Conecte TechWatchAlert a su canal de entrega.

Obtenga sus alertas, consulte la base de datos CVE, lea su lista de vigilancia, casos y estadísticas. Todo su monitoreo está disponible en modo de solo lectura a través de API (GET), para bloquear una implementación en un CVE crítico.

✓autenticación de portador claves revocables, formato twa_…
✓Sólo lectura (OBTENER) 5000 llamadas por hora en Pro, sin cuota horaria en Business
✓Documentos de luz de las estrellas ejemplos de curl, Python, JS, GitHub Actions
✓Webhooks salientes Firmas HMAC, reintentos exponenciales

Comience en tres pasos Referencia API

cURL
Python
JavaScript
GitHub Actions
Copiar
# Obtener las alertas críticas de un proyecto
curl "https://app.techwatchalert.com/api/v1/organizations/org_x7y8/projects/prj_a1b2/alerts?severity=critical&status=pending" \
  -H "Authorization: Bearer twa_xK9...f2q" \
  -H "Accept: application/json"

Respuesta #
{
  "items": [{
    "cve_id": "CVE-2026-1847",
    "severity": "CRITICAL",
    "cvss_score": 9.8,
    "epss_percentile": 0.97,
    "is_kev": true,
    "has_poc": true,
    "status": "PENDING"
  }],
  "total": 3, "page": 1
}
import httpx

client = httpx.Client(
    base_url="https://app.techwatchalert.com/api/v1",
    headers={"Authorization": f"Bearer {API_KEY}"}
)

# Enumerar la pila monitoreada de un proyecto
r = client.get(
    f"/organizations/{org_id}/projects/{project_id}/stack"
)

for tech in r.json()["items"]:
    print(f"{tech['vendor']}/{tech['product']}")
// Buscar CVEs por proveedor + gravedad
const res = await fetch(
  'https://app.techwatchalert.com/api/v1/cves?' +
  new URLSearchParams({
    vendor: 'nginx',
    severity: 'critical,high',
    is_kev: true
  }),
  {
    headers: {
      'Authorization': `Bearer ${apiKey}`
    }
  }
);

const { items, total } = await res.json();
console.log(`${total} vulnerabilidades activas en nginx`);
# .github/workflows/security-gate.yml
name: Security Gate

on: [push, pull_request]

jobs:
  check-cves:
    runs-on: ubuntu-latest
    steps:
      - name: Block on critical CVEs
        run: |
          COUNT=$(curl -s \
            -H "Authorization: Bearer ${{ secrets.TWA_KEY }}" \
            "$TWA_URL/organizations/$ORG/projects/$PRJ/alerts?severity=critical&status=pending" \
            | jq '.total')
          if [ "$COUNT" -gt "0" ]; then
            echo "❌ $COUNT CVE(s) críticos no resueltos"
            exit 1
          fi

360K

registros CVE indexados, todo el programa desde 1999, identificadores reservados y rechazados incluidos

La vulnerabilidad se alimenta de forma cruzada entre sí, porque ninguna está completa por sí sola.

Fuentes editoriales del resumen diario. Nunca activan una alerta.

100%

de la infraestructura en Francia: aplicación, base de datos CVE y sus inventarios

Precios

Precios de monitoreo de ciberseguridad: Sencillo, transparente, sin sorpresas.

Cuatro planes, desde el reloj de una persona hasta el equipo que tiene que demostrar lo que soluciona. Las alertas CVE nunca se facturan por volumen: lo que cambia es el número de componentes rastreados, el tamaño del equipo y las características. Los precios no incluyen el IVA, que se agrega al finalizar la compra según su país. Ver la tabla de precios completa.

Free

0 € sin limite de tiempo

Para empezar. Un proyecto monitoreado, sin tarjeta de crédito.

Empieza gratis

✓1 proyecto
✓3 componentes rastreados
✓1 webhook de alertas
✓1 aplicación SBOM
✓5 seguimientos al final de su vida
✓Alertas por correo electrónico
✓Resumen de vigilancia diaria

Team

49 € excluido impuesto / mes

Vigilancia de vulnerabilidad para equipos. Clasifique las alertas y mantenga un registro.

Elija Team →

✓5 proyectos · 10 miembros
✓200 componentes rastreados
✓Casos de remediación Entradas para Jira, GitLab, GitHub
✓Informes PDF 12 meses de historia
✓Slack, Teams, webhooks firmados

Pro Recomendado

99 € excluido impuesto / mes

Ver + evidencia NIS2. Muestre cómo maneja sus vulnerabilidades.

Elija Pro →

✓Todo en Team, sin límite de proyectos o miembros
✓Módulo NIS2 plazos de remediación, riesgos aceptados, incidentes, informe de gestión
✓Conectores de inventario GLPI e Intune
✓DESCANSO API v1 5.000 llamadas por hora
✓Registro de auditoría mantenido durante 1 año

Business

de 249 € excluido impuesto / mes

SSO, auditoría, adquisiciones. Más allá de eso, en cotización.

Elija Business →

✓Todo en Pro, más:
✓Inicio de sesión único OIDC con dominios verificados
✓Registro de auditoría mantenido durante 5 años
✓Incorporación guiada soporte prioritario por correo electrónico
✓orden de compra firmado DPA, Chorus Pro bajo pedido

Sin compromiso, cambia de plan en cualquier momento, prorrateado al cambiar. Los precios no incluyen IVA. ¿Proveedor de servicios gestionados? El plan Partner Se factura por cliente. Antes de elegir, comparar: cinco herramientas competitivas, nuestros criterios, nuestras fechas de verificación.

Comparar

Seis herramientas, los mismos criterios para todos. Aquí es donde salimos adelante.

OpenCVE necesita un servidor. Necesitamos una dirección de correo electrónico.

Es un software para implementar, actualizar y monitorear. Hemos calculado lo que realmente requiere ese autohospedaje, incluidas las horas de ingeniería.

La comparación de OpenCVE, con números

Cyberwatch escanea la red. Partimos de tu inventario.

Un escáner activo significa un agente para instalar, acceso a la red para obtener y una ventana de escaneo para negociar. Aquí usted declara sus componentes y la primera alerta se activa en la siguiente sincronización.

La comparación de Cyberwatch

En CVEDetails, buscas. Aquí la alerta te encuentra.

Una base de datos de búsqueda espera su consulta, en inglés. Partimos de sus versiones declaradas y le escribimos, en su idioma, cuando una de ellas es atacada.

La comparación de detalles CVE

Las seis herramientas una al lado de la otra, criterios idénticos

Segmentación de pilas, priorización, actualización de datos, precios reales, alojamiento. Se muestra el método y la fecha de verificación, incluido el caso en el que un competidor se adelanta a nosotros.

La comparación completa de 2026

Seguridad y soberanía

Su inventario es un mapa de su sistema de información. Lo guardamos como uno solo.

Quién ejecuta qué, en qué versión, con qué fallas aún abiertas: eso es lo primero que un atacante intenta reconstruir. Alojamiento en Francia, cifrado AES-256 en reposo, TLS 1.3 en tránsito, autenticación de dos factores, registro de auditoría de acciones sensibles. Los detalles, incluidos los subprocesadores, se encuentran en nuestra Página de seguridad.

Autenticación de dos factores TOTP

Autenticador de Google, Authy, 1Password, compatible con RFC 6238.

Cifrado AES-256

En reposo y TLS 1.3 en tránsito. Token de actualización JWT+ de corta duración en Redis.

Alojado en Francia

Aplicación, base de datos CVE e inventarios en la región de París, con OVHcloud. Nuestros subprocesadores y sus salvaguardas están publicados en la página de Seguridad.

Registro de auditoría

Acciones sensibles registradas: actor, entidad, detalles de JSON, marca de tiempo.

Limitación de tasa nativa

10 intentos/60s por IP. Alertas automáticas si se detecta fuerza bruta.

Red aislada

Servicios de datos en una red privada. Solo la interfaz y API están expuestos a través de HTTPS.

DPA disponible

Acuerdo de procesamiento de datos (DPA) a pedido desde Team en adelante, firmado con Business. Exportación completa de tus datos en cualquier momento, sin preguntarnos.

Disponibilidad: objetivo del 99,5%

Objetivo mensual escrito en el Condiciones de uso, artículo 11.1. Es un objetivo publicado, no un compromiso respaldado por sanciones.

FAQ

Las preguntas que siguen surgiendo.

Si el tuyo no está aquí, pregúntanos: respondemos en un plazo de 24 horas laborables.

¿Cómo sabes qué CVEs me concierne?

Usted declara sus componentes (sistemas operativos, dispositivos, marcos, bibliotecas) manualmente, importando un CycloneDX o SPDX SBOM, o mediante detección desde un URL público. Cada CVE publicado se compara con ese inventario mediante el identificador CPE (proveedor, producto, versión). Nunca se le envía un CVE que no toca ninguno de sus componentes.

¿Qué tan rápido me dicen?

Dos retrasos, que no deben confundirse. Releemos los feeds continuamente, en ciclos de unos minutos: eso es sincronización. Una vez que se ve el CVE, la coincidencia, la priorización y la notificación tardan menos de 30 segundos: eso es procesamiento. Nadie puede ser más rápido que su propio intervalo de votación, y preferiríamos escribir eso que publicar una cifra que nuestra propia documentación contradiga.

¿Qué fuentes alimentan sus alertas?

Nueve fuentes de vulnerabilidades: CVE List, NVD, el catálogo KEV de la CISA (Known Exploited Vulnerabilities, fallos con explotación observada), el EPSS de FIRST.org, PoC-in-GitHub, GHSA, OSV, los avisos y alertas del CERT-FR y la base europea EUVD de la ENISA. Aparte, doce fuentes editoriales (el canal del CERT-FR, blogs de fabricantes, prensa especializada) alimentan el resumen diario. No disparan ninguna alerta. El detalle está en la página de fuentes de datos.

¿Se debe arreglar un CVSS 9.8 antes que un 7.5?

No necesariamente, y ésta es la trampa más común. CVSS mide el daño potencial, no la probabilidad de ataque. Los CVEs más críticos nunca son explotados. Primero analizamos si el CVE está en el catálogo KEV (explotación observada), luego su puntuación EPSS (probabilidad de explotación dentro de 30 días) y solo luego en CVSS.

¿Los datos de mi inventario son confidenciales?

Su inventario tiene exactamente un propósito: filtrar el feed CVE. No se revende, no se utiliza para entrenar un modelo, no se comparte con terceros. Alojamiento en la región de París, cifrado AES-256 en reposo, TLS 1.3 en tránsito. Nuestros subprocesadores, tres de los cuales están establecidos fuera de la Unión Europea, aparecen enumerados con sus salvaguardas en la página Seguridad. Se puede firmar un acuerdo de procesamiento de datos (DPA) previa solicitud.

¿Puedo probar sin tarjeta de crédito?

Sí. El plan Free no solicita ningún método de pago: una dirección de correo electrónico es suficiente. Cubre 3 elementos de stack, 1 webhook de alertas, 1 aplicación SBOM, con notificaciones por correo electrónico. Eso es suficiente para ver si el filtrado cumple con su pila.

¿Qué incluye el API?

El API está incluido en los planes Pro y Business: alertas, base de datos CVE, inventario, casos, estadísticas, solo lectura (ENDpoints GET). Pro permite 5000 llamadas por hora, Business no tiene cuota horaria. Autenticación de portador con claves revocables. A partir del plan Team, las alertas también pueden dirigirse a Slack, Teams y webhooks firmados por HMAC.

¿Y si quiero irme?

Puedes exportar tus datos en cualquier momento, sin preguntarnos y sin coste alguno: inventario, alertas, casos, log de auditoría. Los cambios de plan funcionan en ambos sentidos, prorrateados. No se elimina nada cuando bajas de plan: solo las funciones del plan superior dejan de estar disponibles.

Plan Free, sin tarjeta de crédito

El próximo CVE que le concierne es el que recibirá.

Dos minutos para declarar sus componentes. Después leemos los otros cuarenta mil.

Alojado en Francia · subprocesadores publicados · exporta tus datos en cualquier momento