Skip to content
Contactar con Ventas Prueba Gratuita Comprar Ahora
Blog de desarrolladores

Asumimos el control de nuestra estrategia de seguridad: Nitro se convierte en una autoridad de numeración de CVE (CNA)

Alan Gordon

Director, IT & Security

Nos complace anunciar que Nitro se ha incorporado al Programa de Vulnerabilidades y Exposiciones Comunes (CVE™) como Autoridad de Numeración CVE (CNA) bajo la raíz de ENISA, la Agencia de Ciberseguridad de la Unión Europea. Se trata de un cambio que ocurre entre bastidores, pero que resulta importante para la forma en que gestionamos y comunicamos los problemas de ciberseguridad en nuestros productos. A continuación explicamos en qué consiste, por qué lo hemos hecho y qué significa para nuestros clientes.

En primer lugar, ¿qué es un CVE?

Cuando se detecta una vulnerabilidad de ciberseguridad en un software, es necesario asignarle un nombre en el que todos puedan ponerse de acuerdo. Eso es lo que es un identificador CVE (CVE ID): un identificador único, como CVE-2026-12345, que utilizan los proveedores, los investigadores, las herramientas de seguridad y los equipos de TI para referirse al mismo problema.

Si alguna vez has consultado un escáner de vulnerabilidades, has leído un aviso de seguridad o has aplicado un parche a un sistema a raíz de una noticia, probablemente hayas visto uno. Los CVE ID son la forma en que el mundo de la seguridad lleva un registro de lo que se ha detectado y de lo que se ha solucionado.

¿Qué hace una CNA?

Una Autoridad de Numeración CVE (CNA) es una organización autorizada para asignar identificadores CVE y publicar los registros CVE correspondientes a las vulnerabilidades dentro de un ámbito definido. Hay más de 550 CNA en todo el mundo, entre las que se incluyen los principales proveedores de software, empresas de seguridad y CSIRT nacionales.

Las CNA se organizan bajo las «Roots», que se encargan de reclutarlas, formarlas, incorporarlas y prestarles apoyo. La ENISA se convirtió en una «Root» en noviembre de 2025 para reforzar la contribución y la alineación de Europa con el ecosistema global de vulnerabilidades, y actualmente más de 20 organizaciones y CSIRT nacionales dependen de ella. Nitro es ahora una de ellas.

Nuestro ámbito de actuación son los propios productos de Nitro. Esto significa que asignamos y publicamos CVE para las vulnerabilidades detectadas en el software de Nitro, no para productos de terceros.

Por qué lo hicimos

Hasta ahora, cuando necesitábamos un CVE para un problema en un producto de Nitro, teníamos que solicitarlo a través de MITRE CNA-LR. Pero ahora que Nitro es una CNA, gestionamos ese proceso de principio a fin. Cuando se confirma una vulnerabilidad, nuestro equipo de seguridad puede reservar un identificador CVE de inmediato, coordinar su publicación con la corrección y redactar nosotros mismos el registro CVE.

Los problemas de seguridad son una realidad para todas las empresas de software. Lo que distingue a unas empresas de otras es la transparencia y la responsabilidad con las que los abordan. Ser una CNA nos hace responsables de ello: la detectamos, la solucionamos y explicamos claramente a nuestros clientes qué ha ocurrido y qué deben hacer. También significa que formamos parte de una red de CNA europeas cuya importancia va en aumento, junto con otras organizaciones que se toman la divulgación tan en serio como nosotros.

¿Qué cambia para los clientes?

  • Información más rápida: los CVE se pueden publicar junto con nuestras correcciones, por lo que no tendrás que esperar a un proceso independiente para saber qué ha cambiado.

  • Registros más útiles: las versiones afectadas, la gravedad y las directrices de corrección provienen directamente del equipo que conoce el producto.

  • Seguimiento más sencillo: los escáneres de vulnerabilidades y las herramientas de seguridad recogen automáticamente los registros CVE, por lo que su equipo puede realizar un seguimiento de los problemas de Nitro de la misma forma que del resto de elementos de su entorno.

¿Qué cambia para los investigadores de seguridad?

Si detectas una vulnerabilidad en un producto de Nitro, ahora trabajarás con un único equipo desde el primer informe hasta la publicación del CVE. Nuestro programa de divulgación responsable sigue siendo el mismo: notifícanosla, la confirmaremos y la corregiremos, y reconoceremos tu trabajo en el registro publicado donde tú nos indiques.

Puedes encontrar más información sobre nuestro Programa de divulgación responsable en los enlaces que figuran a continuación.

Más información