Los mayores documentalistas de las vulnerabilidades informáticas están completamente saturados y no pueden seguir el ritmo a los agujeros de seguridad, dada la velocidad a la que se están produciendo. Esta es la principal conclusión del comunicado que ha enviado el Instituto Nacional de Estándares y Tecnología (NIST) de EE.UU. 

Hasta la fecha el NIST había cumplido a rajatabla su misión de catalogar todos los CVE (vulnerabilidades y exposiciones comunes) que se iban dando. La agencia se encargaba de incorporar descripciones y datos a cada falla tras ser listadas en la Base de Datos Nacional de Vulnerabilidades (NVD). 

Sin embargo, la avalancha de nuevas entradas ha hecho que este cometido resulte imposible para su personal. Según se conoce, solo hay 21 personas que trabajan encargándose de vigilar y documentar estos bugs. 

El volumen de vulnerabilidades se ha incrementado de manera masiva en los últimos años. De 2020 a 2025 los envíos de CVE crecieron un 263%. Y este ejercicio la cosa se ha disparado aún más.

“Las solicitudes durante los tres primeros meses de 2026 son casi un tercio superiores a las del mismo periodo del año pasado. Estamos trabajando más rápido que nunca… pero no es suficiente para seguir el ritmo”, ha reconocido el organismo.

Cuecen, no enriquecen

Por eso, el NIST ha tomado la decisión de ser selectiva con los ‘enriquecimientos’. Con esta denominación se hace referencia a aquellas vulnerabilidades que van recibiendo información adicional tras ser identificadas. Solo el año pasado se ‘enriquecieron’ 42.000 entradas. 

Así, aunque se incorporarán al listado los nuevos CVE únicamente serán actualizadas aquellas fallas explotadas activamente de la agencia CISA, los fallos en el software usado por el gobierno federal y las vulnerabilidades en programas considerados críticos. 

Con estos filtros, se espera cierta agilización. La idea es poder aportar información adicional a aquellos problemas de seguridad más críticos en el plazo de 24 horas. 

NIST ha asegurado que con este cambio podrán centrarse en los CVE más importantes y seguir funcionando mientras desarrollan sistemas automatizados y mejoras de flujo de trabajo para garantizar su sostenibilidad a largo plazo. 

No obstante, la institución indica que no es una decisión definitiva, sino parte de un proceso de adaptación con apoyo de la comunidad de ciberseguridad.