La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) anunció este jueves la creación de un formulario de nominación que permite a investigadores, vendedores y socios del sector reportar vulnerabilidades que están siendo explotadas activamente para su inclusión en el catálogo Known Exploited Vulnerabilities (KEV).

Según informó la agencia en un comunicado, el nuevo canal formal agilizará el proceso de incorporación de fallos de seguridad con evidencia de explotación activa en el catálogo KEV, una herramienta clave para que las agencias federales y las organizaciones de infraestructuras críticas prioricen el parcheo de vulnerabilidades. Hasta ahora, la inclusión en el catálogo dependía principalmente de la monitorización interna de CISA y de informes de inteligencia de amenazas.

La medida, anunciada el 22 de mayo de 2026, busca reducir el tiempo entre la detección de una explotación activa y la orden de parcheo obligatorio para entidades federales, que deben corregir las vulnerabilidades listadas en el KEV en plazos establecidos. Aunque el anuncio no incluye cifras concretas, la iniciativa responde a la creciente presión para acelerar la respuesta ante ciberataques dirigidos a infraestructuras críticas estadounidenses.

CISA ha instado a los investigadores a utilizar el formulario cuando dispongan de pruebas fiables de explotación activa, incluyendo datos como identificadores CVE, pruebas de concepto o informes de inteligencia. El organismo evaluará cada nominación y decidirá su inclusión en el catálogo, que actualmente contiene más de 1.000 vulnerabilidades conocidas explotadas.

La apertura de este canal supone un cambio significativo en la forma en que CISA recopila inteligencia sobre amenazas cibernéticas. Hasta ahora, la agencia dependía en gran medida de fuentes gubernamentales y de inteligencia para alimentar el KEV, pero con este formulario se abre la puerta a la comunidad global de investigadores de seguridad. Cualquier persona con evidencia fiable de que una vulnerabilidad está siendo explotada activamente puede presentar una nominación, lo que podría acelerar la detección y respuesta ante ataques dirigidos a infraestructuras críticas como redes eléctricas, sistemas de agua o servicios financieros.

El catálogo KEV se ha convertido en una referencia obligatoria para las agencias federales, que están obligadas a parchear las vulnerabilidades incluidas en un plazo máximo de dos semanas, según la directiva BOD 22-01. Con esta medida, CISA espera que el catálogo refleje de forma más ágil las amenazas reales que enfrentan las organizaciones, mejorando la postura de ciberseguridad del país.