Gaviero te avisa de los CVE que afectan a tu software, y te dice por qué.

Nos pasas la lista de programas que usas, o el SBOM de tu producto. Cada vez que se publica un CVE, Gaviero lo cruza con esa lista, y si te afecta te llega un aviso con la versión afectada y la regla que lo ha decidido. Te avisamos de lo que te afecta, con el motivo. Si hay dudas, te llega marcado como «a revisar», nunca escondido.

Probarlo gratis
Tu lista de programas3 programas
ProgramaVersiónEstado
OpenSSL3.0.2Explotado
nginx1.24.0A revisar
PostgreSQL16.2Sin avisos
OpenSSL 3.0.2
  • EXPLOTADOCVE-2026-00010
  • AFECTACVE-2026-00011
  • REVISARCVE-2026-00012
  • NO AFECTACVE-2026-00013

Actualizar a 3.0.15corrige 2 CVE

Ejemplo del panel, con datos inventados

Cómo funciona

Gaviero lee los CVE nuevos del registro oficial cada 10 minutos. Para cada uno comprueba si nombra algo de tu lista y si tu versión está dentro de las afectadas. Varias fuentes, no una. Una vez al día lo contrasta con varias fuentes públicas de referencia, porque muchos CVE cambian después de publicarse. Lo ves todo en tu panel, y los avisos te llegan como prefieras:

Tu panel privado

Ves tu lista de programas, qué CVE te afectan según la versión exacta que tienes, cuáles hay que revisar y, cuando el registro del CVE indica la corrección, a qué versión actualizar.

API privada

Solo se llega a ella con VPN y la clave de tu empresa. Desde Internet no existe.

Webhook firmado

Cada aviso nuevo se envía firmado a la dirección que nos digas, para que lo recoja tu sistema de tickets o tu SIEM.

Telegram y resumen diario

Si no quieres integrar nada, cada aviso te llega al móvil y cada mañana tienes un resumen con los más graves.

Te lo conectamos con Slack, Teams o Jira si lo necesitas.

Funciona sin IA. Son reglas fijas: la misma lista y los mismos CVE dan siempre el mismo resultado, y cada aviso dice qué regla lo ha producido. ¿No sabes bien qué tienes instalado? .

Qué puede decirte un aviso

EXPLOTADO

Te afecta y ya se está usando en ataques. Es lo primero que hay que mirar.

AFECTA

El fabricante confirma que tu versión está afectada.

REVISAR

Hay indicios, pero el fabricante no lo confirma. Gaviero te dice cuáles.

NO AFECTA

Tu versión queda fuera. No te llega como aviso; el informe solo cuenta cuántos hay.

Cuando algo no está claro, va a «revisar». Gaviero nunca lo da por bueno.

¿Cuántos se escapan?

avisa de al menos el99,9 %

En una prueba con 9.358 casos reales que afectaban, comparados con NVD como referencia, 2 quedaron sin avisar: dos CVE antiguos (de 2010 y 2013) cuyo registro no dice ni el fabricante ni el producto. Con un 99 % de confianza, avisa de al menos el 99,9 %.

PruebaCasos que afectabanAvisadosSin avisarMínimo, con 99 % de confianza
General9.3589.356299,9 %
CVE de 20269.0659.065099,95 %
Explotados (CISA KEV)2.5052.505099,8 %

Datos deterministas. Como el servicio funciona sin IA, la misma lista y los mismos CVE dan siempre el mismo resultado, y cada aviso se puede explicar paso a paso. La parte automática de la prueba se puede repetir y sale igual; las muestras revisadas son las que se eligieron al azar.

¿Cuántas falsas alarmas?

avisos correctos, al menos el97 %

En una prueba con 135 programas y todo el historial de CVE, comparamos con NVD 43.131 avisos «afecta» y se revisó una muestra al azar de 80 de los 1.842 que no coincidían, con el registro del fabricante delante: al menos el 97 % de los avisos eran correctos.

¿Y los dudosos?

«a revisar» que afectan de verdad≈ 4 de cada 10

Cuando hay indicios pero el fabricante no lo confirma, Gaviero no lo descarta: te lo enseña como «revisar» y decides tú. En la prueba con 135 programas, alrededor del 43 % de los que se pudieron comprobar sí afectaban. Por eso no los ocultamos.

Para quién es

Para cualquiera que tenga software que mantener al día: empresas con sus propios servidores, aplicaciones y equipos de red; fabricantes de software y dispositivos, con el SBOM de su producto (si vendes en la UE, la Cyber Resilience Act te obliga desde el 11 de septiembre de 2026 a notificar lo explotado); y empresas de soporte que llevan a muchos clientes, con una lista por cliente.

Acceso anticipado, sin coste

Empieza con unos 20 programas: súbelos con su versión desde el panel o la API y mira qué CVE publicados les afectan y por qué. Si te convence, añades el resto. Lo abrimos a 5 empresas a cambio de su opinión.

Pedir acceso Plazas: 5 de 5 libres. vardiansec.contact@gmail.com Sin formulario: esta web no guarda ningún dato tuyo.

Resultados: cuántos CVE se escapan

Un servicio de avisos solo sirve si no se le escapan los que importan. Esto es lo que hemos medido, con los fallos incluidos.

2 sin avisar de 9.358

En una prueba con 9.358 casos reales que afectaban, comparados con NVD como referencia, 2 quedaron sin avisar: dos CVE antiguos (de 2010 y 2013) cuyo registro no dice ni el fabricante ni el producto. Con un 99 % de confianza, avisa de al menos el 99,9 %.

9.358 cuadrados, uno por caso; 2 en rojo
Avisado (9.356)Sin avisar (2)Cada cuadrado es un caso de la prueba.

Por grupos

GrupoCasos que afectabanAvisadosSin avisarAl menos, con 99 % de confianza
Prueba general9.3589.356299,9 %
CVE publicados en 20269.0659.065099,95 %
Explotados (catálogo KEV de CISA)2.5052.505099,8 %

La última columna es el mínimo que se puede afirmar con un 99 % de confianza a partir de esos casos, una medida más prudente que el simple porcentaje de aciertos.

Falsas alarmas

La otra mitad de la pregunta: cuántas veces avisa Gaviero de algo que no te afecta.

PruebaAvisos comprobados con NVDNVD los confirmaNo coincidíanCorrectos, al menos
135 programas, todo el historial43.13141.2891.84297 %

De los 1.842 que no coincidían, se revisó una muestra al azar de 80, con el registro del fabricante delante: en 27 la versión sí estaba afectada (NVD se había dejado la rama), 33 eran falsas alarmas y 20 eran versiones que el fabricante ya no soporta y de las que no dice nada. Con un 95 % de confianza, al menos el 97,8 % de los avisos son correctos; aunque esos 20 dudosos contaran como fallo, seguiría siendo alrededor del 97 %.

Los dos que se escaparon

Los dos son CVE antiguos con el registro mal rellenado: en fabricante y producto pone «n/a», y el programa solo se nombra en la descripción. Los CVE recientes casi siempre traen esos datos, y de los 9.065 de 2026 no se escapó ninguno.

CVE-2013-2220

Afecta a «Radius», una extensión PECL de PHP. El nombre se confunde con GNU Radius y otros, y no generó ningún aviso.

CVE-2010-0349

Afecta a WebCalenderC3. No llegó ningún aviso de este CVE, así que cuenta como fallo, pero no pasó en silencio: la revisión del historial dejó el programa en «sin identificar», pendiente de que lo revises, así que sabías que no estaba vigilado.

Cómo se midió

  • Partimos de casos reales en los que NVD da un programa y una versión por afectados por un CVE.
  • Dimos de alta esos programas como lo haría un cliente y miramos si Gaviero avisaba, como «afecta» o como «a revisar». Los dos cuentan como avisado; en esta prueba, algo más de 4 de cada 10 casos fueron «a revisar».
  • Probamos el servicio completo, que también consulta NVD a diario. Por eso esta prueba no mide lo que Gaviero encontraría sin NVD: mide que lo que NVD da por afectado acaba llegándote como aviso.
  • No mide que el aviso llegue el día en que se publica el CVE. Si el dato del fabricante está mal o no nombra tu programa, el aviso puede esperar a que NVD analice el CVE, y eso puede tardar días o semanas.
  • El mínimo se calcula con un 99 % de confianza.

Los «a revisar»: cuántos afectan de verdad

Las falsas alarmas de arriba son de los avisos «afecta». Los «a revisar» son la parte que te damos para revisar a mano, porque son dudosos: hay indicios, pero el fabricante no lo confirma. Para que no se te escape ninguno, te los mostramos y decides tú. En la misma prueba de 135 programas, de los «a revisar» que se pueden comprobar, más o menos 4 de cada 10 (≈ 43 %) sí afectan, algo menos de la mitad (≈ 48 %) no, y el resto (≈ 10 %) son versiones que el fabricante ya no soporta y de las que no dice nada.

Medido con NVD; se revisó una muestra al azar de 60 de los que NVD no confirmaba. Los que no afectan son casi todos CVE antiguos en los que la versión solo aparece en la descripción. Repetiremos la prueba, contrastando también con OSV.dev.

Cómo sacar tu lista de software

No hace falta hacerla a mano. Elige lo que tengas, copia el comando y en unos minutos tienes un fichero. Ningún comando envía nada: el fichero se queda en tu equipo, lo revisas, borras lo que no quieras compartir y lo subes tú.

Windows

Abre PowerShell (no hace falta que sea como administrador) y pega esto. Lee la lista de programas instalados que usa Windows en «Agregar o quitar programas» y la guarda en programas.csv, en la carpeta donde estés.

$rutas = 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*',
         'HKLM:\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*'
Get-ItemProperty $rutas |
  Where-Object DisplayName |
  Select-Object @{n='software';e={$_.DisplayName}}, @{n='version';e={$_.DisplayVersion}} |
  Sort-Object software -Unique |
  Export-Csv programas.csv -NoTypeInformation -Encoding UTF8
Sale el nombre y la versión de cada programa.

Linux

Debian, Ubuntu

dpkg-query -W -f='${db:Status-Abbrev}\t${source:Package}\t${source:Version}\n' |
  awk -F'\t' '$1 ~ /^ii/ { v = $3; sub(/^[0-9]+:/, "", v); print $2 "\t" v "\t" "pkg:deb/linux/" $2 "@" v }' |
  sort -u > programas.tsv

Red Hat, Rocky, Alma, Fedora, SUSE

rpm -qa --qf '%{SOURCERPM}\n' | grep '\.src\.rpm$' | sed 's/\.src\.rpm$//' | sort -u |
  awk '{ n = split($0, p, "-"); v = p[n-1]; nom = p[1]; for (i = 2; i <= n - 2; i++) nom = nom "-" p[i]; print nom "\t" v "\t" "pkg:rpm/linux/" nom "@" v }' > programas.tsv

Sale cada paquete de origen («openssh», no «openssh-client»), que es el nombre con el que se publican los CVE. En un servidor normal salen cientos. Súbelos todos: los que no tienen CVE no generan ruido.

Docker

Las imágenes que tienes corriendo, con su versión:

docker ps --format '{{.Image}}' | sort -u | sed -E 's/:([^:/]+)$/,\1/' > imagenes.csv
Si una imagen pone latest en vez de un número, dinos qué versión es o genera su SBOM (abajo).

SBOM de tu producto

Si fabricas software o firmware, esta es la mejor opción: un SBOM recoge también las librerías que van dentro, que es donde suelen estar los CVE. Y la CRA te lo va a pedir desde el 11 de diciembre de 2027. Syft es gratuito y lo genera en un comando.

Instalar Syft (Linux o macOS)

curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin
En Windows, descarga el ejecutable desde la página de versiones de Syft en GitHub.

De una imagen de contenedor

syft mi-producto:2.3.1 -o cyclonedx-json > sbom.cdx.json

De la carpeta del código o del firmware descomprimido

syft dir:./mi-producto -o cyclonedx-json > sbom.cdx.json

Routers, cortafuegos y NAS

Estos no tienen comando: la versión sale en su panel de administración, normalmente en «Sistema» o «Firmware». Apúntalos en un fichero de texto con este formato, uno por línea:

nombre,version
Fortinet FortiGate 60F,7.2.8
Synology DSM,7.2.1
MikroTik RouterOS,7.14
Ejemplos inventados. Guárdalo como equipos.csv.

Y después

  1. Abre el fichero y borra lo que no quieras compartir.
  2. Súbelo desde tu panel o con la API, las dos solo por tu VPN. No nos lo mandes por correo: la lista de lo que tienes instalado es información sensible y no debe viajar en un adjunto.
  3. Si Gaviero no identifica algún nombre, te lo enseña en tu panel con los productos más parecidos para que elijas el bueno.

¿Te atascas? Escríbenos y lo hacemos juntos en una llamada de media hora compartiendo pantalla.