La aparición de un ecosistema de divulgación de vulnerabilidades distinto en China ha añadido una capa compleja al panorama global de amenazas. A diferencia del sistema centralizado de CVE utilizado a nivel internacional, China mantiene dos bases de datos separadas: el CNVD y el CNNVD, que operan con plazos y prioridades de divulgación diferentes. 

La aparición de un ecosistema de divulgación de vulnerabilidades distinto en China ha añadido una capa compleja al panorama global de amenazas.

A diferencia del sistema centralizado de CVE utilizado internacionalmente, China mantiene dos bases de datos separadas: el CNVD y el CNNVD, que operan con plazos y prioridades de divulgación diferentes. Esta estructura dual ha permitido la aparición silenciosa de vulnerabilidades que permanecen ocultas para los defensores occidentales durante períodos prolongados.

El principal vector de ataque aquí es la asimetría informativa; al retrasar la publicación pública de los datos sobre vulnerabilidades, los actores de amenazas pueden explotar brechas de seguridad en software popular como Microsoft OneDrive antes de que los ciclos globales de parcheo puedan reaccionar.

El impacto de esta brecha en la divulgación es significativo para los equipos de seguridad empresariales que dependen de datos oportunos para priorizar la remediación. Cuando las vulnerabilidades se publican en bases de datos chinas meses antes de que aparezcan en la Base de Datos Nacional de Vulnerabilidades (NVD) de EE.UU., se crea una ventana de exposición en la que las organizaciones desconocen las amenazas activas.

Por ejemplo, una vulnerabilidad de secuestro de DLL en Microsoft OneDrive fue catalogada en sistemas chinos mucho antes de que un CVE comparable fuera documentado internacionalmente. Este retraso permite a los atacantes armar estas "Vulnerabilidades Rojas" contra objetivos desprevenidos, aprovechando el desfase en la información para eludir los protocolos estándar de detección y establecer persistencia en redes comprometidas.

Analistas de Bitsight identificaron estas discrepancias tras realizar una revisión exhaustiva de las marcas de tiempo de publicación en ambos ecosistemas.

Su investigación destaca que, mientras que el CNNVD refleja en gran medida la lista de CVE de MITRE, el CNVD suele operar con entradas únicas y plazos independientes.

Esto ilustra el crecimiento comparativo de estas bases de datos, mostrando cómo el volumen de vulnerabilidades rastreadas por las autoridades chinas ha escalado para igualar los estándares globales. Sin embargo, el hallazgo crítico no es solo el volumen, sino la latencia estratégica introducida en el proceso de divulgación, que convierte efectivamente los datos de vulnerabilidades en un activo de seguridad nacional en lugar de un bien público.

Retrasos estratégicos en la divulgación

El aspecto más preocupante de este ecosistema es el retraso sistemático en la publicación de detalles sobre vulnerabilidades de alta gravedad para el público en general. Esta táctica de persistencia enmascara efectivamente el mecanismo de infección de nuevos exploits, dejando a los defensores globales sin los Indicadores de Compromiso (IOC) necesarios para detectar ataques en etapas tempranas.

Esta visualización muestra los "arcos de retrasos" entre el envío de una vulnerabilidad y su publicación pública, revelando patrones en los que los datos sensibles se retienen. Además, un porcentaje significativo de las entradas del CNVD no se asignan directamente a un CVE de inmediato, creando un inventario "en la sombra" de fallos de seguridad.

Esto se enfatiza aún más al comparar las distribuciones de gravedad, mostrando cómo las calificaciones de riesgo pueden diferir entre fronteras. Para mitigar esto, los equipos de seguridad deben ampliar sus fuentes de inteligencia más allá del NVD para incluir estas bases de datos internacionales y obtener una imagen más completa de las amenazas.