¿Qué es una vulnerabilidad zero-day y por qué puede ser peligrosa?
Publicado el 2026-10-20 por frfrand
Vulnerabilidades zero-day explicadas: descubrimiento, explotación, parches, diferencia con CVE y cómo proteger sistemas sin una corrección disponible.
Una vulnerabilidad zero-day es un fallo de seguridad que puede ser explotado antes de que exista una corrección disponible o cuando el fabricante todavía no tuvo tiempo suficiente para responder. En el lenguaje habitual se utiliza especialmente para fallos desconocidos para el proveedor o sin parche en el momento en que se aprovechan.
El término aparece constantemente en noticias y suele sonar a película de espías. Pero la idea básica es bastante simple: hay un problema de seguridad y todavía no existe una solución definitiva que todos puedan instalar.
¿Por qué se llama zero-day?
La expresión alude a que el proveedor dispone de «cero días» de preparación o margen para corregir el fallo cuando se conoce o comienza a explotarse, según el uso del término.
No significa que el error se haya creado ayer. Puede haber existido durante años dentro de un programa sin que nadie lo detectara públicamente.
Una vulnerabilidad recién descubierta tampoco implica automáticamente que alguien la esté explotando. Conviene distinguir descubrimiento, explotación y disponibilidad de una corrección.
Un ejemplo cotidiano
Imaginá una cerradura utilizada en miles de edificios. De pronto se descubre un defecto que permite abrirla de una forma no prevista.
Si todavía no existe una pieza de reemplazo ni un procedimiento definitivo para corregirla, los administradores necesitan medidas temporales: limitar accesos, reforzar vigilancia o cerrar determinadas entradas.
En software ocurre algo parecido. Puede que todavía no haya una actualización, pero sí existan medidas de mitigación para reducir la exposición.
¿Todas las vulnerabilidades tienen CVE?
No siempre. CVE es un sistema de identificadores públicos para determinados fallos de seguridad. Un código CVE ayuda a coordinar información sobre un problema, productos afectados y referencias.
La existencia de un CVE no significa que el fallo sea zero-day ni que esté siendo utilizado activamente por atacantes. Hay vulnerabilidades conocidas desde hace años que siguen afectando instalaciones sin actualizar.
También existen problemas nuevos que todavía no tienen identificador público.
¿Qué es una mitigación?
Una mitigación reduce el riesgo sin necesariamente corregir la causa del fallo. Puede incluir deshabilitar una función vulnerable, restringir un servicio, aplicar reglas temporales o aislar sistemas.
Por ejemplo, si una aplicación pública tiene un componente vulnerable y no existe parche, quizá puedas desactivar ese componente o limitar quién puede acceder. La medida depende del fallo real y de las recomendaciones del proveedor.
No conviene improvisar una configuración sin comprender las consecuencias sobre disponibilidad y seguridad.
¿Por qué no alcanza con actualizar una vez al año?
Porque algunas vulnerabilidades se conocen y explotan con rapidez. Un programa expuesto a Internet y sin mantenimiento puede acumular múltiples fallos conocidos, no solo zero-days.
Mantener inventarios y conocer qué versiones están instaladas permite reaccionar cuando aparece una alerta. Si no sabés qué aplicaciones ejecutás, no podés determinar fácilmente si un aviso te afecta.
¿Cómo priorizar las correcciones?
No todas las vulnerabilidades presentan el mismo riesgo. Importa si el producto está instalado, si la función afectada está habilitada, si resulta accesible desde Internet y qué privilegios podría conseguir un atacante.
También conviene estudiar la explotación conocida y las recomendaciones de los fabricantes. Un puntaje de severidad es información útil, pero no reemplaza el contexto.
¿Un firewall puede protegerme?
Puede reducir la exposición a ciertas vías de ataque, pero no convierte un servicio vulnerable en seguro. Si la función afectada necesita estar disponible públicamente, una regla demasiado general puede no ser suficiente.
La defensa más útil suele combinar parches cuando existan, privilegios mínimos, aislamiento, monitoreo y capacidad de recuperación.
¿Qué significa para un administrador de VPS?
Si recibís un aviso de seguridad sobre una versión de software que utilizás, verificá el origen del aviso, las versiones afectadas y si hay una corrección o mitigación oficial.
Antes de aplicar cambios grandes, prepará un respaldo y comprobá cómo restaurar el servicio si algo falla. Tampoco conviene dejar una vulnerabilidad crítica expuesta simplemente porque «actualizar puede romper algo».
¿Y en ArduMaker?
Los servicios ejecutados dentro de un VPS administrado en ArduMaker siguen dependiendo de software con versiones y actualizaciones. La plataforma facilita la operación, pero es importante conocer qué paquetes y aplicaciones se utilizan y revisar los avisos relevantes.
En resumen: zero-day describe una situación especialmente difícil: existe un fallo explotable y la defensa definitiva puede no estar disponible. Mantener inventario, reducir exposición y seguir fuentes oficiales ayuda a responder mejor.
Referencias: Catálogo de vulnerabilidades explotadas de CISA · Programa CVE · Qué es una auditoría de seguridad.