Qué es una vulnerabilidad de día cero (zero-day)
Es como descubrir que la cerradura de tu puerta tiene un fallo de fabricación que cualquiera puede abrir, antes de que el fabricante haya sacado una pieza nueva para arreglarla. Técnicamente, una vulnerabilidad de día cero es un fallo de seguridad en un plugin, tema o en el propio WordPress que ya se está explotando antes de que exista un parche que lo corrija.
Cómo funciona
- Alguien descubre un fallo de seguridad en un software (un plugin, un tema, WordPress en sí) antes de que lo sepa quien lo mantiene.
- Mientras no hay parche, cualquiera que conozca el fallo puede aprovecharlo para entrar en las webs que usan ese software, sin que una actualización normal lo evite.
- Cuando el fabricante publica el parche, el fallo deja de ser «de día cero»: a partir de ahí, actualizar cuanto antes es lo que te protege.
Ejemplo
Una tienda de artículos de deporte en Castellón usaba un plugin de formularios muy popular en el que se descubrió una vulnerabilidad de día cero que permitía subir archivos sin autenticarse. Antes de que el plugin publicara el parche, varias webs con ese plugin fueron atacadas; la tienda, al tener monitorización activa, detectó actividad sospechosa y pudo bloquear el acceso hasta que llegó la actualización oficial.
Señales de que te afecta
- Un plugin o tema que usas aparece en una alerta de seguridad reciente, antes de que exista todavía una actualización disponible.
- Detectas actividad rara en tu web (archivos nuevos, usuarios creados) sin haber instalado nada tú mismo.
- Usas plugins muy populares, lo que los convierte en objetivo más probable de este tipo de fallos.
- Tienes plugins sin actualizar desde hace tiempo, lo que amplía la ventana en la que un fallo conocido puede seguir sin parchear en tu web.
Cómo lo resolvemos
Vigilamos las alertas de seguridad de los plugins y temas que usas, aplicamos los parches en cuanto están disponibles y revisamos tu web si ha habido actividad sospechosa mientras tanto. Lo cubrimos en nuestro servicio de seguridad para WordPress.
Preguntas frecuentes
¿Puedo protegerme de un zero-day si todavía no hay parche?
No del todo, pero un firewall de aplicación web bien configurado puede bloquear algunos intentos de explotación aunque el fallo exacto aún no tenga parche, reduciendo el riesgo mientras llega.
¿Cómo me entero de que un plugin que uso tiene una vulnerabilidad de día cero?
A través de boletines de seguridad especializados en WordPress y de los propios avisos del plugin. Por eso conviene que alguien vigile esto de forma activa, no solo esperar a la actualización.
¿Es lo mismo que una vulnerabilidad normal?
No exactamente: cualquier vulnerabilidad es un fallo de seguridad, pero la de día cero es la que ya se explota sin que exista todavía una solución oficial, lo que la hace más urgente.