¿Qué es un zero-day? La vulnerabilidad sin parche

Cada vez que sale una noticia de un ciberataque importante, alguien menciona el término zero-day. Suena a ciencia ficción: una vulnerabilidad invisible, sin solución, que solo los mejores atacantes del mundo pueden explotar. Esa narrativa tiene algo de verdad — y mucho de exageración que le conviene a los vendors de seguridad.

Vamos a desmontarlo con rigor.

¿Qué es exactamente un zero-day?

Un zero-day (también escrito 0-day) es una vulnerabilidad de seguridad que cumple tres condiciones simultáneamente:

Es desconocida para el fabricante del software afectado.
No existe parche ni mitigación oficial disponible.
El atacante la conoce antes que el defensor.

El nombre viene de ahí: el fabricante tiene cero días de ventaja para prepararse. El atacante sabe algo que nadie más sabe todavía.

💡 ¿Por qué se llama zero-day?

La terminología viene de la era del warez (copias piratas de software). Un 'zero-day release' era una copia publicada el mismo día de lanzamiento del producto, antes de cualquier protección. En seguridad adoptó el mismo concepto: la vulnerabilidad se explota antes de que el defensor tenga cualquier oportunidad de reaccionar.

El ciclo de vida de una vulnerabilidad

Para entender los zero-days, necesitas entender el ciclo completo de vida de una vulnerabilidad:

Fase 0 — Descubrimiento silencioso

Alguien encuentra la vulnerabilidad. Puede ser un investigador de seguridad, un empleado de un vendor, o un atacante. En este momento el fabricante no lo sabe. La vulnerabilidad es un zero-day puro.

Fase 1 — Divulgación o explotación

El descubridor decide qué hacer: reportarlo responsablemente al fabricante (responsible disclosure), venderlo en el mercado negro, o explotarlo directamente. Esta decisión define si la vulnerabilidad se convierte en un arma o en una mejora.

Fase 2 — CVE público y parche

El fabricante lanza el parche y se publica el CVE. La vulnerabilidad deja de ser zero-day y se convierte en N-day. El reloj empieza a correr: los atacantes ahora pueden hacer ingeniería inversa del parche para crear exploits.

Fase 3 — Explotación masiva

La mayoría de los ataques reales ocurren aquí, semanas o meses después de publicado el parche. El 80% de las organizaciones nunca llega a parchearlo a tiempo.

¿Quién encuentra y usa zero-days?

No es un mercado homogéneo. Hay al menos cuatro actores con motivaciones muy distintas:

1. Investigadores de seguridad (responsible disclosure)

La mayoría de los zero-days que terminan siendo parcheados los encuentran investigadores independientes o equipos de bug bounty. Empresas como Google Project Zero o Citizen Lab publican sus hallazgos después de coordinar con el fabricante. El proceso estándar es dar 90 días para parchear antes de divulgar públicamente.

2. Brokers de vulnerabilidades (mercado gris)

Existen empresas como Zerodium que compran zero-days a investigadores y los revenden a gobiernos o agencias de inteligencia. Los precios son astronómicos: un zero-day para iOS puede valer más de un millón de dólares. No es ilegal en muchos países — pero es éticamente cuestionable.

3. Grupos APT (Advanced Persistent Threats)

Los actores de estado nación (Rusia, China, Corea del Norte, EE.UU.) tienen equipos dedicados a encontrar y almacenar zero-days para operaciones de espionaje o sabotaje. EternalBlue, el exploit que usó WannaCry, fue desarrollado por la NSA y filtrado por Shadow Brokers.

4. Grupos criminales de alto nivel

Organizaciones de ransomware sofisticadas a veces tienen acceso a zero-days, aunque es menos común. Prefieren los N-days porque son más baratos y funcionan igual de bien contra organizaciones que no parchean.

⚠️ El mito del zero-day masivo

Los zero-days no se usan 'al por mayor'. Son costosos, únicos y se gastan al usarlos masivamente (el fabricante los detecta y los parchea). Por eso los actores sofisticados los guardan para objetivos de alto valor. Si te afectó un zero-day masivo como WannaCry, técnicamente EternalBlue ya no era un zero-day cuando se usó — era un exploit de una vulnerabilidad que Microsoft había parcheado semanas antes.

Casos reales que debes conocer

Stuxnet (2010)

El primer arma cibernética conocida. Usó cuatro zero-days simultáneamente para atacar centrifugadoras de enriquecimiento de uranio en Irán. Solo alguien con recursos de estado nación podría haber desarrollado algo así. Es el caso de manual de lo que es un zero-day real en contexto de alto valor.

HAFNIUM / ProxyLogon (2021)

Grupo chino explotó cuatro zero-days en Microsoft Exchange Server antes de que existiera parche. Cuando Microsoft publicó el parche, otros grupos empezaron a explotarla masivamente — en ese momento dejó de ser zero-day y se convirtió en N-day. Las organizaciones que no parchearon en los primeros días quedaron expuestas por meses.

Log4Shell (2021)

CVE-2021-44228 en Apache Log4j. Fue zero-day por horas. Cuando se publicó el CVE y el PoC, se convirtió en el N-day más explotado de la historia reciente. La ironía: era más fácil de explotar como N-day que cuando era zero-day, porque ya había herramientas de explotación públicas.

¿Cómo te proteges de algo sin parche?

La pregunta correcta no es "¿cómo parcheo un zero-day?" — no puedes. La pregunta es: ¿qué controles compensatorios reducen el impacto si alguien explota una vulnerabilidad desconocida en mis sistemas?

EDR/XDR con detección de comportamiento: Los mejores EDRs (CrowdStrike Falcon, SentinelOne) no necesitan conocer el exploit — detectan comportamientos post-explotación anómalos (inyección de procesos, escalada de privilegios, movimiento lateral). Un zero-day puede entrar, pero el EDR lo atrapa al actuar.
Principio de mínimo privilegio (IAM/PAM): Si el proceso comprometido no tiene privilegios administrativos, el daño que puede hacer el atacante está contenido. Un zero-day en una aplicación web con permisos de root es catastrófico. El mismo zero-day con permisos mínimos es manejable.
Segmentación de red: Un sistema comprometido no debería poder llegar a todos los demás. La segmentación limita el radio de impacto del movimiento lateral post-explotación.
Threat intelligence feeds: Algunos zero-days son conocidos por ciertos actores antes de ser públicos. Suscribirte a feeds de inteligencia (CISA KEV, FS-ISAC, Mandiant Advantage) puede darte señales tempranas.
Monitoreo de comportamiento de red (VPC Flow Logs, NDR): El comportamiento de C2 post-explotación suele ser detectable incluso cuando el vector inicial fue un zero-day.

✅ La conclusión práctica

Los zero-days son reales pero sobreestimados. A menos que trabajes en infraestructura crítica o seas objetivo de un actor estado-nación, las probabilidades de ser víctima de un zero-day son muy bajas. Las probabilidades de ser víctima de un N-day que no parcheaste son muy altas. Asegúrate de que tu programa de gestión de vulnerabilidades sea sólido — eso te protege del 95% de los ataques reales.

¿Tienes preguntas sobre zero-days o gestión de vulnerabilidades? Escríbeme a hola@byronlainez.click.