Actualizaciones y software obsoleto

Módulo 5: Dispositivos, software y red · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá establecer una política de actualizaciones para sistemas operativos, aplicaciones, plugins, routers y otros dispositivos, y explicar qué significa "fin del soporte técnico" y qué hacer en ese caso.
Conceptos clave: vulnerabilidad, parche, zero-day, actualizaciones automáticas, firmware, plugin, inventario, fin del soporte técnico (end of life), dispositivo periférico (edge device)

Una actualización es una cerradura adicional que usted instala

El software contiene errores. Algunos errores son solo molestos (un botón que no funciona), otros son una vulnerabilidad: un fallo con el que un atacante puede hacer algo no previsto, como iniciar sesión sin contraseña o ejecutar su propio código. El fabricante lo soluciona con un parche, que a usted le llega en forma de actualización.

Lo peligroso está en el orden de los acontecimientos. En cuanto se publica una actualización, la vulnerabilidad se vuelve en la práctica pública. Los atacantes comparan la versión antigua y la nueva, ven qué se ha reparado y construyen un ataque a partir de ello. Después escanean automáticamente todo internet en busca de dispositivos que todavía no tengan la actualización. Es exactamente el ataque oportunista de la lección 1.1: no le buscan a usted, buscan a cualquiera que se haya quedado atrás.

Un zero-day es una vulnerabilidad que ya se está explotando antes de que exista un parche. En ese caso puede hacer poco, salvo seguir los consejos del fabricante y limitar los daños (copias de seguridad, permisos mínimos). Pero la gran mayoría de las intrusiones en pequeñas empresas se producen a través de vulnerabilidades para las que la actualización llevaba tiempo disponible.

El antiguo Digital Trust Center neerlandés, ahora parte del NCSC neerlandés, constató en 2024 en su CyberVeilig Check que más de una de cada tres pequeñas empresas (36%) no tenía activadas las actualizaciones automáticas en todos sus dispositivos conectados a internet. El consejo del NCSC neerlandés es sencillo: no espere para actualizar, y active las actualizaciones automáticas siempre que sea posible.

¿Qué tiene usted en realidad? El inventario

No puede actualizar lo que ha olvidado que tiene. La mayoría de las empresas piensan en portátiles y teléfonos al hablar de actualizaciones, pero los dispositivos más peligrosos suelen ser los silenciosos:

A los dispositivos conectados directamente a internet y accesibles desde fuera (router, servidor VPN, NAS con acceso remoto, cámara) los llamamos dispositivos periféricos (edge devices). Son el blanco más frecuente, porque un atacante puede acceder a ellos sin necesidad de que un empleado haga clic en nada. Un ejemplo anonimizado: una asesoría contable tenía un NAS con "acceso desde cualquier lugar" activado. El fabricante publicó una actualización de seguridad, la asesoría no la instaló, y unas semanas después todos los archivos del NAS estaban cifrados. Nadie había hecho clic en nada.

Una política de actualizaciones en cinco acuerdos

Una política no tiene por qué ser un documento de diez páginas. Para una pequeña empresa funcionan estos acuerdos:

1. Automático siempre que sea posible. Active las actualizaciones automáticas para sistemas operativos, navegadores, aplicaciones y, en la medida de lo posible, para el CMS, los plugins y el firmware del router y el NAS.
2. Reiniciar forma parte del proceso. Muchas actualizaciones no surten efecto hasta que se reinicia el equipo. Acuerden que todo el mundo reinicie al menos una vez por semana, y no pospongan un reinicio durante semanas.
3. Los dispositivos periféricos primero. Para los dispositivos accesibles desde fuera: compruebe usted mismo si hay actualizaciones, por ejemplo una vez al mes, e instale una actualización de seguridad en pocos días. Si el fabricante o el centro nacional de ciberseguridad advierten de un uso malicioso activo, hágalo el mismo día.
4. Un responsable por dispositivo. En el inventario conste, en cada línea, quién lo actualiza: usted mismo, un compañero, su empresa de informática o quien le haya construido la web. Si no consta nadie, no lo hará nadie.
5. Lo que ya no se necesita, se elimina. Un plugin que no usa, un portátil viejo en el armario que todavía se conecta a la red, un sitio de pruebas en un subdominio: elimínelo, así no tendrá que actualizarlo tampoco.

¿Duda si una actualización puede romper algo? Haga primero una copia de seguridad (módulo 6) y luego actualice. No instalar una actualización por miedo a que surjan problemas es casi siempre el riesgo mayor.

Fin del soporte técnico: cuando dejan de llegar actualizaciones

Cada versión de un software o firmware tiene una fecha de caducidad. A partir de entonces, el fabricante ya no publica actualizaciones de seguridad. Esto se llama fin del soporte técnico (end of life, EOL). El dispositivo sigue funcionando con normalidad, y precisamente ahí está el peligro: nadie nota nada, mientras cada nueva vulnerabilidad queda abierta para siempre.

Ejemplos:

• Windows 10. El soporte técnico ordinario terminó el 14 de octubre de 2025. Después de esa fecha solo se publican actualizaciones de seguridad a través del programa ESU de Microsoft, con fechas de finalización que varían según el caso. Consulte en el sitio web de Microsoft lo que se aplica a sus dispositivos, y planifique el paso a una versión compatible o a otro dispositivo.
• PHP y otros lenguajes de sitios web. Cada versión de PHP recibe actualizaciones de seguridad durante unos años. Si su sitio web funciona con una versión antigua, puede que el servidor esté seguro, pero su sitio no.
• Routers, NAS y cámaras. Los dispositivos baratos a veces reciben actualizaciones de firmware solo unos años, a veces nunca. El centro nacional de ciberseguridad recomienda averiguar antes de comprar cuánto tiempo dará soporte el fabricante al dispositivo, y sustituir los dispositivos que ya no reciben actualizaciones.
• Plugins y temas. Un plugin cuyo creador ha dejado de desarrollarlo no recibirá más correcciones. Busque un sustituto.

Si no puede sustituir algo de inmediato, limite el riesgo: retírelo de internet, colóquelo en una red aparte (lección 5.3) y no le dé acceso a datos importantes.

Actualizar de forma segura: solo por la vía oficial

Los atacantes también abusan de la palabra "actualización". Una ventana emergente en un sitio web que dice "Su navegador está desactualizado, descargue aquí la actualización" o un correo que dice "instale la actualización de seguridad adjunta" es casi siempre malware. Las actualizaciones reales llegan a través del sistema operativo, la tienda de aplicaciones, la función de actualización del propio programa o el sitio web del fabricante. Nunca a través de un enlace en un correo o una ventana emergente en un sitio cualquiera.

En la práctica: así se ve

En un paquete de alojamiento con DirectAdmin, como el de WebOké, usted elige la versión de PHP de su sitio mediante Select PHP version. Si quiere hacer primero una copia de seguridad antes de actualizar su sitio web o sus plugins, puede hacerlo por ejemplo en Installatron con el botón Back-up, tras lo cual, si surgen problemas, puede restaurar la versión anterior. En otros proveedores funciona de forma parecida: busque "versión de PHP" y la función de copia de seguridad o de entorno de pruebas (staging) de su CMS.

En ordenadores y teléfonos, la función de actualización se encuentra en los ajustes del sistema operativo. Para su router, consulte la página de administración (la dirección figura en el manual o en la pegatina del router) o la aplicación de su proveedor.

Resumen

• Una actualización cierra una vulnerabilidad conocida; tras su publicación, los atacantes escanean internet en busca de quien se haya quedado atrás.
• Haga un inventario, también del router, el NAS, la impresora, las cámaras, el sitio web y los plugins, con un responsable por línea.
• Actualice automáticamente siempre que sea posible, reinicie con regularidad, y atienda primero y con rapidez a los dispositivos periféricos.
• Fin del soporte técnico significa: ya no hay más actualizaciones de seguridad. Sustituya el dispositivo, o desconéctelo y aíslelo.
• Actualice solo por la vía oficial, nunca mediante una ventana emergente o un correo.

Cuestionario

Ejercicio

Ejercicio D5.1: Su inventario de actualizaciones. Elabore una lista de todos sus dispositivos y software, incluyendo router, NAS, impresora, cámaras, sitio web y plugins. Anote en cada línea la versión, si las actualizaciones automáticas están activadas, quién es el responsable y si todavía recibe soporte técnico. Actualice lo que se haya quedado atrás y responda las preguntas de reflexión.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.

• Manual de DirectAdmin 14.1: Elegir la versión de PHP (Select PHP version)
• Manual de DirectAdmin 13.6: Crear y restaurar copias de seguridad en Installatron
• NCSC neerlandés, Una de cada tres pequeñas empresas no hace actualizaciones automáticas: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• NCSC neerlandés, Organice la gestión de parches: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• NCSC neerlandés, Medidas básicas de seguridad para dispositivos inteligentes: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, ciclo de vida de Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro