Actualizaciones y software obsoleto
Módulo 5: Dispositivos, software y red · Tiempo de lectura: 10 minutos
Objetivo de aprendizaje: Después de esta lección podrá establecer una política de actualizaciones para sistemas operativos, aplicaciones, plugins, routers y otros dispositivos, y explicar qué significa el "fin del soporte" y qué hacer entonces.
Conceptos clave: vulnerabilidad, parche, zero-day, actualizaciones automáticas, firmware, plugin, inventario, fin del soporte (end of life), dispositivo perimetral (edge device)
Una actualización es como añadir una cerradura
El software contiene errores. Algunos errores son solo molestos (un botón que no funciona), otros son una vulnerabilidad: un fallo con el que un atacante puede hacer algo no previsto, como iniciar sesión sin contraseña o ejecutar código propio. El fabricante lo soluciona con un parche, que le llega a usted en forma de actualización.
Lo peligroso está en el orden de los acontecimientos. En cuanto se publica una actualización, la vulnerabilidad se hace prácticamente pública. Los atacantes comparan la versión antigua y la nueva, ven qué se ha corregido y construyen un ataque a partir de eso. Después, escanean automáticamente todo internet en busca de dispositivos que todavía no tengan la actualización. Ese es exactamente el ataque oportunista de la lección 1.1: no le buscan a usted, buscan a cualquiera que se haya quedado atrás.
Un zero-day es una vulnerabilidad que ya se está explotando antes de que exista un parche. Poco se puede hacer al respecto salvo seguir las recomendaciones del fabricante y limitar los daños (copias de seguridad, permisos mínimos). Pero la gran mayoría de los ataques a pequeñas empresas se producen a través de vulnerabilidades para las que la actualización llevaba tiempo disponible.
El antiguo Digital Trust Center neerlandés, ahora integrado en el centro nacional de ciberseguridad de los Países Bajos, observó en 2024 en su comprobación de seguridad que más de una de cada tres pequeñas empresas (36%) no tenía activadas las actualizaciones automáticas en todos sus dispositivos conectados a internet. La recomendación es sencilla: no espere para actualizar y active las actualizaciones automáticas siempre que sea posible.
¿Qué tiene usted en realidad? El inventario
No puede actualizar lo que ha olvidado que tiene. La mayoría de las empresas piensan en portátiles y teléfonos cuando hablan de actualizaciones, pero los dispositivos más peligrosos suelen ser los silenciosos:
| Tipo | Ejemplos | Cómo suele actualizarse |
|---|---|---|
| Ordenadores y teléfonos | Windows, macOS, Linux, Android, iOS | Automáticamente, si lo activa y no pospone el reinicio indefinidamente |
| Programas y aplicaciones | Navegador, paquete ofimático, lector de pdf, aplicación de contabilidad | A menudo automático; los programas sueltos a veces no |
| Sitio web | CMS, plugins, temas, versión de PHP | En parte automático; plugins y temas a menudo manual |
| Equipamiento de red | Router, módem, puntos wifi, cortafuegos, servidor VPN | Firmware, a menudo manual o a través del proveedor |
| Dispositivos periféricos | NAS, impresora de red, cámara IP, timbre inteligente, sistema de alarma, sistema de caja registradora | Firmware, a menudo manual, a veces nunca |
| Servicios en la nube | Correo, contabilidad, plataforma de tienda online | El proveedor lo mantiene actualizado; usted gestiona la configuración |
A los dispositivos conectados directamente a internet y accesibles desde fuera (router, servidor VPN, NAS con acceso remoto, cámara) los llamamos dispositivos perimetrales (edge devices). Son el objetivo más frecuente, porque un atacante puede acceder a ellos sin que ningún empleado haga clic en nada. Un ejemplo anonimizado: una asesoría contable tenía un NAS configurado con "acceso desde cualquier lugar". El fabricante publicó una actualización de seguridad, la asesoría no la instaló, y unas semanas después todos los archivos del NAS estaban cifrados. Nadie había hecho clic en nada.
Una política de actualizaciones en cinco acuerdos
Una política no tiene que ser un documento de diez páginas. Para una pequeña empresa, estos acuerdos funcionan:
- Automático siempre que sea posible. Active las actualizaciones automáticas para sistemas operativos, navegadores, aplicaciones y, cuando sea posible, para el CMS y los plugins y para el firmware del router y el NAS.
- Reiniciar forma parte del proceso. Muchas actualizaciones solo surten efecto tras un reinicio. Acuerden que todos reinicien al menos una vez por semana y no pospongan un reinicio durante semanas.
- Dispositivos perimetrales primero. Para los dispositivos accesibles desde fuera: compruebe usted mismo si hay actualizaciones, por ejemplo una vez al mes, e instale una actualización de seguridad en pocos días. Si el fabricante o el centro nacional de ciberseguridad advierten de explotación activa, hágalo el mismo día.
- Un responsable por dispositivo. En el inventario, cada línea indica quién lo actualiza: usted mismo, un compañero, su empresa de informática o quien le construye la web. Si no hay nadie indicado, nadie lo hace.
- Lo que ya no se necesita, se elimina. Un plugin que no usa, un portátil viejo en el armario que todavía se conecta a la red, un sitio de pruebas en un subdominio: elimínelo, así tampoco tendrá que actualizarlo.
¿Duda si una actualización puede estropear algo? Primero haga una copia de seguridad (módulo 6) y después actualice. No instalar una actualización por miedo a problemas es casi siempre el riesgo mayor.
Fin del soporte: cuando ya no llegan más actualizaciones
Cada versión de software o firmware tiene una fecha límite. Después de esa fecha, el fabricante deja de publicar actualizaciones de seguridad. Esto se llama fin del soporte (end of life, EOL). El dispositivo sigue funcionando con normalidad, y eso es precisamente lo traicionero: nadie nota nada, mientras cada nueva vulnerabilidad queda abierta para siempre.
Ejemplos:
- Windows 10. El soporte normal terminó el 14 de octubre de 2025. Después, solo llegan actualizaciones de seguridad a través del programa ESU de Microsoft, con fechas límite que varían según la situación. Consulte en la web de Microsoft qué se aplica a sus dispositivos y planifique el cambio a una versión compatible o a otro dispositivo.
- PHP y otros lenguajes de sitios web. Cada versión de PHP recibe actualizaciones de seguridad durante unos años. Si su sitio web funciona con una versión antigua, el servidor puede ser seguro, pero su sitio no lo es.
- Routers, NAS y cámaras. Los dispositivos económicos a veces reciben actualizaciones de firmware solo durante unos años, a veces nunca. Se recomienda averiguar antes de la compra durante cuánto tiempo el fabricante dará soporte al dispositivo, y sustituir los dispositivos que ya no reciben actualizaciones.
- Plugins y temas. Un plugin cuyo creador ha dejado de desarrollarlo no recibirá más correcciones. Busque un sustituto.
Si no puede sustituir algo de inmediato, limite el riesgo: retírelo de internet, colóquelo en una red separada (lección 5.3) y no le dé acceso a datos importantes.
Actualizar con seguridad: solo por el canal oficial
Los atacantes también utilizan la palabra "actualización" de forma fraudulenta. Una ventana emergente en un sitio web "Su navegador está desactualizado, descargue aquí la actualización" o un correo "instale la actualización de seguridad del archivo adjunto" es casi siempre malware. Las actualizaciones reales llegan a través del sistema operativo, la tienda de aplicaciones, la función de actualización del propio programa o el sitio web del fabricante. Nunca a través de un enlace en un correo o una ventana emergente en un sitio cualquiera.
En la práctica: así se ve
En un paquete de alojamiento con DirectAdmin, como el de WebOké, usted elige la versión de PHP de su sitio mediante Select PHP version. Si quiere hacer una copia de seguridad antes de actualizar su sitio web o sus plugins, puede hacerlo por ejemplo en Installatron con el botón Back-up, tras lo cual, si surgen problemas, puede restaurar la versión anterior. En otros proveedores funciona de forma similar: busque "versión de PHP" y la función de copia de seguridad o de staging de su CMS.
Para ordenadores y teléfonos, la función de actualización está en los ajustes del sistema operativo. Para su router, consulte la página de administración (la dirección aparece en el manual o en la etiqueta del router) o la aplicación de su proveedor.
Resumen
- Una actualización cierra una vulnerabilidad conocida; tras su publicación, los atacantes escanean internet en busca de quien se haya quedado atrás.
- Haga un inventario, también del router, el NAS, la impresora, las cámaras, el sitio web y los plugins, con un responsable por línea.
- Actualice automáticamente siempre que sea posible, reinicie con regularidad, y priorice los dispositivos perimetrales, con rapidez.
- Fin del soporte significa: no habrá más actualizaciones de seguridad. Sustituya el dispositivo, o desconéctelo y aíslelo.
- Actualizaciones solo por el canal oficial, nunca mediante una ventana emergente o un correo.
Cuestionario
Ejercicio
Ejercicio D5.1: Su inventario de actualizaciones. Haga una lista de todos sus dispositivos y software, incluyendo router, NAS, impresora, cámaras, sitio web y plugins. Anote en cada línea la versión, si las actualizaciones automáticas están activadas, quién es el responsable y si todavía recibe soporte. Actualice lo que se haya quedado atrás y responda a las preguntas de reflexión.
Ejercicio D5.1: Su inventario de actualizaciones
Cómo hacerlo: (1) Haga una tabla con las columnas: dispositivo o software, tipo (ordenador, teléfono, programa, sitio web, red, periférico, servicio en la nube), versión, actualizaciones automáticas (sí/no/no es posible), responsable (quién trabaja con él), todavía con soporte (sí/no/desconocido), accesible desde fuera (sí/no). Junto al ejercicio encontrará una plantilla descargable (csv u hoja de cálculo). (2) Recorra su oficina y los puestos de teletrabajo. No olvide: router y módem, puntos de wifi, NAS, impresora de red, cámaras IP, timbre o alarma inteligente, sistema de caja, el portátil antiguo del armario, su sitio web con el CMS, los plugins y los temas, la versión de PHP de su paquete de alojamiento. (3) Busque para cada dispositivo en la página del fabricante hasta cuándo recibe actualizaciones. Para Windows 10: consulte la página de ciclo de vida de Microsoft para ver qué se aplica a sus dispositivos. (4) Active las actualizaciones automáticas donde sea posible. Instale las actualizaciones pendientes, primero en los periféricos. Reinicie después. (5) Marque todo lo que ya no recibe actualizaciones y decida por fila: sustituir (con fecha), desconectar de internet, o colocar en una red aparte (lección 5.3).
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para saber más
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma similar.
- Manual de DirectAdmin 14.1: Elegir la versión de PHP (Select PHP version)
- Manual de DirectAdmin 13.6: Crear y restaurar copias de seguridad en Installatron
- INCIBE, recursos de ciberseguridad para empresas: https://www.incibe.es/empresas
- INCIBE, Línea de Ayuda en Ciberseguridad: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
- ENISA, recomendaciones de ciberseguridad: https://www.enisa.europa.eu/
- Microsoft, ciclo de vida de Windows 10: https://learn.microsoft.com/es-es/lifecycle/products/windows-10-home-and-pro