Una vulnerabilidad de día cero es un fallo de software que los atacantes ya están explotando antes de que el fabricante haya publicado una corrección. El nombre viene de la posición del defensor: cuando empieza el ataque, el fabricante ha tenido cero días para proteger a sus clientes. Agosto de 2026 fue un claro recordatorio de cómo se desarrollan estos ataques, con un fallo de Windows explotado por un grupo respaldado por un Estado y un servidor de gestión de impresión secuestrado por atacantes sin autenticar en el mismo mes.
Este artículo explica qué ocurrió, a quién afectó y las medidas prácticas que reducen su exposición al próximo día cero, el que nadie puede corregir por adelantado.
Qué ocurrió en agosto
Windows: CVE-2026-68820, explotado por el grupo Lazarus
El 11 de agosto, la actualización de seguridad mensual de Microsoft corrigió unas 400 vulnerabilidades. Una de ellas, CVE-2026-68820, ya se estaba explotando. Es un fallo de uso después de liberación (use-after-free) en afd.sys, el controlador de Windows que hay detrás de la pila de red WinSock. Un atacante que ya tenga un punto de apoyo en un equipo, incluso con una cuenta de pocos privilegios, puede usarlo para obtener el control total como SYSTEM.
Los investigadores de Check Point, que notificaron el fallo, vincularon su uso con Lazarus, el grupo patrocinado por el Estado norcoreano. Lazarus lo usó para instalar una nueva versión de FudModule, su rootkit a nivel de núcleo, diseñado para desactivar las herramientas de seguridad desde lo más profundo del sistema operativo. La agencia estadounidense de ciberseguridad y seguridad de las infraestructuras (CISA) añadió el fallo a su catálogo de vulnerabilidades explotadas conocidas ese mismo día y dio de plazo a las agencias federales de EE. UU. hasta el 25 de agosto para aplicar el parche.
La misma actualización corrigió otros dos fallos cuyos detalles se habían publicado antes de que existiera una corrección: CVE-2026-62832, en el servicio de perfiles de usuario de Windows, que puede permitir a un usuario local obtener derechos de administrador, y CVE-2026-72971, en un controlador de filtro de contenedores de Windows. No se confirmó que ninguno se estuviera explotando, pero los detalles públicos acortan el tiempo que tardan los atacantes en empezar a usarlos.
PaperCut: toma de control sin autenticación de servidores de impresión
El 27 de agosto, PaperCut advirtió de que unos atacantes estaban explotando un fallo desconocido hasta entonces en PaperCut NG y MF, un software de gestión de impresión muy usado en colegios, universidades, ayuntamientos y empresas. La vulnerabilidad, identificada después como CVE-2026-81578 y CVE-2026-82078, permitía a un atacante sin credenciales cambiar la configuración del servidor y ejecutar después su propio código en él.
La empresa de seguridad Huntress confirmó la explotación en los entornos de dos clientes. En uno de ellos, toda la intrusión duró menos de dos minutos: el atacante ejecutó comandos de reconocimiento para perfilar el servidor, dejó una pequeña carga en Java, recopiló lo que encontró y después borró sus propios archivos y el registro de la aplicación para ocultar su rastro. Huntress observó además que cerca del 47 % de las aproximadamente 2.500 instalaciones de PaperCut que supervisa usaban la versión 23 o anteriores, para las que al principio no había corrección.
PaperCut publicó de inmediato versiones de emergencia para las versiones 25 y 26, y extendió las correcciones a la versión 24 al día siguiente.
Por qué los días cero importan a todas las organizaciones
Es tentador pensar que los días cero solo afectan a gobiernos y grandes empresas. Agosto demostró lo contrario:
- Los objetivos eran programas de uso cotidiano. Windows y un servidor de impresión están en casi todas las oficinas. Los atacantes van donde está la base instalada.
- Las interfaces de administración expuestas son la puerta principal. Los ataques a PaperCut solo funcionaron contra servidores cuya interfaz web era accesible desde internet. Muchas organizaciones no son conscientes de cuántos paneles de administración tienen expuestos.
- La escalada de privilegios convierte una pequeña brecha en una grande. El fallo de Windows necesita un punto de apoyo previo, que suele venir de un correo de phishing o de una contraseña robada. Una vez dentro, el día cero convierte una cuenta limitada en un control total.
- Los atacantes borran sus huellas. Si se borran los registros, sin una supervisión independiente la víctima puede no llegar a saber nunca qué se llevaron.
Cómo protegerse antes del próximo
Por definición, no se puede corregir un día cero antes de que exista la corrección. Lo que sí puede hacer es reducir las vías de entrada, hacer que un ataque con éxito cause menos daño y acortar el tiempo que pasa desde que aparece una corrección hasta que se instala.
1. Aplique las correcciones en cuanto aparezcan
La mayor parte del daño real se produce en los días y semanas posteriores a la publicación de una corrección, cuando los atacantes analizan el parche por ingeniería inversa. Active las actualizaciones automáticas de Windows, los navegadores y los teléfonos. Para los servidores y las aplicaciones de empresa, fije un objetivo: las correcciones críticas de los sistemas expuestos a internet en 48 horas y todo lo demás en 14 días. Suscríbase a los avisos de seguridad de sus principales proveedores y a la lista de vulnerabilidades explotadas conocidas de la CISA.
2. Saque de internet las interfaces de administración
Los servidores de impresión, las herramientas de acceso remoto, los cortafuegos, los routers, la videovigilancia y los paneles de control de los sitios web no deberían ser accesibles para cualquiera desde internet. Póngalos detrás de una VPN o limítelos a direcciones IP conocidas. Solo con esta medida se habrían bloqueado por completo los ataques a PaperCut.
3. Sepa qué tiene instalado
Mantenga actualizada una lista de sus sistemas y versiones de software, incluidos aquellos en los que nadie piensa, como la gestión de impresión, los sistemas del edificio y los servidores antiguos. No se puede corregir lo que no se sabe que se tiene.
4. Retire los derechos de administrador local
Las cuentas de uso diario no deberían ser de administrador. Junto con la autenticación multifactor en el correo y el acceso remoto, esto hace mucho más difícil conseguir el punto de apoyo inicial del que dependen los días cero de escalada de privilegios.
5. Detecte, no solo prevenga
Use detección y respuesta en los equipos (EDR) en portátiles y servidores, y envíe los registros a un sistema aparte que el atacante no pueda borrar con facilidad. Esté atento a las señales de alarma vistas en agosto: software de servidor que abre intérpretes de comandos, archivos inesperados en las carpetas de las aplicaciones y registros que desaparecen de repente.
6. Prepárese para el día malo
Mantenga copias de seguridad desconectadas o inmutables y compruebe que puede restaurarlas. Deje por escrito a quién llamará y cómo aislará los sistemas antes de necesitarlo. Un plan de incidentes breve y ensayado vale más que uno largo que nunca se ha probado.
Si cree que le ha afectado
Si usa PaperCut NG o MF y su interfaz web era accesible desde internet en agosto, no se limite a actualizar y pasar página. Conserve primero los registros y la configuración del servidor, y después busque archivos .class inesperados en la carpeta lib del servidor y archivos de registro que falten o estén truncados. Actualizar o reiniciar puede destruir pruebas que necesitará para entender qué ocurrió.
En el caso de Windows, confirme que las actualizaciones de agosto están instaladas en todos los equipos, no solo en la mayoría. Basta un servidor sin parchear.
Nuestro equipo de respuesta a incidentes puede ayudarle a buscar indicios de compromiso, preservar las pruebas correctamente y cerrar las brechas. Contacte con nosotros o llame al +44 7520 644325 a cualquier hora.
Fuentes
- BleepingComputer: el Patch Tuesday de agosto de 2026 de Microsoft corrige 400 fallos, 3 de ellos de día cero
- Help Net Security: Microsoft corrige más de 400 vulnerabilidades, una de ellas de día cero explotada activamente
- Huntress: día cero en PaperCut, explotación activa y ejecución remota de código sin autenticación