¿Qué es una vulnerabilidad de día cero (zero-day)?

Un zero-day es un fallo de seguridad que los responsables de arreglarlo aún no conocen. Quien lo encontró primero puede entrar sin oposición, porque no hay parche que instalar ni aviso sobre el que actuar. El nombre es la cuenta atrás: el fabricante ha tenido cero días para arreglarlo.

Un zero-day se define por quién conoce el fallo, no por su gravedad: uno corriente se reporta al fabricante, se parchea y se anuncia, así que los defensores instalan el arreglo mientras los atacantes corren hacia quien no lo hizo. Con un zero-day el fabricante y todos los defensores siguen sin saberlo, mientras quien lo descubrió sabe exactamente dónde empujar. No hay parche que instalar, y no hay nada que las herramientas de seguridad puedan reconocer, porque trabajan a partir de patrones de ataques ya conocidos. Lo que vale uno sale directo de ahí, porque incluso una organización que instala cada actualización el día que sale no tiene nada que instalar contra este. Los intermediarios pagan bien entrados los seis y siete dígitos por uno en software muy usado, y entre los compradores hay gobiernos y criminales. La cuenta atrás del nombre empieza el día que el fabricante por fin sabe que existe, a menudo porque se detectó un ataque, y desde ahí es escribir el parche contra explotarlo hasta que se cierre la ventana. Conviene la perspectiva: los zero-day se llevan los titulares, pero la mayoría de las brechas no lo son, sino un fallo hecho público y arreglado meses antes por un dueño que nunca instaló la actualización.

Un defecto de una cerradura que solo conoce el ladrón. La llave sigue girando, la puerta sigue pareciendo sólida y nada en la casa sugiere que algo va mal, mientras un truco concreto la abre en segundos. No puedes arreglar lo que nadie te ha contado, y el cerrajero no puede venderte un repuesto que no sabe que hace falta. El peligro entero vive en el hueco entre que el ladrón lo sabe y el fabricante se entera.