¿Qué es una vulnerabilidad? Los fallos de seguridad, explicados

WindowsMaciPhoneAndroidActualizado 2026-10-24

INCIBE, el Instituto Nacional de Ciberseguridad de España, define una vulnerabilidad como "un fallo técnico o deficiencia de un programa que puede permitir que un usuario no legítimo acceda a la información o lleve a cabo operaciones no permitidas de manera remota". Los fabricantes las corrigen con actualizaciones, e instalarlas es lo que se conoce como aplicar parches. Esta guía refleja la situación a 23 de octubre de 2026.

Respuesta rápida

Una vulnerabilidad es un fallo o una debilidad en un programa, un sistema o un proceso que un atacante podría aprovechar. Los fallos los encuentran investigadores y fabricantes, se comunican a la organización responsable, se corrigen y después se publican con un aviso. Instalar las actualizaciones en cuanto llegan es lo que lleva la corrección a tus dispositivos.

¿Qué significa vulnerabilidad en seguridad informática?

Dicho llanamente, es un hueco que no debería estar ahí. La definición de INCIBE es la de arriba. El NCSC, el centro de ciberseguridad del Reino Unido, la describe en su glosario como una debilidad o un fallo en el software, un sistema o un proceso, que un atacante aprovecha, por ejemplo, para acceder sin autorización a un sistema informático. El NIST, el instituto de normas de Estados Unidos, lo formula de manera más técnica: una debilidad en un sistema de información, en sus procedimientos de seguridad, en sus controles internos o en su implementación, que una amenaza podría explotar o activar.

Hay dos palabras relacionadas que salen a menudo. El NCSC define un exploit como el desarrollo de herramientas para aprovechar una vulnerabilidad y acceder sin autorización o causar efectos no deseados. La vulnerabilidad es la debilidad, y el exploit, la forma de usarla. Un zero-day, o día cero, es según el mismo glosario una vulnerabilidad descubierta hace poco que los atacantes pueden aprovechar y para la que todavía no hay corrección pública.

Una vulnerabilidad, por sí sola, no es un hackeo. Es una debilidad que podría usarse, y por eso los consejos que la siguen tratan de corregirla antes de que alguien lo haga.

¿Cómo se descubren las vulnerabilidades?

El NCSC dice que se descubren vulnerabilidades continuamente y que quien las encuentra quiere poder comunicarlas directamente a la organización responsable. CISA, la agencia de ciberseguridad de Estados Unidos, describe a quienes las encuentran como investigadores, proveedores y otras personas, que pueden comunicarle un posible fallo para que lo coordine.

El NCSC anima a las organizaciones a ponerlo fácil. Su guía de divulgación de vulnerabilidades recomienda una vía de contacto clara, como un formulario web seguro, y una política publicada que explique qué puede esperar quien comunica un fallo. También describe security.txt, un pequeño archivo que una web puede publicar para que cualquiera que encuentre un problema sepa a quién avisar.

¿Qué es la divulgación coordinada?

Es el proceso para que un fallo se corrija y se anuncie de forma ordenada. CISA dice que su programa de divulgación coordinada facilita la difusión oportuna y sincronizada de la información sobre la vulnerabilidad y de las medidas que la mitigan, si existen. Su objetivo es que todas las partes, desde quien comunicó el fallo hasta el fabricante y sus clientes, reciban la información a la vez.

CISA enumera sus fases: se envía el informe, CISA comprueba que es legítimo y está dentro de su ámbito, trabaja con el fabricante para confirmar el fallo, decide si necesita un identificador CVE, las partes acuerdan el texto y el momento del aviso, y se publica. Si un fabricante no responde o no acepta un plazo razonable, CISA dice que puede divulgar el fallo a partir de los 45 días desde el primer intento de contacto, haya o no parche.

La guía del NCSC cubre el mismo proceso desde el lado de la organización: no ignorar el informe, dar las gracias a quien lo envió, mantenerle al día si la corrección tarda y avisarle cuando esté corregido.

¿Cómo recibe una vulnerabilidad su nombre y su corrección?

Muchas reciben un número CVE. CISA describe el programa CVE (Common Vulnerabilities and Exposures) como un sistema reconocido mundialmente para identificar, nombrar y catalogar vulnerabilidades. Por eso los avisos citan códigos como CVE-2026-109618. INCIBE es una de las autoridades que asignan estos números: es CNA (Autoridad de Numeración de CVE) desde el 15 de enero de 2020. Nuestra guía sobre los números CVE y las puntuaciones CVSS explica qué significan los números y la gravedad.

La corrección suele ser un parche, es decir, una actualización. El NCSC define aplicar parches como instalar actualizaciones en dispositivos o programas para mejorar la seguridad, la funcionalidad o ambas.

¿Por qué importan las actualizaciones?

Porque una actualización es la forma en que la corrección llega a ti. El consejo del NCSC para particulares es aplicar las actualizaciones de las apps y del sistema de tu dispositivo en cuanto estén disponibles, y no ignorar los avisos de actualizar. Lo considera una de las cosas más importantes, y más rápidas, que puedes hacer para estar seguro en internet, y sugiere activar las actualizaciones automáticas cuando el dispositivo lo permita.

El NCSC también advierte de que los fabricantes acaban dejando de actualizar los dispositivos antiguos. Un dispositivo sin soporte no recibe actualizaciones de seguridad, y el NCSC dice que eso deja un teléfono menos seguro.

¿Qué enseña PHP2Shell sobre las vulnerabilidades?

PHP2Shell es un ejemplo reciente del ciclo completo. El 21 de octubre de 2026, el proyecto PHP anunció dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código sin iniciar sesión, y publicó versiones corregidas el mismo día. Su aviso dice que las distribuciones de Linux y los proveedores de soporte a largo plazo recibieron los parches por adelantado, y la IPA japonesa señala que la empresa de seguridad Wiz participó en la investigación de los fallos. INCIBE-CERT, el NCSC, CISA, JPCERT/CC y la IPA pidieron después a las organizaciones que actualizaran. A 23 de octubre de 2026, CISA dice en su alerta del 21 de octubre, revisada el 23 de octubre, que no ha observado una explotación con éxito de estas vulnerabilidades en entornos reales en el momento de la publicación. La historia completa está en nuestra guía PHP2Shell explicado.

Más preguntas

¿Una vulnerabilidad es lo mismo que un virus?

No. Según las definiciones del NCSC, una vulnerabilidad es una debilidad o un fallo, y un exploit es una herramienta desarrollada para aprovecharla. La vulnerabilidad es la debilidad, no el ataque, y por eso el consejo es corregirla antes de que alguien la use.

¿Se corrigen todas las vulnerabilidades?

No siempre deprisa. CISA dice que, si un fabricante no responde o no fija un plazo razonable, puede divulgar el fallo a los 45 días, haya o no parche. El software sin soporte puede no recibir ninguna corrección: PHP 8.1 y anteriores ya no reciben actualizaciones del proyecto PHP.

¿Qué pasa si mi dispositivo ya no recibe actualizaciones?

El NCSC dice que un dispositivo sin soporte no recibe actualizaciones de seguridad del fabricante, lo que lo hace menos seguro, y sugiere comprobar en internet si un modelo concreto sigue recibiéndolas. Con el software pasa lo mismo: nuestra guía ¿es seguro PHP? muestra cómo funciona el soporte de las versiones de PHP.

He encontrado un fallo en una web. ¿Cómo lo comunico?

Busca la política de divulgación de vulnerabilidades de la organización o su archivo security.txt, que el NCSC recomienda publicar. Si el fallo está en el producto de un fabricante y no en la web de una organización, CISA acepta informes para coordinarlos a través de su plataforma VINCE-NT.