Software sin actualizar: la puerta abierta que olvidaste
🇺🇸 Read this article in English
Hay una computadora en casi todos los negocios pequeños que visito que nadie quiere tocar. Corre el sistema de contabilidad, o la impresora de etiquetas, o el sistema de cámaras. Ha funcionado bien durante años. Y precisamente porque ha funcionado bien durante años, nadie la ha actualizado en mucho tiempo.
Esa máquina suele ser la entrada.
La semana pasada lo dejó claro. El 26 y 27 de agosto, la Agencia federal de Ciberseguridad y Seguridad de Infraestructura (CISA) agregó nueve fallas más a su catálogo de Vulnerabilidades Explotadas Conocidas: once en siete días, y alrededor de treinta en el último mes. “Explotada conocida” no es una predicción. Significa que alguien confirmó que los criminales están usando esa falla en este momento, contra negocios reales.
El detalle que debería llamarte la atención
Mira lo que realmente entró a la lista. Junto a una falla nueva de Citrix NetScaler y un error actual de Linux, CISA agregó una vulnerabilidad de Microsoft SQL Server de 2019 y dos fallas de Red Hat de 2015.
Léelo otra vez. Problemas que el fabricante divulgó y corrigió hace más de una década siguen funcionando en 2026. No porque el ataque sea ingenioso, sino porque muchos negocios nunca instalaron la corrección.
Nadie te está eligiendo. Están escaneando.
Los dueños me dicen todo el tiempo: “Somos demasiado pequeños para ser un objetivo”. Eso era cierto cuando los ataques se hacían a mano. Dejó de serlo cuando se automatizaron. Un grupo criminal escribe un solo programa, lo apunta a todas las direcciones de internet de Norteamérica y lo deja corriendo. El programa no conoce tus ingresos. Solo sabe si tu equipo responde con un número de versión que tiene un exploit público asociado.
Un consultorio dental en Oro Valley y un hospital en Phoenix se ven idénticos para ese programa. La diferencia es que el hospital tiene a alguien cuyo trabajo de tiempo completo es aplicar parches, y tú tienes un martes.
Por qué los negocios pequeños se quedan atrás
“Funciona. No lo toques.”
Esta es la frase más cara en la tecnología de un negocio pequeño. La estación de trabajo vieja que controla la máquina del taller, el servidor que instaló el técnico anterior en 2017, el router que dejó la compañía de internet: todo funciona, así que todo se salta. Mientras tanto el fabricante terminó el soporte y dejó de publicar correcciones por completo.
El software sin soporte es una categoría de riesgo distinta al software desactualizado. Lo desactualizado se arregla un sábado por la mañana. Lo que ya no tiene soporte nunca se va a arreglar. Nunca. La única salida es reemplazarlo, y entre más esperes, más caro sale ese reemplazo.
Nadie tiene la lista
La mayoría de los negocios que incorporamos no puede decirme cuántas computadoras tiene. No por descuido, sino porque los equipos llegan uno a uno, a lo largo de muchos años y de manos distintas. No puedes actualizar lo que no sabes que tienes, y esa es la verdadera razón por la que una falla de 2015 sigue viva en alguna red en 2026.
Lo que puedes hacer esta semana
- Anota todo. Cada computadora, laptop, teléfono, tableta, impresora, router, firewall, grabadora de cámaras y servidor. Una sola hoja de cálculo. Modelo, antigüedad y quién lo usa. Toma una tarde y es la hora de trabajo de seguridad más útil que la mayoría de los dueños hará en su vida.
- Atiende primero lo que da a internet. Tu firewall, router, VPN y cualquier herramienta de acceso remoto son las piezas que esos programas realmente ven. Si alguna tiene una actualización de firmware pendiente, ese es tu lunes. Lo demás puede esperar una semana.
- Vuelve a activar las actualizaciones automáticas. Alguien las apagó hace años porque un reinicio interrumpió la jornada. Ese intercambio ya no vale la pena. Programa los reinicios fuera de horario y acompáñalo con verdadera protección de endpoints para estar cubierto entre ciclos de parches.
- Marca todo lo que ya no tiene soporte. Si el fabricante ya no lo respalda, entra a un plan de reemplazo con fecha, no a una lista de “algún día”. Presupuéstalo ahora, mientras sigue siendo una compra y no una emergencia.
- Prueba una restauración, no solo el respaldo. Los parches reducen la probabilidad de que te peguen. Los respaldos seguros y probados deciden qué tan grave es cuando algo pasa de todos modos. Un respaldo del que nunca has restaurado es una esperanza, no un plan.
- Dale a tu equipo una sola frase. “Cuando tu computadora te pida reiniciar para actualizar, di que sí hoy”. Esa frase, repetida, cierra más huecos que cualquier producto. Un poco de capacitación en concientización de seguridad ayuda a que se quede, y un buen filtrado de spam y virus mantiene fuera del buzón la basura que aprovecha el software viejo.
En resumen
No necesitas un centro de operaciones de seguridad. Necesitas saber qué tienes, mantenerlo al día y retirar aquello de lo que el fabricante ya se desentendió. Eso es todo. Los negocios que están saliendo lastimados ahora mismo no son los que carecen de alguna defensa exótica: son los que corren software con una corrección que lleva años disponible y gratuita.
Si al leer esto pensaste en una máquina específica de tu oficina, no es casualidad. Esa es. Ve a verla esta semana. Y de paso, combina bien con nuestro artículo reciente sobre las contraseñas que guardó tu navegador, porque los atacantes suelen encadenar ambas cosas.
¿No sabes qué estás corriendo?
Inventariamos cada dispositivo de tu red, te decimos qué está desactualizado y señalamos lo que el fabricante ya dejó de respaldar. Sin costo y sin compromiso.
Envíanos un mensaje
¿Preguntas sobre parches, equipo sin soporte o cualquier otra cosa de este artículo? Mándala y te respondo personalmente. También puedes ver más de nuestros artículos de ciberseguridad para pequeñas empresas.
— Nemuel Cruz, Incognito Cyber Security
