Lo has leído en las noticias, o te ha llegado un correo con un código raro y la palabra "crítica" al lado. Y te haces la única pregunta que importa: si eso va contigo. Aquí te contamos cómo se resuelve por dentro y qué puedes esperar de quien te lleve el servidor.
Primero, qué es exactamente eso que ha salido
Una vulnerabilidad es un fallo en un programa que alguien puede aprovechar para hacer algo que no debería: entrar donde no le toca, leer datos ajenos o tirar la máquina abajo. No es un virus. Nadie te ha atacado todavía. Es una puerta mal cerrada que se acaba de descubrir.
Cada una se numera con un código público (verás cosas como
CVE-2026-12345) para que todo el mundo hable del mismo fallo. Ese código
es lo que aparece en los titulares y en los correos de aviso.
Y salen a diario. Literalmente. La inmensa mayoría no te afecta: están en programas que tu servidor no tiene o en configuraciones que no usas. El trabajo no consiste en asustarse con cada una, sino en saber cuáles de todas van contigo.
La duda habitual: "si no me habéis avisado, ¿es que no lo estáis mirando?"
Es la pregunta que más nos llega cuando un fallo sale en prensa. Y es justa.
La respuesta corta: que no te escribamos suele significar que ya está resuelto, no que no lo hayamos visto. Si te avisáramos de cada aviso de seguridad que revisamos, recibirías varios correos por semana sobre cosas que no te afectan, y acabarías sin leer ninguno. Justo el día que uno sí importe.
Te escribimos cuando hay algo que tú tienes que decidir o notar: una ventana de reinicio, un cambio que se ve, o un riesgo que no podemos cerrar por nuestra cuenta. El resto se hace y se documenta.
- Se da por hecho que el fabricante ya lo ha tapado. A veces el aviso llega antes que la corrección, y hay una temporada en la que el fallo es público y todavía no hay nada que instalar.
- Se confía en la etiqueta y no en la máquina. Dos servidores con el mismo sistema operativo pueden estar uno protegido y otro expuesto, según cómo se instalaran en su día.
- Se actualiza a ciegas y se rompe algo. Instalar deprisa y sin comprobar qué depende de qué es la otra forma de tener un mal día.
- Se descubre meses después. Sin registro de qué se revisó y cuándo, nadie sabe si aquel fallo llegó a cerrarse o se quedó a medias.
El criterio: tres preguntas, siempre en el mismo orden
Cuando sale un aviso serio, esto es lo que se responde antes de tocar nada:
- ¿Nos afecta de verdad? No según lo que diga el aviso: según lo que diga la máquina. Se comprueba servidor por servidor.
- ¿Existe ya la corrección oficial? Es lo que se llama un "parche": la versión arreglada que publica el fabricante. Si existe, se instala.
- Y si todavía no existe, ¿qué se puede hacer mientras tanto? Aquí entra la palabra clave de todo esto.
Parchear y mitigar no son lo mismo
Es la distinción que casi nadie explica y la que más tranquilidad da cuando la entiendes:
| Parchear | Mitigar | |
|---|---|---|
| Qué es | Instalar la versión corregida. Arregla el fallo de raíz. | Cerrar el camino por el que se llega al fallo. El fallo sigue ahí, pero ya no se puede alcanzar. |
| Cuándo se puede | Solo cuando el fabricante la ha publicado. | Casi siempre desde el primer día. |
| Qué te supone | A veces un reinicio, en una ventana acordada contigo. | Normalmente nada. Se aplica en caliente, sin cortar el servicio. |
Lo importante: hay periodos en los que la corrección todavía no existe y esperarla de brazos cruzados no es una opción. Ahí la mitigación es lo que separa un servidor cubierto de uno expuesto. Cuando el parche sale, se instala y se revisa si la mitigación se puede retirar.
Qué hacer según tu caso
Si tienes hosting compartido
- El sistema del servidor lo llevamos nosotros. Esta clase de fallos entra dentro de lo que gestionamos.
- Tu parte es lo que vive dentro de tu web: mantener al día WordPress, Moodle o PrestaShop, sus plugins y sus plantillas. Ahí es donde de verdad entran los problemas en el día a día.
- Si has visto una noticia y te ha inquietado, pregúntanoslo por ticket y te decimos si te toca o no. Sin coste y sin sentirte pesado.
Si tienes un servidor propio que administras tú
- Dar por buena la nota del fabricante sin comprobarlo en tu máquina.
- Suponer que estás cubierto porque tu sistema operativo aparece en la lista de los "no afectados".
- Instalar la actualización sin saber si va a hacer falta reiniciar, y descubrirlo a las nueve de la mañana de un lunes.
- Comprobar en el propio servidor si la condición del fallo se cumple ahí.
- Mirar si la corrección existe ya de verdad, y no solo si hay actualizaciones pendientes de cualquier tipo.
- Aplicar la mitigación si el parche aún no está, después de mirar qué podría dejar de funcionar.
- Dejar por escrito qué se hizo, dónde y cuándo. Tu yo de dentro de seis meses te lo va a agradecer.
Si tu servidor lo llevamos nosotros
Tú no tocas nada técnico. Lo revisamos, lo cerramos y lo dejamos anotado. Si en algún momento hace falta un reinicio, lo acordamos contigo antes y buscamos la hora que menos te moleste. Y si quieres saber qué se hizo en tu máquina, nos lo pides y te lo contamos con nombres y fechas.
Comprobar el estado en la máquina real, no en el papel. Nos hemos encontrado las dos sorpresas: servidores que un aviso marcaba como urgentes y ya venían protegidos de fábrica, y servidores que "según la versión" estaban a salvo y resultó que no. Leer la configuración tampoco basta: hay que probar que el fallo ya no se puede aprovechar.
Qué pinta tiene esto cuando se hace bien
Un ejemplo real, sin nombres. Ante un aviso serio de los que llegan cada pocos meses, en una tarde: 29 servidores revisados uno a uno, 18 en los que había que actuar y 18 cerrados el mismo día. Sin reiniciar ninguno, sin un minuto de servicio caído y con la comprobación posterior de que nada dejó de funcionar. Los clientes de esas máquinas no tuvieron que hacer nada. La mayoría ni se enteró, que es justo de lo que se trata.
Checklist rápido
Si administras tu servidor, o si quieres saber si quien te lo lleva hace los deberes, estas son las preguntas que lo destapan:
- ¿Sabes quién revisa los avisos de seguridad de tu servidor, y cada cuánto?
- Cuando sale uno grave, ¿alguien comprueba tu máquina, o se asume por la versión del sistema?
- ¿Hay algo escrito de qué se revisó y qué se hizo, o depende de la memoria de alguien?
- Si el fabricante todavía no ha publicado la corrección, ¿se queda así hasta que salga?
- ¿Tienes claro qué parte del mantenimiento es tuya y cuál no?
Preguntas frecuentes
¿Tengo que hacer algo yo cuando sale una vulnerabilidad en las noticias?
Si el servidor lo llevamos nosotros, no. De la parte del sistema nos encargamos nosotros. Lo que sí es tuyo (salvo que tengas un plan de gestión de la web) es mantener al día tu WordPress, tu Moodle o tu tienda, con sus plugins y sus plantillas: ahí es donde ocurren la mayoría de los sustos reales.
¿Por qué no me avisáis de cada vulnerabilidad?
Porque salen a diario y casi ninguna te afecta. Avisarte de todas convertiría los correos importantes en ruido. Te escribimos cuando hay algo que decidir, algo que vas a notar, o algo que no podemos cerrar sin ti.
Si es tan grave, ¿por qué no reiniciáis el servidor ya?
Porque reiniciar solo sirve si existe la versión corregida. Hay avisos que se publican antes de que el fabricante saque el arreglo: reiniciar entonces te deja exactamente igual de expuesto y encima con un corte de servicio. En esos casos se cierra el camino de entrada primero, y el reinicio se hace cuando toca y contigo avisado.
¿Puede afectar a mi web una vulnerabilidad del servidor?
Puede. Muchas de estas necesitan que alguien tenga ya un pie dentro de la máquina, y ese pie suele entrar por una web desactualizada. Por eso las dos cosas van juntas: el sistema al día por nuestra parte y tu web al día por la suya.
¿Cómo sé si mi servidor sigue expuesto?
Pregúntalo y pide la comprobación concreta, no un "está todo bien". Si lo llevamos nosotros, te decimos qué se miró, qué se aplicó y en qué fecha. Y si el fallo sigue sin corrección oficial disponible, te lo decimos también, porque esa también es una respuesta honesta.
¿Quieres saber cómo está tu servidor hoy?
Lo revisamos y te decimos qué está cubierto, qué no y qué haríamos nosotros en tu lugar. Sin humo. Y si la opción que más te conviene no es la nuestra, también te lo diremos.
Cuéntanoslo