Zero-day explicadas: qué son, cómo funcionan y cómo protegerse contra ellas

En 2025, el Grupo de Inteligencia sobre Amenazas de Google registró 90 zero-day explotadas en el mundo real, y las tecnologías empresariales alcanzaron un máximo histórico del 48 % del total de objetivos. Los dispositivos periféricos, los equipos de seguridad y la infraestructura de red fueron los más afectados por unos ataques que las defensas basadas en firmas simplemente no pudieron prever.

Para los equipos de seguridad, zero-day representan el punto ciego definitivo. No se puede crear una firma de detección para algo cuya existencia se desconoce. Y dado que el tiempo medio necesario para explotar una vulnerabilidad revelada se ha reducido a cinco días —mientras que las organizaciones siguen tardando entre 60 y 150 días en aplicar los parches —, la brecha entre la rapidez de los atacantes y la respuesta de los defensores nunca ha sido tan grande.

Esta guía explica cómo funcionan zero-day , quiénes los compran y venden, qué revelan los ataques recientes sobre el cambiante panorama de las amenazas y cómo crear defensas que no dependan de conocer la amenaza de antemano.

¿Qué es una vulnerabilidad zero-day ?

Una zero-day es un fallo de seguridad en un software que el fabricante desconoce y para el que no existe ningún parche, lo que deja a los defensores sin tiempo de reacción antes de que los atacantes puedan aprovecharla. El términozero-day» hace referencia al hecho de que el fabricante del software no ha tenido tiempo de solucionar el problema cuando comienza la explotación. El Instituto Nacional de Estándares y Tecnología (NIST) define formalmente un zero-day como aquel que aprovecha una vulnerabilidad previamente desconocida.

Para comprender zero-day es necesario distinguir tres conceptos relacionados, pero distintos. La zero-day es el fallo en sí mismo: un error desconocido en el software, el hardware o el firmware. El zero-day es la técnica o el código que utiliza un atacante para aprovechar ese fallo. Y el zero-day es el incidente real que se produce al aplicar el exploit contra un objetivo.

Esta distinción es importante porque una vulnerabilidad puede existir durante años antes de que alguien la descubra. Solo se convierte en una zero-day cuando un atacante (o un investigador) la identifica y la aprovecha para llevar a cabo un ataque.

Terminología clave

• Zero-day : fallo desconocido en el software, el hardware o el firmware que genera una brecha de seguridad.
• Zero-day : código o técnica de ataque que aprovecha una falla desconocida para obtener acceso no autorizado o ejecutar comandos. Obtén más información sobre las vulnerabilidades y cómo se utilizan en las cadenas de ataque.
• Zero-day : incidente en el que un atacante utiliza una vulnerabilidad contra un sistema u organización objetivo.
• Zero-day malware: Malware que aprovecha una vulnerabilidad hasta entonces desconocida para distribuir cargas maliciosas, eludiendo los antivirus convencionales, ya que no existe ninguna firma para el exploit o la carga.

La magnitud del problema es considerable. El Grupo de Inteligencia sobre Amenazas de Google registró 90 zero-day explotadas en el mundo real en 2025, de las cuales el 48 % afectaba a tecnologías empresariales. Por quinto año consecutivo, los exploits fueron el principal vector de acceso inicial, responsables del 33 % de todas las intrusiones investigadas por Mandiant.

Cómo funcionan zero-day

Una zero-day sigue un ciclo de vida que genera múltiples ventanas de riesgo para las organizaciones. Comprender cada una de estas etapas ayuda a los equipos de seguridad a identificar dónde pueden aplicarse las medidas de defensa.

El ciclo de vida zero-day se desarrolla a lo largo de seis etapas:

1. Introducción: durante el desarrollo del software se produce un error de programación o un defecto de diseño.
2. Descubrimiento: la vulnerabilidad es detectada por investigadores de seguridad, actores maliciosos o herramientas automatizadas.
3. Aprovechamiento: si los atacantes lo descubren primero, desarrollan y ponen en práctica un exploit antes de que nadie más sepa que existe la vulnerabilidad.
4. Divulgación: la vulnerabilidad se comunica al proveedor (divulgación responsable) o se hace pública.
5. Lanzamiento de un parche: el proveedor desarrolla y publica una actualización de seguridad.
6. Aplicación de parches: las organizaciones prueban e implementan el parche en todos sus entornos.

El periodo de vulnerabilidad —el intervalo de tiempo que transcurre entre el momento en que se detecta una falla y el momento en que se implementa ampliamente un parche— es, de media, de 312 días. Durante este tiempo, los atacantes pueden actuar libremente contra los sistemas desprotegidos.

Lo que hace que el panorama actual sea especialmente peligroso es la drástica reducción del tiempo necesario para explotar una vulnerabilidad. El tiempo medio necesario para convertir en arma una vulnerabilidad revelada se redujo a cinco días en 2023, frente a los 63 días que se tardaba en 2018-2019. Mientras tanto, las organizaciones siguen tardando una media de entre 60 y 150 días en aplicar los parches. Este desajuste crea una brecha peligrosa en la que los atacantes actúan a la velocidad de una máquina, mientras que los defensores lo hacen al ritmo de un comité.

Unos procesos adecuados de gestión de vulnerabilidades pueden reducir esta brecha, pero no pueden eliminarla por completo en zero-day reales zero-day , en los que no existe ningún parche.

El dilema de la divulgación

La forma y el momento en que se revelan las vulnerabilidades es uno de los debates más trascendentales en materia de ciberseguridad. Google Project Zero aplica un plazo estándar de revelación de 90 días, con un periodo de gracia de 30 días para los parches más complejos. Sin embargo, en el caso de las vulnerabilidades que ya están siendo explotadas, se aplica una política más estricta de siete días, al reconocer que, cuando los atacantes ya están aprovechando una falla, esperar 90 días pone a los defensores en un riesgo inaceptable.

Zero Day Trend Zero Day (ZDI) y el CERT/CC mantienen sus propios plazos de divulgación. El sector se ha decantado en gran medida por un enfoque por niveles: siete días en caso de explotación activa y 90 días, con posibilidad de prórrogas, para la divulgación estándar. Aun así, sigue el debate sobre si 90 días es un plazo demasiado generoso, dado que los plazos de explotación no dejan de acortarse.

Vulnerabilidades Zero-day vulnerabilidades de n días

Aunque zero-day acaparan los titulares, las vulnerabilidades de n días —fallos conocidos para los que existen parches disponibles, pero que no se han aplicado— causan, en la práctica, un daño mucho más generalizado. Comprender esta distinción cambia la forma en que las organizaciones deben priorizar sus defensas.

Tabla: Diferencias clave entre las vulnerabilidades zero-day, «n días» y «un día».

Las consecuencias en la práctica son evidentes. El tiempo medio de cinco días que transcurre hasta que se aprovecha una vulnerabilidad supera con creces el ciclo medio de aplicación de parches, que oscila entre 60 y 150 días. Cada vulnerabilidad que se da a conocer se convierte inmediatamente en una carrera entre los defensores, que aplican los parches, y los atacantes, que aprovechan el fallo. Para la mayoría de las organizaciones, los atacantes ganan esa carrera.

Esto significa que, incluso después de que zero-day revelado y corregido una zero-day , esta se convierte en una vulnerabilidad de n días que sigue siendo explotable en la mayoría de los entornos durante semanas o meses. Las estrategias de defensa deben tener en cuenta tanto la zero-day (sin firma, sin parche) como la fase de n días (el parche existe, pero no se ha implementado).

Tipos de zero-day

Los objetivos de zero-day han cambiado radicalmente. Según el análisis de GTIG para 2025, las tecnologías empresariales alcanzaron un máximo histórico del 48 % del total zero-day , una tendencia con importantes implicaciones para la estrategia de seguridad de las redes.

De los 90 vulnerabilidades de día cero registradas en 2025, 47 afectaban a plataformas de usuarios finales (navegadores, sistemas operativos móviles y sistemas operativos de escritorio), mientras que 43 afectaban a tecnologías empresariales. Dentro de la categoría empresarial, los productos de seguridad y redes representaban 21 de las 43 vulnerabilidades de día cero dirigidas a empresas, y al menos 14 afectaban a dispositivos periféricos, como routers, conmutadores y dispositivos de seguridad.

Tabla: Proveedores más afectados por zero-day en 2025 (GTIG).

Este cambio es importante para los responsables de la seguridad, ya que los dispositivos periféricos y los equipos de seguridad suelen carecer de cobertura de detección y respuesta en los puntos finales (EDR). Las herramientas tradicionales de seguridad de puntos finales no pueden supervisar el firmware ni los sistemas operativos integrados que se ejecutan en routers, cortafuegos y controladores SD-WAN. Cuando estos dispositivos se ven comprometidos a través de zero-day , el ataque puede pasar desapercibido a menos que las organizaciones dispongan de visibilidad a nivel de red sobre los patrones de comportamiento que siguen a la explotación.

La economía del mercado Zero-day

Existe un próspero ecosistema de mercado en torno a zero-day , cuyos precios reflejan el extraordinario valor que los atacantes otorgan a las vulnerabilidades desconocidas. Comprender este mercado ayuda a las organizaciones a evaluar la gravedad de las amenazas a las que se enfrentan.

Las categorías de compradores abarcan cuatro segmentos:

• Los gobiernos y los servicios de inteligencia adquieren vulnerabilidades de día cero para llevar a cabo operaciones cibernéticas ofensivas y actividades de vigilancia
• Los proveedores de software de vigilancia comercial (CSV) desarrollan y venden programas espía que incorporan zero-day a clientes gubernamentales
• Las organizaciones criminales compran exploits en los mercados de la dark web con fines lucrativos
• Los programas de recompensas por errores ofrecen alternativas legales, aunque las recompensas suelen ser una fracción de los precios que cobran los intermediarios de vulnerabilidades

Tabla: Precios de zero-day según el tipo de objetivo (2024-2026).

Los precios están subiendo a medida que los proveedores refuerzan la seguridad de sus productos, lo que hace que los nuevos vulnerabilidades de día cero sean más difíciles de detectar y más valiosas cuando se descubren.

En 2025 se produjo un cambio trascendental: por primera vez, los proveedores de vigilancia comercial superaron a los grupos patrocinados por Estados en cuanto al número de zero-day atribuidos. A los proveedores de vigilancia comercial se les atribuyeron 18 de los 42 exploits identificados, frente a los 12 atribuidos a los grupos patrocinados por Estados. Esto significa que el mercado del spyware comercial —las empresas que venden herramientas de vigilancia a clientes gubernamentales de todo el mundo— genera ahora más zero-day que las operaciones tradicionales de piratería informática de los Estados-nación.

Zero-day en la práctica

Los patrones recientes zero-day revelan una tendencia clara: los atacantes se centran cada vez más en los componentes de infraestructura de los que dependen los defensores. Estos ejemplos de 2025-2026 ilustran distintos patrones de ataque que las organizaciones deberían analizar.

Cisco Catalyst SD-WAN (CVE-2026-20127) — El actor malicioso UAT-8616 ha estado aprovechando, al menos desde 2023, una vulnerabilidad crítica que permite eludir la autenticación en la plataforma SD-WAN de Cisco. Los atacantes comprometieron los controladores e introdujeron nodos maliciosos no autorizados en las redes afectadas. Dado que los controladores SD-WAN carecen de la cobertura tradicional de los sistemas EDR, esta explotación persistió durante años antes de ser descubierta.

Dell RecoverPoint (CVE-2026-22769): Mandiant descubrió esta zero-day investigaba sistemas Dell RecoverPoint comprometidos que se comunicaban con servidores de comando y control asociados a las puertas traseras BRICKSTORM y GRIMBOLT. Vinculada a actores maliciosos alineados con China, la explotación llevaba en marcha desde mediados de 2024, lo que demuestra cómo zero-day pueden persistir sin ser detectados durante más de un año sin una supervisión adecuada de la red.

Martes de parches de Microsoft de febrero de 2026: Microsoft solucionó unas 60 vulnerabilidades en un solo ciclo de parches, entre ellas seis vulnerabilidades de día cero que estaban siendo explotadas activamente. El gran número de vulnerabilidades de día cero simultáneas procedentes de un único proveedor pone de relieve la necesidad de contar con procesos de clasificación sólidos cuando surgen varios parches críticos a la vez.

Elusión del SSO de FortiCloud (CVE-2026-24858): una vulnerabilidad crítica que permitía eludir la autenticación en el producto cloud de un importante proveedor de seguridad fue explotada activamente antes de su divulgación. Este caso resulta especialmente revelador, ya que se dirigía contra la propia infraestructura de seguridad, socavando así una herramienta en la que las organizaciones confiaban para su defensa.

Tabla: Principales zero-day y parches en el primer trimestre de 2026.

La conclusión que se desprende de todos estos casos es clara: los dispositivos periféricos y los equipos de seguridad carecen de protección para los puntos finales, y las organizaciones necesitan planes de respuesta ante incidentes que tengan en cuenta la posibilidad de que sus propias herramientas de seguridad se vean comprometidas. Los datos de GTIG muestran que el volumen zero-day se ha estabilizado en niveles elevados —100 en 2023, 78 en 2024 y 90 en 2025—, lo que significa que las empresas se enfrentan a múltiples zero-day nuevas cada mes.

El doble papel de la IA en zero-day y la defensa frente a vulnerabilidades zero-day

La IA está transformando radicalmente ambos lados de la zero-day . En el ámbito ofensivo, la IA acelera el descubrimiento de vulnerabilidades y el desarrollo de exploits. En el ámbito defensivo, la IA permite aplicar métodos de detección que no dependen de conocer la amenaza de antemano. El Grupo de Inteligencia sobre Amenazas de Google ha estimado que la IA «acelerará la carrera actual entre atacantes y defensores» hasta 2026 y más allá.

Ofensiva: explotación acelerada por IA

El fuzzing y el análisis de código asistidos por IA pueden detectar vulnerabilidades a una escala y velocidad que los investigadores humanos no pueden igualar. Los grandes modelos de lenguaje entrenados con bases de código pueden identificar errores de corrupción de memoria, fallos lógicos y formas de eludir la autenticación que a los analistas humanos les llevaría semanas detectar. Esto significa que el número de vulnerabilidades de día cero detectables está aumentando, incluso aunque los proveedores mejoren sus prácticas de seguridad.

Las consecuencias son graves. A medida que las herramientas de IA ganan en capacidad, se reducen las barreras para descubrir vulnerabilidades que puedan explotarse. Los atacantes que antes carecían de la sofisticación técnica necesaria para encontrar vulnerabilidades de día cero ahora pueden ampliar sus capacidades gracias a la detección basada en IA.

Defensiva: detección basada en el comportamiento sin firmas

El principal reto de zero-day es lo que algunos investigadores denominan el «dilema de la ciberseguridad»: no se puede crear una firma para algo cuya existencia se desconoce. Es precisamente aquí donde la detección de amenazas mediante IA y el análisis de comportamiento cobran un carácter esencial.

La detección de amenazas basada en IA identifica los patrones de comportamiento que siguen a la explotación —movimiento lateral, escalada de privilegios, comunicaciones de comando y control, preparación de datos y exfiltración— independientemente de la vulnerabilidad específica o del exploit utilizado. Al centrarse en lo que hacen los atacantes tras obtener acceso, en lugar de en cómo lo consiguen, la detección basada en el comportamiento ofrece protección frente a zero-day sin necesidad de conocer previamente el fallo específico.

Este enfoque resulta especialmente crucial para tecnologías empresariales como los dispositivos periféricos y los equipos de seguridad, que representaron la mayor parte de zero-day en el ámbito empresarial en 2025 y que, por lo general, carecen de protección a nivel de terminal.

Detección y defensa frente a zero-day

Dado que, por definición, zero-day son desconocidas, defenderse de ellas requiere estrategias que no dependan del conocimiento previo de la amenaza concreta. Los antivirus tradicionales y las herramientas basadas en firmas no pueden detectar zero-day , ya que necesitan indicadores conocidos para funcionar, y los ataques de día cero no proporcionan ninguno.

zero-day eficaz contra las vulnerabilidades zero-day combina varias capas:

1. Implemente la detección de amenazas basada en el comportamiento para identificar patrones de actividad anómalos
2. Implementar la detección y la respuesta de red para obtener visibilidad sobre los dispositivos no gestionados
3. Adopta zero trust para limitar el movimiento lateral tras el acceso inicial
4. Prioriza la aplicación rápida de parches utilizando el catálogo de vulnerabilidades explotadas de la CISA
5. Supervisa los dispositivos periféricos y los equipos de seguridad mediante análisis a nivel de red
6. Llevar a cabo una búsqueda proactiva de amenazas centrada en los indicadores de comportamiento
7. Segmentar las redes para limitar el alcance de cualquier incidente de seguridad

Tabla: Comparación de métodos zero-day .

Por qué falla la detección basada en firmas

La detección basada en firmas compara la actividad entrante con patrones maliciosos conocidos —hashes de archivos, firmas de red o reglas de comportamiento—. Por definición, zero-day no tienen ninguna firma conocida. Esto significa que los antivirus convencionales, los sistemas básicos de detección de intrusiones y las detecciones SIEM basadas en reglas estáticas resultan ineficaces frente a zero-day .

El análisis de comportamiento y la detección de anomalías adoptan un enfoque fundamentalmente diferente. En lugar de preguntarse «¿hemos visto esta amenaza antes?», se preguntan «¿coincide esta actividad con los patrones normales?». Cuando un dispositivo periférico comprometido comienza a comunicarse con un servidor externo desconocido a horas inusuales, o cuando una cuenta de servicio accede de repente a recursos a los que nunca antes había accedido, la detección de comportamiento señala la anomalía, independientemente de si alguien ha visto alguna vez ese exploit concreto.

La CISA añadió más de 190 nuevas entradas al catálogo de vulnerabilidades explotadas conocidas en 2025, lo que pone de relieve el gran número de exploits recién descubiertos que requieren una respuesta rápida por parte de las organizaciones.

Zero-day y cumplimiento normativo

Las organizaciones deben adaptar sus capacidades zero-day a los marcos normativos que rigen su sector. No demostrar que se cuentan con controles adecuados para la respuesta ante vulnerabilidades puede acarrear consecuencias importantes.

Tabla: Zero-day en relación con los marcos de ciberseguridad.

Cumplir con los requisitos de cumplimiento normativo exige algo más que la simple aplicación de parches. Las organizaciones deben demostrar que cuentan con capacidades de detección de amenazas desconocidas, y no solo de vulnerabilidades conocidas. Los marcos de seguridad como el NIST CSF exigen explícitamente la supervisión del comportamiento básico de la red (DE.AE-1), un control directamente relacionado con zero-day .

Enfoques modernos para zero-day

El sector está pasando de la prevención basada en firmas a la detección basada en el comportamiento e impulsada por la inteligencia artificial como pilar fundamental de zero-day . Este cambio refleja el reconocimiento de que, dado que el 48 % de las amenazas de día cero se dirigen a tecnologías empresariales —muchas de las cuales carecen de protección en los puntos finales—, la visibilidad a nivel de red se convierte en la principal capa de detección.

Las organizaciones que desarrollan zero-day modernas zero-day se basan en tres principios. En primer lugar, deben partir de la premisa de que el sistema ya ha sido comprometido y diseñar la detección en función de los comportamientos de los atacantes tras la explotación, y no de la explotación en sí misma. En segundo lugar, deben garantizar la visibilidad de toda la superficie de ataque, incluidos los dispositivos periféricos, cloud y los sistemas de identidad que las herramientas tradicionales para puntos finales no pueden cubrir. En tercer lugar, deben invertir en capacidades de detección y respuesta en red que analicen los patrones de tráfico y las anomalías de comportamiento en tiempo real.

De cara al futuro, la Ley de Ciberresiliencia de la UE (que entrará en vigor en 2027) impondrá nuevos requisitos de notificación de vulnerabilidades a los proveedores de software, lo que podría acelerar el tiempo que transcurre desde el descubrimiento hasta que se da a conocer al público, y reducir aún más el margen de tiempo de que disponen los defensores para reaccionar.

Cómo Vectra AI zero-day

La solución Attack Signal Intelligence Vectra AI Attack Signal Intelligence los patrones cloud de la red, las identidades y cloud para detectar zero-day en curso. En lugar de basarse en firmas de amenazas conocidas, este enfoque identifica los comportamientos de los atacantes que siguen a la explotación —movimiento lateral, escalada de privilegios, comunicaciones de comando y control, y exfiltración de datos— independientemente del método de acceso inicial. Esta filosofía de «asumir el compromiso» se ajusta a la realidad de que los dispositivos periféricos y los equipos de seguridad —los principales zero-day para las empresas en 2025— suelen carecer de cobertura EDR, lo que convierte al análisis de comportamiento de la red en la capa de detección más eficaz.

Conclusión

Zero-day siguen siendo el punto débil más grave en la seguridad empresarial. Con 90 de ellas explotadas en la red en 2025, los proveedores de vigilancia comercial superando a los grupos estatales en cuanto a atribución, y las tecnologías empresariales absorbiendo casi la mitad de todos zero-day , el panorama de amenazas exige un cambio fundamental en la estrategia defensiva.

Los datos son claros: los enfoques basados únicamente en firmas no pueden proteger a las organizaciones frente a amenazas nunca antes vistas. El plazo de cinco días en el que se aprovecha la vulnerabilidad, el lapso de entre 60 y 150 días hasta la aplicación de parches y la creciente atención prestada a los dispositivos periféricos que carecen de protección para puntos finales apuntan todos a la misma conclusión. zero-day eficaz zero-day requiere una detección basada en el comportamiento en toda la superficie de ataque, zero trust para limitar el alcance del impacto y partir de la premisa de que la compromisión no es una cuestión de «si» se producirá, sino de «cuándo».

Las organizaciones que basan su estrategia de seguridad en la detección de los comportamientos de los atacantes —movimiento lateral, escalada de privilegios, comando y control, y exfiltración— en lugar de limitarse a comparar con firmas conocidas, se posicionan para detectar zero-day , independientemente de la vulnerabilidad o el exploit específicos de que se trate.

Descubre cómo Vectra AI las amenazas que eluden los controles de seguridad tradicionales.