Actualizar ya no es una tarea de mantenimiento: es la primera línea de defensa

Este es un texto de opinión. Expresa el punto de vista de su autor.

En muchas empresas, actualizar el software sigue siendo esa tarea que se deja para el viernes por la tarde, cuando hay tiempo. Creo que ese hábito ya no se sostiene.

El margen se ha estrechado

Hace unos días, el INCIBE emitió una alerta crítica por dos fallos en PHP, el lenguaje con el que funciona buena parte de la web. Como explicamos en nuestra pieza sobre «PHP2shell», permitían ejecutar código en un servidor sin usuario ni contraseña, y el propio aviso recoge ataques contra servidores PHP antes incluso de que existieran parches.

No es un caso aislado. CrowdStrike cifra en su informe anual en un 89 % el aumento de los ataques basados en inteligencia artificial en 2025. Y en septiembre, la Agencia Española de Protección de Datos recibió la primera notificación en España de una brecha atribuida a un agente de IA que buscó fallos, entró y modificó datos de forma autónoma.

La consecuencia es sencilla: el tiempo entre que se publica un fallo y alguien lo explota se acorta. Si un sistema automático puede recorrer miles de webs buscando una versión vulnerable, la ventana de «ya lo actualizaré» se convierte en una invitación.

Qué cambiaría yo

• Tratar las actualizaciones críticas como incidencias, con un responsable y un plazo de horas, no de semanas.
• Saber qué versiones se usan. No se puede parchear lo que no se sabe que existe.
• Exigir a los proveedores de alojamiento que digan cuándo aplican los parches, igual que se les exige un tiempo de disponibilidad.
• Practicar la recuperación: copias de seguridad que se han probado de verdad.

Nada de esto es nuevo ni caro. Lo nuevo es el ritmo. La misma inteligencia artificial que tantas administraciones quieren usar, como se ha visto hoy en el debate de Bilbao, también la usan quienes atacan. Más en Tecnología.