La explotación in the wild significa que atacantes reales usan una vulnerabilidad contra víctimas reales, y no solo en un laboratorio, una demostración o una prueba de concepto.
Qué significa «in the wild»
Los avisos de seguridad describen el estado de una vulnerabilidad por etapas. Un fallo puede ser conocido solo por el fabricante, tener detalles públicos, contar con una prueba de concepto pública o, lo más grave, estar explotado in the wild (ITW). Los fabricantes usan fórmulas prudentes como «Microsoft is aware of exploitation» o «Google is aware that an exploit exists in the wild». Si la explotación empieza antes de que exista un parche, se trata de un día cero; si empieza después, se habla de un n-day.
Las pruebas de explotación real proceden de casos de respuesta a incidentes, inteligencia de amenazas, honeypots, telemetría de productos de seguridad e informes de fallos.
Por qué importa
La gravedad por sí sola no indica urgencia: un fallo de severidad media que los atacantes usan activamente suele ser más peligroso que uno crítico que nadie explota. Por eso la agencia estadounidense CISA mantiene desde noviembre de 2021 el catálogo Known Exploited Vulnerabilities (KEV), y las agencias federales deben corregir los fallos listados en plazos fijados por la Binding Operational Directive 22-01. Muchas organizaciones combinan KEV con el CVSS y la probabilidad EPSS para priorizar. La explotación masiva de un solo fallo, como Log4Shell en 2021 o el de MOVEit Transfer en 2023, puede afectar a miles de organizaciones en días.
Cómo responder a vulnerabilidades explotadas
- Seguir el catálogo KEV y los avisos de los fabricantes y dar máxima prioridad a la marca «explotada» en la gestión de parches.
- Si aún no hay parche, aplicar las mitigaciones del fabricante o desconectar el sistema de internet.
- Tras parchear, buscar indicios de un compromiso anterior: los atacantes pueden estar ya dentro.
- Reducir la exposición de dispositivos perimetrales como VPN y cortafuegos, objetivos frecuentes.
