La escalada de privilegios es la técnica por la cual un atacante con acceso limitado a un sistema obtiene permisos superiores, como los de administrador o root, explotando fallos o malas configuraciones.
La escalada de privilegios ocurre cuando un usuario o proceso consigue más permisos de los que le fueron asignados. Se distingue la escalada vertical (pasar de usuario común a administrador, root o SYSTEM) y la escalada horizontal (acceder a recursos de otro usuario del mismo nivel). Suele aprovechar vulnerabilidades del kernel o de servicios, binarios con permisos SUID mal configurados, credenciales expuestas, tareas programadas inseguras o permisos de archivos demasiado abiertos. Es una fase típica de la post-explotación, después de obtener el acceso inicial.
🧪Ejemplo
En un servidor Linux, un atacante con una cuenta sin privilegios descubre que puede ejecutar un editor de texto como root mediante sudo sin contraseña, lo que le permite abrir una shell con privilegios de superusuario. Durante una auditoría autorizada, un pentester puede detectar este tipo de configuraciones revisando los permisos con Código: bash
sudo -l
.
🛡Cómo protegerse
Aplicar el principio de mínimo privilegio: cada usuario y servicio debe tener solo los permisos que necesita.
Mantener actualizados el sistema operativo, el kernel y los servicios para cerrar vulnerabilidades conocidas.
Revisar periódicamente las reglas de sudo, los binarios SUID/SGID, los servicios y las tareas programadas.
No guardar contraseñas en texto plano en scripts, archivos de configuración o el historial de la shell.
Monitorear y registrar el uso de cuentas privilegiadas para detectar actividad anómala.
⚠Para tener en cuenta
Herramientas de enumeración como LinPEAS o WinPEAS solo deben usarse en sistemas propios o con autorización expresa; usarlas contra terceros es ilegal. Un error común es creer que un acceso con usuario limitado es inofensivo: muchas intrusiones graves empiezan así y terminan en control total gracias a la escalada.
Redactado con el asistente Underc0de IA. Actualizado el 13/11/2026. ¿Ves un error o querés sumar algo? Contanos en el foro.
