El día martes 10 de septiembre de 2025, Microsoft ha publicado su actualización mensual de seguridad correspondiente al “Patch Tuesday”. En esta ocasión se han corregido 81 vulnerabilidades.
Este parche afecta múltiples productos del ecosistema Microsoft, incluyendo Windows, Office, Hyper-V, SharePoint, SQL Server, y otros.
Microsoft ha corregido un total de 81 fallos de seguridad, de los cuales 8 a 9 han sido clasificados como críticos y dos son vulnerabilidades de día cero (zero-day). Estas vulnerabilidades incluyen fallos de elevación de privilegios, ejecución remota de código (RCE), divulgación de información, denegación de servicio (DoS), y suplantación de identidad.
Entre estas vulnerabilidades destacan:
CVE-2025-54914 corresponde a un fallo crítico de elevación de privilegios en los servicios de Azure Networking de Microsoft. puede explotarse de manera remota a través de la red, con baja complejidad, sin necesidad de privilegios previos ni interacción del usuario, y con un impacto severo en la confidencialidad, integridad y disponibilidad de los sistemas afectados. Los productos afectados son servicios de Microsoft Azure Networking, aunque hasta el momento no se han publicado versiones específicas vulnerables. Se aconseja aplicar las actualizaciones disponibles a través del Microsoft Security Response Center (MSRC) lo antes posible.
CVE-2025-55244 representa un fallo crítico de elevación de privilegios en el servicio Azure Bot Service de Microsoft, un componente clave para organizaciones que integran chatbots, asistentes virtuales y automatización conversacional en sus procesos. Un actor malicioso podría aprovechar esta debilidad para obtener privilegios superiores a los permitidos, ampliando de forma indebida su capacidad de acción dentro del entorno. No se han publicado versiones vulnerables específicas. Se aconseja aplicar las actualizaciones disponibles a través del Microsoft Security Response Center (MSRC) lo antes posible.
CVE-2025-55241 corresponde a un fallo de elevación de privilegios en Azure Entra (anteriormente Azure Active Directory, ahora Microsoft Entra ID), atribuible a una implementación inadecuada de los mecanismos de autenticación, de tal forma que el sistema no valida correctamente la identidad de quien realiza una petición, lo que podría permitir que un atacante suplantara credenciales o roles. No se han identificado versiones específicas vulnerables, por lo que se asume que cualquier despliegue existente puede estar en riesgo. Todavía no se ha publicado un parche para esta vulnerabilidad.
Además, se han destacado vulnerabilidades críticas en componentes clave como NTLM, NTFS, Microsoft Office, Hyper-V y SharePoint, algunas de las cuales permiten ejecución remota de código con solo abrir un documento malicioso o acceder a una vista previa.
Otros proveedores como Adobe, Ivanti, y Google también han publicado parches importantes durante este mismo ciclo de actualizaciones.
Recursos Afectados
- Windows (todas las versiones compatibles)
- Microsoft Office (incluido Outlook y Word)
- Windows SMB Server
- NTLM (autenticación)
- NTFS (sistema de archivos)
- Hyper-V (entorno de virtualización)
- SharePoint Server
- SQL Server (por dependencia con Newtonsoft.Json)
- Azure, Dynamics, .NET, Visual Studio (en menor medida)
Recomendaciones
Para mitigar el riesgo, se recomienda aplicar las siguientes medidas:
- Aplicar los parches de seguridad de Microsoft lo antes posible en todos los sistemas afectados.
- Priorizar la mitigación de las vulnerabilidades zero-day (CVE‑2025‑55234 y CVE‑2024‑21907).
- Habilitar y revisar las configuraciones de seguridad en SMB (como SMB Signing y Extended Protection for Authentication).
- Verificar que los entornos virtualizados en Hyper-V hayan sido actualizados correctamente.
- Evaluar riesgos relacionados con documentos y correos maliciosos en entornos que utilicen Office.
- Complementar con la aplicación de actualizaciones de seguridad de otros proveedores (Adobe, Ivanti, etc.).
- Realizar análisis de vulnerabilidades posteriores al parcheo, con herramientas de escaneo actualizado.
Referencias