Microsoft parchea 86 vulnerabilidades en su actualización de septiembre
El segundo martes de cada mes es el día que Microsoft reserva para lanzar sus actualizaciones de seguridad. En esta ocasión, septiembre de 2025 nos trae un paquete con 86 parches para vulnerabilidades encontradas en Windows y otros productos de la compañía.
Lo primero que me llamó la atención al revisar las notas de lanzamiento es que ninguna de estas vulnerabilidades ha sido explotada «en la naturaleza» (como les gusta decir a los de seguridad). Esto es, al menos, un respiro.
Las amenazas más probables: ocho vulnerabilidades para vigilar
De todo el conjunto, Microsoft ha marcado ocho vulnerabilidades como de «explotación más probable». Y no es para tomárselo a la ligera. Entre ellas encontramos:
- Problemas de divulgación de información en el núcleo de Windows
- Escaladas de privilegios también en el núcleo
- Una vulnerabilidad de ejecución remota de código en el sistema de archivos NTFS
- Fallos de escalada de privilegios en componentes críticos:
- Controlador TCP/IP de Windows
- Windows Hyper-V
- Windows NTLM
- Windows SMB
La mayoría de estas vulnerabilidades tienen una calificación de «alta gravedad», lo que significa que deberías correr a actualizar tus sistemas. Los problemas de NTLM y SMB tienen la puntuación CVSS (el estándar para medir la gravedad de las vulnerabilidades) más alta del grupo: 8.8 sobre 10.
CVE-2025-55232: el fallo más grave según su puntuación
Curiosamente, el problema con mayor puntuación CVSS (9.8 sobre 10) no está entre los ocho anteriores. Se trata del CVE-2025-55232, una vulnerabilidad de ejecución remota de código en el paquete de computación de alto rendimiento (HPC).
Microsoft ha sido bastante claro con los administradores de sistemas: «Los clientes deben asegurarse de que los clústeres del HPC Pack se estén ejecutando en una red de confianza asegurada por reglas de firewall, especialmente para el puerto TCP 5999».
Esta recomendación tiene todo el sentido del mundo. Si alguien pudiera explotar esta vulnerabilidad, podría ejecutar código malicioso de forma remota en los sistemas que utilizan HPC Pack, algo que en entornos empresariales o científicos podría ser catastrófico.
Otras vulnerabilidades críticas que merecen atención
Además del problema del HPC Pack, hay otras vulnerabilidades con puntuaciones CVSS superiores a 8.0:
- CVE-2025-54106 y CVE-2025-54113: dos fallos de ejecución remota de código en el Servicio de Acceso Remoto y Routing.
- CVE-2025-54897: ejecución remota de código en SharePoint, la plataforma colaborativa usada en miles de empresas.
- CVE-2025-54910: ejecución remota de código en Office, que podría comprometer documentos corporativos.
- CVE-2025-55227: escalada de privilegios en SQL Server, que podría dar acceso a bases de datos completas.
La buena noticia es que todos estos problemas, incluso el crítico del paquete HPC, tienen una evaluación de «explotación menos probable» o «explotación poco probable». Esto significa que, aunque son vulnerabilidades serias, los expertos de Microsoft consideran que la probabilidad de que alguien las aproveche es relativamente baja.
Adobe también se suma al martes de parches
Como ya comentamos en la sección anterior sobre actualizaciones de seguridad, Microsoft no es la única empresa que aprovecha el segundo martes de cada mes para lanzar sus parches. Adobe también se ha sumado a la fiesta con actualizaciones para nueve de sus productos.
En total, casi dos docenas de vulnerabilidades han sido parcheadas, incluyendo algunos fallos críticos en ColdFusion y Commerce. Si utilizas estos productos, te recomendaría actualizar lo antes posible.
¿Por qué deberías instalar estos parches rápidamente?
Aunque ninguna de estas vulnerabilidades está siendo explotada activamente (que sepamos), la historia nos ha enseñado que el tiempo entre la publicación de un parche y el desarrollo de un exploit suele ser cada vez más corto. Lo que hoy es una vulnerabilidad teórica, mañana podría convertirse en un zero-day si tardamos en aplicar las actualizaciones.
Los atacantes suelen analizar los parches en busca de pistas sobre cómo funcionan las vulnerabilidades. A partir de ahí, desarrollan métodos para aprovecharlas en sistemas que no se han actualizado. Es como si Microsoft publicara un mapa del tesoro y confiara en que todos esconderán su oro antes de que lleguen los piratas.
En el caso de entornos empresariales, siempre recomiendo realizar pruebas de las actualizaciones en sistemas no productivos, pero no demorarse más de una semana en implementarlas en toda la organización. El riesgo simplemente no vale la pena.
