Microsoft Patch Tuesday Diciembre 2025: 57 Vulnerabilidades Corregidas

Hoy Microsoft liberó el Patch Tuesday de diciembre 2025 y como siempre, vale la pena ponerle atención (y no dejarlo “para después”). Esta actualización corrige 57 vulnerabilidades, incluyendo una que ya está siendo explotada activamente y dos zero-days que se habían divulgado públicamente.

Además, el paquete trae correcciones para tres vulnerabilidades críticas de ejecución remota de código (RCE), de esas que pueden convertirse en un problema serio si tu entorno no está al día.

En números, así se distribuyen las fallas corregidas por tipo:

1. 28 de elevación de privilegios

2. 19 de ejecución remota de código (RCE)

3. 4 de divulgación de información

4. 3 de denegación de servicio

5. 2 de suplantación (spoofing)

Importante: este conteo considera solo los parches publicados por Microsoft en este Patch Tuesday. Por eso no incluye las correcciones de Microsoft Edge (15 vulnerabilidades) ni las de Mariner que se publicaron a inicios de mes.

Microsoft Patch Tuesday Diciembre 2025

Este martes de parches de diciembre 2025 llega con foco rojo: Microsoft corrigió tres vulnerabilidades zero-day. Para Microsoft, una vulnerabilidad se considera zero-day cuando se divulga públicamente o se explota activamente mientras todavía no existe un parche oficial disponible.

Zero-day explotado activamente: Elevación de privilegios a nivel SYSTEM - CVE-2025-62221 

Microsoft parchó una falla de elevación de privilegios en el Windows Cloud Files Mini Filter Driver que ya estaba siendo utilizada en ataques.

En términos simples: el bug permite que un atacante con acceso al equipo ejecute un abuso del sistema para subir privilegios y llegar a SYSTEM (el nivel más alto en Windows). Este tipo de vulnerabilidad suele ser clave en cadenas de ataque porque convierte un acceso “limitado” en control total del equipo.

Microsoft acreditó el hallazgo a MSTIC (Microsoft Threat Intelligence Center) y MSRC (Microsoft Security Response Center), aunque no compartió detalles públicos sobre el método de explotación.

Zero-days divulgadas públicamente - CVE-2025-64671

También se corrigió una vulnerabilidad divulgada públicamente en GitHub Copilot para JetBrains asociada a inyección de comandos, que puede derivar en ejecución de código en el entorno local.

¿Dónde está el riesgo real? En escenarios donde se trabajan archivos no confiables o se interactúa con servidores MCP, una técnica como cross prompt injection podría empujar comandos adicionales dentro del flujo permitido, especialmente si el entorno tiene configuraciones que facilitan la ejecución (por ejemplo, autoaprobación en terminal).

En resumen: si tu equipo de desarrollo usa JetBrains + Copilot, este parche es especialmente relevante y conviene revisar configuraciones y hábitos de trabajo con repositorios/archivos externos.

CVE-2025-54100 — PowerShell (RCE al usar Invoke-WebRequest)

Microsoft también solucionó una vulnerabilidad en PowerShell que podría provocar la ejecución de scripts incrustados en una página web al recuperarla con Invoke-WebRequest.

Esto pega directo en automatizaciones: muchos entornos usan PowerShell para tareas operativas, scripts de despliegue o integraciones. Por eso, si hay flujos que consumen contenido web, conviene actualizar y revisar los scripts para reducir el riesgo y evitar comportamientos inesperados.

Conoce más sobre: Vulnerabilidades Zero-Day más Explotadas en 2025

Actualizaciones de Seguridad: Patch Tuesday de Diciembre 2025

Aquí tienes el listado completo de vulnerabilidades que Microsoft corrigió:

Podría interesarte leer: Gestión de Parches: ¿Por qué es esencial en la seguridad informática?

Qué recomendamos desde TecnetOne

1. Parchea prioritariamente endpoints de TI, admins y equipos críticos (por el EoP explotado activamente).

2. Si tienes equipos de desarrollo, valida actualización y endurece prácticas con fuentes no confiables y automatizaciones del terminal.

3. Revisa automatizaciones con PowerShell + Invoke-WebRequest y aplica buenas prácticas para consumo de contenido web.