Microsoft Patch Tuesday Mayo 2025: 72 Vulnerabilidades Corregidas

Hoy es Patch Tuesday de mayo de 2025, y como cada segundo martes del mes, Microsoft ha publicado su paquete de actualizaciones de seguridad. Esta vez llega con bastantes arreglos: se corrigieron 72 fallas, entre ellas cinco que ya estaban siendo explotadas activamente y dos vulnerabilidades de día cero que ya eran de conocimiento público.

Dentro de las correcciones, se destacan seis vulnerabilidades clasificadas como “críticas”, cinco de las cuales permiten la ejecución remota de código (una de las más graves) y una relacionada con la exposición de información sensible. Aquí te dejamos cómo se reparten los fallos corregidos según su tipo:

1. 17 de elevación de privilegios

2. 2 de omisión de funciones de seguridad

3. 28 de ejecución remota de código

4. 15 de divulgación de información

5. 7 de denegación de servicio

6. 2 de suplantación de identidad

Importante: este listado no incluye las fallas ya corregidas este mes en Azure, Dataverse, Mariner o Microsoft Edge, que se resolvieron en actualizaciones anteriores. En resumen, si usas productos de Microsoft, especialmente Windows, no dejes pasar esta ronda de actualizaciones. Es una de las más relevantes del año hasta ahora.

Cinco vulnerabilidades zero-day ya estaban siendo explotadas

En el Patch Tuesday de mayo 2025, Microsoft solucionó cinco fallas de seguridad que ya estaban siendo aprovechadas por atacantes. Se trata de lo que se conoce como vulnerabilidades de día cero, es decir, errores que aún no tenían un parche cuando ya estaban siendo explotados o eran de conocimiento público. Esto es importante porque significa que los ciberdelincuentes estaban usando activamente estas brechas para atacar sistemas antes de que existiera una solución oficial.

1. CVE-2025-30400 – Elevación de privilegios en Microsoft DWM

Este fallo afecta a la biblioteca DWM (Desktop Window Manager), una parte esencial del sistema gráfico de Windows. La vulnerabilidad permitía que un atacante que ya tuviera acceso limitado pudiera elevar sus privilegios y controlar completamente el sistema (privilegios de SISTEMA).

El fallo está relacionado con una técnica clásica: el uso después de liberar memoria (use-after-free). En pocas palabras, Windows intenta usar un recurso que ya ha sido liberado, lo que abre la puerta a manipulación maliciosa. Esta vulnerabilidad fue descubierta por el Microsoft Threat Intelligence Center.

2. CVE-2025-32701 – Elevación de privilegios en el sistema de archivos de registro común

Microsoft solucionó una vulnerabilidad bastante seria que estaba siendo explotada activamente. Permitía que un atacante con acceso limitado pudiera obtener control total del sistema, algo que se conoce como privilegios de SISTEMA.

Según explicó Microsoft, el problema estaba en el controlador del sistema de archivos de registro común de Windows (CLFS), y se trataba de un clásico error de programación llamado "uso después de liberar". Básicamente, Windows intentaba usar un recurso de memoria que ya no estaba disponible, lo que abría la puerta a abusos. Esta vulnerabilidad fue descubierta por el equipo del Centro de Inteligencia de Amenazas de Microsoft.

3. CVE-2025-32706 – Otra falla en el sistema de archivos de registro común

Parece que el CLFS ha dado varios dolores de cabeza últimamente. Esta vez, la vulnerabilidad venía por una mala validación de entradas, algo que puede parecer simple pero que tiene consecuencias graves.

Con esta falla, un atacante autorizado podía escalar privilegios localmente y comprometer completamente el sistema. El hallazgo se le atribuye a Benoit Sevens del Google Threat Intelligence Group y al equipo de investigación avanzada de CrowdStrike.

4. CVE-2025-32709 – Falla en el controlador de funciones auxiliares de Windows (WinSock)

Este fallo afectaba al controlador relacionado con WinSock, una interfaz de red en Windows. Igual que los anteriores, permitía a un atacante elevar privilegios de forma local gracias a un problema de tipo use-after-free. En este caso, la persona que reportó la vulnerabilidad eligió mantenerse en el anonimato, pero el error fue confirmado y corregido por Microsoft.

5. CVE-2025-30397 – Corrupción de memoria en el motor de scripting

Esta es la única vulnerabilidad de la lista que no es de escalada de privilegios, sino de ejecución remota de código (RCE). Afecta al Motor de Scripting de Microsoft, que utilizan tanto Edge como Internet Explorer.

El fallo se debe a una "confusión de tipos", un problema en el que el sistema accede a recursos con un tipo de dato incorrecto. Esto puede ser aprovechado por un atacante para ejecutar código malicioso si el usuario hace clic en un enlace manipulado. La buena noticia es que el atacante necesita que el usuario colabore de alguna forma (por ejemplo, haciendo clic en un enlace). Aun así, sigue siendo peligroso. Este problema también fue identificado por el equipo de Microsoft Threat Intelligence.

Dos vulnerabilidades de día cero ya eran públicas antes del parche

Además de las fallas que estaban siendo explotadas activamente, Microsoft también solucionó dos vulnerabilidades de día cero que ya se habían hecho públicas, es decir, que cualquiera con el conocimiento técnico podía intentar aprovecharlas antes de que existiera una solución oficial.

1. CVE-2025-26685 – Suplantación de identidad en Microsoft Defender

Esta vulnerabilidad afecta a Microsoft Defender for Identity y permite que un atacante sin necesidad de autenticarse suplante a otro usuario en una red local. El fallo se debe a una autenticación incorrecta, lo que facilita este tipo de ataques si el atacante tiene acceso a la misma red (por ejemplo, dentro de una empresa).

Microsoft explicó que un actor malicioso dentro de la red podría aprovechar esto para hacerse pasar por otro usuario y acceder a recursos restringidos. El responsable de identificar esta falla fue Joshua Murrell, de la firma de ciberseguridad NetSPI.

2. CVE-2025-32702 – Ejecución remota de código en Visual Studio

También se corrigió una vulnerabilidad crítica en Visual Studio, el entorno de desarrollo de Microsoft. Esta falla podía ser explotada por un atacante no autenticado para ejecutar código malicioso en el equipo de la víctima.

La causa: una inyección de comandos por una mala validación de elementos especiales dentro de los comandos usados en Visual Studio. En otras palabras, si alguien lograba que ejecutaras cierto archivo o acción maliciosa, podía tomar el control de tu sistema sin necesidad de permisos previos. Microsoft no reveló quién fue el investigador que reportó este error.

Actualizaciones de seguridad del martes de parches de mayo de 2025

Este martes de parches trajo correcciones para decenas de vulnerabilidades, muchas de ellas críticas y otras bastante importantes, tanto en productos conocidos como en servicios en la nube, herramientas de desarrollo y aplicaciones de oficina.

A continuación te hacemos un resumen general de los errores corregidos. Hay un poco de todo: desde fallos que permitían ejecutar código malicioso o elevar privilegios, hasta problemas que filtraban información o afectaban servicios como Azure, Defender, Visual Studio y más.