Por primera vez en once meses, las actualizaciones del martes de Microsoft no incluyeron correcciones para vulnerabilidades activamente explotadas. El parche incluye actualizaciones de seguridad para 137 defectos, entre ellos una vulnerabilidad de día cero divulgada públicamente en Microsoft SQL Server.
Se corrigen catorce vulnerabilidades «críticas», diez de las cuales son vulnerabilidades de ejecución de código remoto. Además, se incluyen otras fallas como divulgación de información y fallas de ataque de canales laterales AMD. El recuento de errores por categoría es el siguiente:
- 53 Elevación de vulnerabilidades de privilegios
- 8 Vulnerabilidades de derivación de características de seguridad
- 41 Vulnerabilidades de ejecución de código remoto
- 18 Vulnerabilidades de divulgación de información
- 6 Vulnerabilidades de denegación de servicio
- 4 Vulnerabilidades de suplantación
Este recuento no incluye CVE no pertenecientes a Microsoft que afectan a Visual Studio, AMD y su navegador Edge basado en Chromium. De estas, 10 se consideran críticas y las restantes importantes en cuanto a gravedad.
Vulnerabilidad crítica corregida
La falla más crítica corregida por Microsoft como parte de las actualizaciones de este mes se refiere a un caso de ejecución remota de código que afecta a SPNEGO Extended Negotiation (NEGOEX). Identificada como CVE-2025-47981, tiene una puntuación CVSS de 9,8. Un atacante podría explotar esta vulnerabilidad enviando un mensaje malicioso al servidor, lo que podría provocar la ejecución remota de código.
Microsoft indicó que el problema solo afecta a equipos cliente Windows con Windows 10, versión 1607 y posteriores debido a que el objeto de directiva de grupo (GPO) «Seguridad de red: Permitir que las solicitudes de autenticación PKU2U a este equipo utilicen identidades en línea» está habilitado de forma predeterminada.
Microsoft es claro en cuanto a los requisitos previos: no se requiere autenticación, solo acceso a la red, y la propia Microsoft cree que la explotación es «más probable». Los defensores deben aplicar parches rápidamente y rastrear los sistemas expuestos.
Otras vulnerabilidades importantes
Las actualizaciones también incluyen correcciones para otras vulnerabilidades importantes, entre ellas fallas de ejecución remota de código que afectan al Servicio Proxy KDC de Windows (CVE-2025-49735, CVSS 8.1), Windows Hyper-V (CVE-2025-48822, CVSS 8.6) y Microsoft Office (CVE-2025-49695, CVE-2025-49696, CVE-2025-49697, CVSS 8.4).
La vulnerabilidad CVE-2025-49735 es especialmente relevante debido a la exposición de la red sin requerir privilegios ni interacción del usuario. A pesar de la alta complejidad de su ataque, esta vulnerabilidad facilita la vulneración remota previa a la autorización, lo que resulta especialmente atractivo para actores estatales.
El atacante debe superar una condición de carrera (una falla de sincronización donde la memoria se libera y reasigna en una ventana específica), lo que significa que la fiabilidad es baja por ahora. Sin embargo, estos problemas pueden aprovecharse con técnicas como la limpieza de la pila, lo que facilita su explotación.
Vulnerabilidades en BitLocker
La actualización soluciona cinco omisiones de funciones de seguridad en BitLocker (CVE-2025-48001, CVE-2025-48003, CVE-2025-48800, CVE-2025-48804 y CVE-2025-48818, CVSS 6.8) que podrían permitir a un atacante con acceso físico al dispositivo obtener datos cifrados.
Un atacante podría explotar esta vulnerabilidad cargando un archivo WinRE.wim mientras el volumen del sistema operativo está desbloqueado, lo que otorgaría acceso a los datos cifrados de BitLocker, declaró Microsoft sobre CVE-2025-48804.
Vulnerabilidad en Microsoft SQL Server
La vulnerabilidad, que se ha dado a conocer públicamente, es una falla de divulgación de información en Microsoft SQL Server (CVE-2025-49719, puntuación CV. SS: 7,5) que podría permitir a un atacante no autorizado filtrar memoria no inicializada.
Microsoft fija un defecto en Microsoft SQL Server que podría permitir que un atacante remoto y no autenticado acceda a datos de la memoria no inicializada. «La validación de entrada inadecuada en SQL Server permite a un atac, no autorizado divulgar información en una red», explica Microsoft.
Los administradores pueden solucionar la falla instalando la última versión de Microsoft SQL Server y el controlador Microsoft Ole DB 18 o 19.
Fin de soporte para SQL Server 2012
También cabe destacar que el 8 de julio de 2025 marca oficialmente el fin de soporte para SQL Server 2012, que ya no recibirá parches de seguridad en el futuro.
Parches de otros proveedores
Además de Microsoft, otros proveedores también han publicado actualizaciones de seguridad en las últimas dos semanas para corregir varias vulnerabilidades, entre ellas:
- Adobe
- AMD
- Atlassian
- Bitdefender
- Broadcom (incluye VMware)
- Cisco
- Citrix
- D-Link
- Dell
- Drupal
- F5
- Fortinet
- Fortra
- Gigabyte
- GitLab
- Google Chrome
- Google Cloud
- Grafana
- Hikvision
- Hitachi Energy
- HP
- HP Enterprise (incluye Aruba Networking)
- IBM
- Intel
- Ivanti
- Jenkins
- Juniper Networks
- Lenovo
- Linux: AlmaLinux, Alpine Linux, Amazon Linux, Arch Linux, Debian, Gentoo, Oracle Linux, Mageia, Red Hat, Rocky Linux, SUSE y Ubuntu
- MediaTek
- Mitsubishi Electric
- MongoDB
- Moxa
- Mozilla Thunderbird
- NVIDIA
- OPPO
- Palo Alto Networks
- Progress Software
- Qualcomm
- Ricoh
- Ruckus Wireless
- Samsung
- SAP
- Schneider Electric