El martes de parches de octubre de 2025, Microsoft ha lanzado actualizaciones de seguridad que abordan 172 fallos, entre los cuales se incluyen seis vulnerabilidades Zero-Day. Los usuarios deben aplicar estos parches para garantizar la protección del sistema.
Vulnerabilidades críticas
Las actualizaciones incluyen ocho vulnerabilidades «críticas», cinco de las cuales son de ejecución remota de código y tres de elevación de privilegios. El número de errores en cada categoría se detalla a continuación:
- 80 Vulnerabilidades de Elevación de Privilegios
- 11 Vulnerabilidades de Omisión de Características de Seguridad
- 31 Vulnerabilidades de Ejecución Remota de Código
- 28 Vulnerabilidades de Divulgación de Información
- 11 Vulnerabilidades de Denegación de Servicio
- 10 Vulnerabilidades de Suplantación de Identidad
Estos números no incluyen las corregidas en Azure, Mariner, Microsoft Edge y otras vulnerabilidades a principios de este mes.
Finalización del soporte para Windows 10
Cabe destacar que hoy finaliza el soporte para Windows 10. Este es el último martes de parches en el que Microsoft ofrece actualizaciones de seguridad gratuitas para este sistema operativo. Para seguir recibiendo actualizaciones de seguridad, los consumidores pueden suscribirse a un año de Actualizaciones de Seguridad Extendidas (ESU), y las empresas pueden suscribirse a un total de tres años.
Vulnerabilidades Zero-Day
Este mes se corrigen dos vulnerabilidades de día cero divulgadas públicamente en Windows SMB Server y Microsoft SQL Server. Las tres vulnerabilidades de día cero explotadas son las siguientes:
- CVE-2025-24990: Vulnerabilidad de elevación de privilegios del controlador del módem Agere de Windows. Microsoft ha eliminado este controlador (ltmdm64.sys) porque se utilizó de forma abusiva para obtener privilegios administrativos.
- CVE-2025-59230: Vulnerabilidad de elevación de privilegios en el Administrador de conexión de acceso remoto de Windows que permite elevar privilegios localmente.
- CVE-2025-47827: Omisión de arranque seguro en el sistema operativo IGEL anterior a la versión 11. Se puede montar un sistema de archivos raíz manipulado desde una imagen SquashFS sin verificar, explica Microsoft. La falla fue descubierta por Zack Didcott y divulgada públicamente en un artículo de GitHub.
Otras fallas explotadas públicamente son las siguientes:
- CVE-2025-0033: Corrupción de RMP durante la inicialización de SNP. Esta es una vulnerabilidad en los procesadores AMD EPYC que podría permitir que un hipervisor malicioso o comprometido modifique las entradas de RMP. Este problema no expone datos de texto sin formato ni secretos y requiere control privilegiado del hipervisor para su explotación. AMD divulgó públicamente las fallas y fueron descubiertas por Benedict Schlueter, Supraja Sridhara y Shweta Shinde de la ETH de Zúrich.
- CVE-2025-24052: Vulnerabilidad de elevación de privilegios en el controlador de módem Agere de Windows. Se trata de una falla similar a la CVE-2025-24990, descrita anteriormente, que parece haberse divulgado públicamente. Microsoft reitera que la falla afecta a todas las versiones de Windows y que no es necesario utilizar el módem para explotarla.
- CVE-2025-2884: Vulnerabilidad de lectura fuera de límites en la implementación de referencia de TCG TPM2.0, la cual podría provocar la divulgación de información o la denegación de servicio del TPM. La falla se ha atribuido al Trusted Computing Group (TCG) y a un investigador anónimo. TCG divulgó la falla públicamente en este artículo.
Vulnerabilidades críticas en SAP
En el martes de Patch Day de SAP, la empresa ha publicado veintitrés parches de seguridad nuevos y actualizados, incluidos seis HotNews Notes y dos de alta prioridad en varios productos empresariales.
Las vulnerabilidades más graves son las siguientes:
- SAP Security Note #3660659 – CVE-2025-42944 (CVSS 10): Vulnerabilidad en SAP NetWeaver AS Java, con una puntuación CVSS de 10.0, que permite la ejecución remota de código no autenticado. Este problema afecta a SAP NetWeaver AS Java SERVERCORE 7.50. SAP advierte que una explotación exitosa «podría provocar la ejecución de comandos arbitrarios del sistema operativo, lo que afectaría gravemente la confidencialidad, integridad y disponibilidad de la aplicación». Esta vulnerabilidad no requiere autenticación ni interacción del usuario, lo que la convierte en una de las vulnerabilidades más peligrosas descubiertas en productos SAP este año.
- SAP Security Note #3630595 – CVE-2025-42937 (CVSS 9.8): Recorrido de directorio en SAP Print Service que podría permitir a atacantes no autenticados sobrescribir archivos arbitrarios del sistema. El problema surge de una validación insuficiente de las rutas proporcionadas por el usuario, lo que permite a los atacantes eludir directorios restringidos. «Un atac nadie autenticado podría acceder al directorio principal y sobrescribir archivos del sistema, lo que afecta gravemente la confidencialidad, la integridad y la disponibilidad». La falla afecta a las versiones 8.00 y 8.10 de SAPSprint.
- SAP Security Note #3647332 – CVE-2025-42910 (CVSS 9.0): Carga de archivos sin restricciones en SAP Supplier Relationship Management. El producto no verifica el tipo de archivo ni el contenido durante las cargas, lo que permite a usuarios autenticados cargar archivos maliciosos. «Debido a la falta de verificación del tipo de archivo o el contenido, un atacante autenticado puede cargar archivos arbitrarios. Estos archivos podrían incluir ejecutables que el usuario podría descargar y ejecutar, albergando malware». La vulnerabilidad afecta a las versiones 100 y 150 de SRMNXP01, lo que supone un alto riesgo para los servidores de aplicaciones en entornos de compras.