El martes de Parches de junio de 2025, Microsoft publicó actualizaciones que incluyen correcciones para 67 vulnerabilidades. Entre ellas se encuentran dos vulnerabilidades Zero-Day: una explotada activamente y otra divulgada públicamente.
Vulnerabilidades críticas
Los parches también abordan once vulnerabilidades clasificadas como «críticas». Ocho de ellas son vulnerabilidades de ejecución remota de código, dos son errores de elevación de privilegios. El recuento total de vulnerabilidades por categoría es el siguiente:
- 14 Vulnerabilidades de Elevación de Privilegios
- 3 Vulnerabilidades de Omisión de Funciones de Seguridad
- 25 Vulnerabilidades de Ejecución Remota de Código
- 17 Vulnerabilidades de Divulgación de Información
- 6 Vulnerabilidades de Denegación de Servicio
- 2 Vulnerabilidades de Suplantación de Identidad
Este recuento no incluye las vulnerabilidades de Mariner, Microsoft Edge y Power Automate corregidas a principios del mes. Los parches se suman a 13 deficiencias abordadas por la compañía en su navegador de borde basado en Chromium desde el lanzamiento de la actualización del martes del parche del mes pasado.
Vulnerabilidad Zero-Day explotada activamente
El parche corrige una vulnerabilidad de día cero explotada activamente, identificada como CVE-2025-33053, que afecta a la ejecución remota de código en Web Distributed Authoring and Versioning (WEBDAV). Microsoft corrigió esta vulnerabilidad descubierta por Check Point Research. La explotación exitosa podría permitir a un atacante remoto ejecutar código arbitrario en el sistema afectado.
Check Point Research informó que CVE-2025-33053 fue explotada en ataques de día cero por un grupo APT llamado «Stealth Falcon» (aka FruityArmor). Los actores de amenazas utilizaron una técnica no revelada previamente para ejecutar archivos alojados en un servidor WebDAV que controlaban, manipulando el directorio de trabajo de una herramienta legítima integrada en Windows.
La explotación activa de CVE-2025-33053 ha llevado a la Agencia de Seguridad de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) a agregarla al catálogo de vulnerabilidades explotadas conocidas (KEV).
Vulnerabilidad Zero-Day divulgada públicamente
La otra vulnerabilidad Zero-Day corregida es CVE-2025-33073, que afecta a la elevación de privilegios en el cliente SMB de Windows. Microsoft corrige una falla en SMB de Windows que permite a los atacantes obtener privilegios de SYSTEM en dispositivos vulnerables.
Microsoft explica que un control de acceso inadecuado en SMB de Windows permite a un atacante autorizado elevar privilegios en una red. Para explotar esta vulnerabilidad, un atacante podría ejecutar un script malicioso especialmente diseñado para obligar a la máquina víctima a conectarse de nuevo al sistema de ataque mediante SMB y autenticarse.
Microsoft no ha compartido cómo se divulgó la falla. Sin embargo, Born City informa que DFN-CERT comenzó a difundir advertencias sobre la falla esta semana. La vulnerabilidad más severa resuelta por Microsoft es una falla de escalamiento de privilegios en Power Automate (CVE-2025-47966, CVSS: 9.8) que podría permitir a un atacante elevar los privilegios sobre una red.
Otras vulnerabilidades abordadas
Microsoft también corrigió otras vulnerabilidades, incluyendo la elevación de fallas de privilegios en el controlador de Common Log File System (CLFS) (CVE-2025-32713, CVSS 7.8), Windows Netlogon (CVE-2025-33070, CVSS 8.1), y Windows SMB Client (CVE-2025-33073, CVSS 8.8), así como un RCE crítico en el servicio de KDC Proxy de Windows (CVE-2025-33071, CVSS 8.1).
En los últimos meses, el controlador de CLFS se ha convertido en un enfoque consistente tanto para los actores de amenaza como para los investigadores de seguridad debido a su explotación en múltiples operaciones de ransomware.
Actualizaciones recientes de otras empresas
Otros proveedores que publicaron actualizaciones o avisos en junio de 2025 incluyen:
- Adobe: publicó actualizaciones de seguridad para InCopy, Experience Manager, Commerce, InDesign, Substance 3D Sampler, Acrobat Reader y Substance 3D Painter.
- Cisco: lanzó parches para tres vulnerabilidades con código de explotación pública en sus productos Identity Services Engine (ISE) y Customer Collaboration Platform (CCP).
- Fortinet: publicó actualizaciones de seguridad para una vulnerabilidad de inyección de comandos del sistema operativo en FortiManager, FortiAnalyzer & FortiAnalyzer-BigData.
- Google: lanzó actualizaciones de seguridad para Android y corrigió un fallo Zero-Day explotado activamente en Google Chrome.
- Hewlett Packard Enterprise (HPE): emitió actualizaciones de seguridad para ocho vulnerabilidades afectando StoreOnce.
- Ivanti: publicó actualizades de seguridad para tres vulnerabilidades graves en Workspace Control (IWC).
- Qualcomm: lanzó parches para tres vulnerabilidades Zero-Day explotadas en ataques dirigidos al driver Adreno Graphics Processing Unit (GPU).
- Roundcube: publicó actualizaciones de seguridad para una falla crítica de ejecución remota de código con código de explotación público.
- SAP: lanzó actualizaciones de seguridad para múltiples productos, incluyendo un error crítico en SAP NetWeaver Application Server for ABAP.