En el parche de septiembre de 2025, Microsoft corrigió un total de 81 fallas, incluyendo dos vulnerabilidades Zero-Day divulgadas públicamente. Entre las correcciones se encontraron nueve vulnerabilidades «críticas», cinco de las cuales permiten la ejecución remota de código, una de divulgación de información y dos de elevación de privilegios.
Detalles por categoría
- 41 Vulnerabilidades de Elevación de Privilegios
- 2 Vulnerabilidades de Omisión de Características de Seguridad
- 22 Vulnerabilidades de Ejecución Remota de Código
- 16 Vulnerabilidades de Divulgación de Información
- 3 Vulnerabilidades de Denegación de Servicio
- 1 Vulnerabilidad de Suplantación de Identidad
El número mencionado no incluye tres vulnerabilidades relacionadas con Azure, una de Dynamics 365 FastTrack Implementation Assets, dos de Mariner, cinco de Microsoft Edge y una de Xbox corregidas a principios del mes.
Vulnerabilidades Zero-Day corregidas
Las dos vulnerabilidades de día cero corregidas públicamente afectan a Windows SMB Server y Microsoft SQL Server. La primera, CVE-2025-55234, es una vulnerabilidad de elevación de privilegios en SMB que se explota mediante ataques de retransmisión. Microsoft explica que «el servidor SMB podría ser susceptible a ataques de retransmisión según la configuración». La segunda, CVE-2024-21907, es una vulnerabilidad relacionada con el manejo incorrecto de condiciones excepcionales en Newtonsoft.Json, que forma parte de Microsoft SQL Server.
Los datos manipulados que se pasan al método JsonConvert.DeserializeObject pueden desencadenar una excepción de StackOverflow que provoque una denegación de servicio. Esta vulnerabilidad fue divulgada públicamente en 2024.
Vulnerabilidades críticas destacadas
El CVE con la puntuación CVSS más alta de este mes es CVE-2025-54914, una falla crítica que afecta a Azure Networking y podría provocar un escalamiento de privilegios. No requiere intervención del cliente, ya que se trata de una vulnerabilidad relacionada con la nube.
Otras dos deficiencias incluyen una falla de ejecución remota de código en Microsoft High Performance Compute (HPC) Pack (CVE-2025-55232, CVSS: 9.8) y un problema de elevación de privilegios que afecta a Windows NTLM (CVE-2025-54918, CVSS: 8.8), que podría permitir a un atacante obtener privilegios de SYSTEM.
A Hussein Alrubaye de Microsoft se le atribuye el descubrimiento y reporte de ambas fallas de BitLocker. Estas dos fallas se suman a otras cuatro vulnerabilidades (denominadas colectivamente BitUnlocker) en la función de cifrado de disco completo, parcheadas por Microsoft en julio de 2025.
La explotación exitosa de cualquiera de las cuatro fallas mencionadas anteriormente podría permitir a un atacante con acceso físico al objetivo eludir las protecciones de BitLocker y obtener acceso a datos cifrados.