Microsoft ha lanzado un script de PowerShell con el objetivo de restaurar la carpeta «inetpub», que se creó automáticamente tras instalar las actualizaciones de seguridad de Windows en abril de 2025. Esta carpeta, aunque vacía, es clave para mitigar una vulnerabilidad de escalamiento de privilegios de alta gravedad relacionada con la Activación del Proceso de Windows (WPA).
La creación inesperada de la carpeta inetpub
A principios de abril, los usuarios de Windows descubrieron que se había creado una carpeta vacía en el directorio C:\Inetpub. Esta carpeta está normalmente asociada con Internet Information Server (IIS), lo cual generó confusión entre los usuarios, ya que no estaba instalado en sus sistemas.
Eliminación de la carpeta y riesgo de vulnerabilidad
Algunos usuarios decidieron eliminar la carpeta C:\Inetpub, lo cual los dejó expuestos a la vulnerabilidad corregida. Microsoft alertó sobre este riesgo, indicando que los usuarios pueden volver a crearla manualmente instalando Internet Information Services desde el panel de control.
Reinstalación mediante PowerShell y características de Windows
Una vez instalado IIS, se creará automáticamente la carpeta inetpub en la raíz de la unidad C:\, con los mismos permisos y propiedades que el directorio original. Si no se usa IIS, puede desinstalarse desde el mismo panel de control, dejando la carpeta intacta.
Script de PowerShell para restaurar la carpeta
Microsoft también compartió un script de PowerShell que ayuda a los administradores a recrear esta carpeta. El script se puede instalar mediante el siguiente comando:
Install-Script -Name Set-InetpubFolderAcl
Set-InetpubFolderAcl.ps1El script establece los permisos correctos de IIS para evitar accesos no autorizados y mitigar la vulnerabilidad relacionada con CVE-2025-21204.
Actualización del aviso sobre la vulnerabilidad
En una nueva actualización del aviso CVE-2025-21204, Microsoft también mencionó que el script de PowerShell actualizará las entradas de la lista de control de acceso (ACL) del directorio DeviceHealthAttestation en sistemas Windows Server, asegurando su seguridad si se crea antes de las actualizaciones de febrero de 2025.
Advertencia oficial de Microsoft sobre la carpeta inetpub
Microsoft advierte que la carpeta inetpub, creada por las actualizaciones de seguridad de abril, no debe eliminarse. La falla de seguridad (CVE-2025-21204) se debe a un problema en la resolución de enlaces incorrectos en la pila de Windows Update.
Esto podría permitir que los atacantes locales engañen al sistema operativo para acceder o modificar archivos no deseados. Una explotación exitosa permite a los atacantes con privilegios bajos escalar permisos y manipular operaciones de administración de archivos en el contexto de la cuenta NT AUTHORITY\SYSTEM.
Mientras que la eliminación de la carpeta no causó problemas con Windows en las pruebas, Microsoft indicó claramente que se creó intencionalmente y no debe ser removida. La compañía reiteró esta advertencia en un aviso actualizado sobre CVE-2025-21204.
«Esta carpeta no debe eliminarse, independientemente de si Internet Information Services (IIS) está activo en el dispositivo de destino. Este comportamiento forma parte de los cambios que aumentan la protección y no requiere ninguna acción por parte de los administradores de TI ni de los usuarios finales», afirmó Microsoft.
Posible abuso de la carpeta inetpub
El experto en ciberseguridad Kevin Beaumont demostró que los usuarios sin derechos de administrador pueden aprovecharse de esta carpeta para bloquear la instalación de actualizaciones de Windows mediante la creación de una unión entre C:\inetpub y cualquier archivo de Windows.