Resumen ejecutivo
En junio de 2025, Microsoft publicó su Boletín de Seguridad mensual (Patch Tuesday), en el que se han detectado un total de 66 vulnerabilidades, de las cuales 10 son críticas, 56 son importantes y 2 corresponden a zero-day.
Las vulnerabilidades críticas más destacadas incluyen ejecución remota de código en Windows Schannel (CVE-2025-29828), en los Servicios de Escritorio Remoto de Windows (CVE-2025-32710) y en Microsoft Office (CVE-2025-47162, CVE-2025-47953, CVE-2025-47164 y CVE-2025-47167), así como elevación de privilegios en Power Automate (CVE-2025-47966).
Se ha observado explotación activa de la zero-day CVE-2025-33053 en WEBDAV.
Se recomienda actualizar de inmediato todos los productos de Microsoft a sus últimas versiones disponibles mediante Windows Update para aplicar los parches correspondientes y mitigar estas vulnerabilidades.
La clasificación de las vulnerabilidades según su descripción es la siguiente:
- 25 vulnerabilidades de ejecución remota de código.
- 17 vulnerabilidades de divulgación de información.
- 13 vulnerabilidades de elevación de privilegios.
- 6 vulnerabilidades de denegación de servicio.
- 3 vulnerabilidades de bypass de funciones de seguridad.
- 2 vulnerabilidades de suplantación.
Recursos afectados
Estas vulnerabilidades afectan a los productos:
- Windows Storage Management Provider
- Windows Cryptographic Services
- .NET and Visual Studio
- Windows Remote Desktop Services
- Windows Win32K – GRFX
- Windows Common Log File System Driver
- Windows Installer
- Remote Desktop Client
- Windows Media
- Windows SMB
- Windows Recovery Driver
- Windows Storage Port Driver
- Windows Local Security Authority Subsystem Service (LSASS)
- Windows DHCP Server
- Windows DWM Core Library
- WebDAV
- Microsoft Local Security Authority Server (lsasrv)
- Windows Local Security Authority (LSA)
- Windows Routing and Remote Access Service (RRAS)
- Windows Kernel
- Windows Standards-Based Storage Management Service
- App Control for Business (WDAC)
- Windows Netlogon
- Windows KDC Proxy Service (KPSSVC)
- Windows Shell
- Microsoft Office
- Microsoft Office SharePoint
- Microsoft Office Excel
- Microsoft Office Word
- Microsoft Office Outlook
- Microsoft Office PowerPoint
- Windows Remote Access Connection Manager
- Windows Security App
- Visual Studio
- Windows SDK
- Power Automate
- Microsoft AutoUpdate (MAU)
- Windows Hello
- Nuance Digital Engagement Platform
Análisis técnico
Los detalles de las vulnerabilidades explotadas son:
- CVE-2025-33053: Vulnerabilidad de Ejecución Remota de Código en Web Distributed Authoring and Versioning (WEBDAV)
- Severidad: Important
- CVSS: 8.8
- Divulgación: No
- Explotación: Detectada
- Explotación última versión: Detectada
- Soluciones alternativas: No
Los detalles de las vulnerabilidades divulgadas son:
- CVE-2025-33073: Vulnerabilidad de Elevación de Privilegios del Cliente SMB de Windows
- Severidad: Important
- CVSS: 8.8
- Divulgación: Sí
- Explotación: No detectada
- Explotación última versión: Poco probable
- Soluciones alternativas: No
Los detalles de las vulnerabilidades críticas son:
- CVE-2025-47966: Vulnerabilidad de Elevación de Privilegios en Power Automate
- Severidad: Crítica
- CVSS: 9.8
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: N/A
- Soluciones alternativas: No
- CVE-2025-47172: Vulnerabilidad de Ejecución Remota de Código en el Servidor Microsoft SharePoint
- Severidad: Crítica
- CVSS: 8.8
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Poco probable
- Soluciones alternativas: No
- CVE-2025-47162: Vulnerabilidad de Ejecución Remota de Código en Microsoft Office
- Severidad: Crítica
- CVSS: 8.4
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Probable
- Soluciones alternativas: No
- CVE-2025-47953: Vulnerabilidad de Ejecución Remota de Código en Microsoft Office
- Severidad: Crítica
- CVSS: 8.4
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Poco probable
- Soluciones alternativas: No
- CVE-2025-47164: Vulnerabilidad de Ejecución Remota de Código en Microsoft Office
- Severidad: Crítica
- CVSS: 8.4
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Probable
- Soluciones alternativas: No
- CVE-2025-47167: Vulnerabilidad de Ejecución Remota de Código en Microsoft Office
- Severidad: Crítica
- CVSS: 8.4
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Probable
- Soluciones alternativas: No
- CVE-2025-29828: Vulnerabilidad de Ejecución Remota de Código en Windows Schannel
- Severidad: Crítica
- CVSS: 8.1
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Poco probable
- Soluciones alternativas: No
- CVE-2025-32710: Vulnerabilidad de Ejecución Remota de Código en los Servicios de Escritorio Remoto de Windows
- Severidad: Crítica
- CVSS: 8.1
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Poco probable
- Soluciones alternativas: No
- CVE-2025-33071: Vulnerabilidad de Ejecución Remota de Código en el Servicio de Proxy KDC de Windows (KPSSVC)
- Severidad: Crítica
- CVSS: 8.1
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Probable
- Soluciones alternativas: No
- CVE-2025-33070: Vulnerabilidad de Elevación de Privilegios de Netlogon en Windows
- Severidad: Crítica
- CVSS: 8.1
- Divulgación: No
- Explotación: No detectada
- Explotación última versión: Probable
- Soluciones alternativas: No
Mitigación / Solución
Para prevenir estas y otras vulnerabilidades, se recomienda aplicar las actualizaciones de seguridad más recientes de Microsoft en todos los sistemas afectados.