Redazione RHC : 12 septiembre 2025 08:16
El 9 de septiembre de 2025, se descubrieron dos vulnerabilidades importantes en Microsoft Office, para las cuales se crearon parches específicos. Si los atacantes las explotan, estas vulnerabilidades podrían permitir la ejecución de código malicioso en los sistemas afectados. Las vulnerabilidades, identificadas como CVE-2025-54910 y CVE-2025-54906, han generado preocupación en cuanto a la seguridad de los usuarios, ya que afectaron a varias versiones de la popular suite de productividad.
Si bien Microsoft considera actualmente improbable que estas vulnerabilidades sean explotadas, la posibilidad de ejecución remota de código requiere medidas urgentes por parte de los usuarios y administradores de sistemas. Estas vulnerabilidades ponen en riesgo la seguridad del usuario.
Debido a estas vulnerabilidades, identificadas como CVE-2025-54910 y CVE-2025-54906, la seguridad del usuario está en riesgo, ya que afectan a varias versiones de la popular suite de productividad. Aunque Microsoft considera actualmente improbable la explotación de estas vulnerabilidades, la posibilidad de ejecución remota de código requiere la acción inmediata de usuarios y administradores.
Las dos vulnerabilidades difieren tanto en sus métodos de explotación como en su gravedad; una se clasifica como crítica y la otra como importante. La falla más grave, designada CVE-2025-54910, es una vulnerabilidad crítica de desbordamiento del búfer del montón.
Esta vulnerabilidad, clasificada como CWE-122, podría permitir a un atacante ejecutar código arbitrario localmente en un equipo objetivo. Un aspecto particularmente peligroso de esta vulnerabilidad es que el panel de vista previa de Microsoft Office sirve como vector de ataque.
Esto significa que un atacante podría activar el exploit sin ninguna interacción del usuario, salvo recibir y visualizar un archivo malicioso en una ventana del Explorador de archivos. La segunda vulnerabilidad, CVE-2025-54906, tiene una calificación alta y se deriva de una condición de uso después de la liberación, identificada como CWE-416.
Esta falla también permite la ejecución remota de código, pero su vector de explotación difiere significativamente del desbordamiento basado en el montón. Para explotar esta vulnerabilidad, un atacante debe crear un archivo malicioso y engañar al usuario para que lo abra mediante ingeniería social.
A diferencia de la otra falla, el panel de vista previa no es un vector de ataque para CVE-2025-54906, lo que significa que el usuario debe interactuar activamente con el contenido malicioso. Esta necesidad de interacción del usuario es una razón clave por la que se le da una calificación inferior a la vulnerabilidad del Panel de vista previa.
Microsoft ha publicado actualizaciones de seguridad para abordar estas vulnerabilidades en la mayoría del software afectado. La compañía recomienda a los clientes que apliquen todas las actualizaciones disponibles para el software instalado en sus sistemas para garantizar una protección completa.
Las vulnerabilidades identificadas en Microsoft Office, CVE-2025-54910 y CVE-2025-54906, representan una amenaza significativa para la seguridad del usuario, ya que podrían permitir la ejecución de código malicioso en los sistemas afectados. Si bien Microsoft considera actualmente improbable que estas vulnerabilidades sean explotadas, es fundamental aplicar con prontitud los parches de seguridad publicados para mitigar el riesgo.
RedazioneEn un drástico cambio de rumbo, Nepal ha levantado el bloqueo nacional de las redes sociales impuesto la semana pasada después de que provocara protestas masivas de jóvenes y causara al menos 19 mu...
La Dark Web es una parte de internet a la que no se puede acceder con navegadores estándar (Chrome, Firefox, Edge). Para acceder a ella, se necesitan herramientas específicas como el navegador Tor, ...
El equipo de Darklab, la comunidad de expertos en inteligencia de amenazas de Red Hot Cyber, ha identificado un anuncio en el mercado de la dark web «Tor Amazon», la contraparte criminal del popular...
La Conferencia Red Hot Cyber se ha convertido en un evento habitual para la comunidad Red Hot Cyber y para cualquier persona que trabaje o esté interesada en el mundo de las tecnologías digitales y ...
El lanzamiento de Hexstrike-AI marca un punto de inflexión en el panorama de la ciberseguridad. El framework, considerado una herramienta de última generación para equipos rojos e investigadores, e...
