Redazione RHC : 12 septiembre 2025 08:16
El 9 de septiembre de 2025, se descubrieron dos vulnerabilidades importantes en Microsoft Office, para las cuales se crearon parches específicos. Si los atacantes las explotan, estas vulnerabilidades podrían permitir la ejecución de código malicioso en los sistemas afectados. Las vulnerabilidades, identificadas como CVE-2025-54910 y CVE-2025-54906, han generado preocupación en cuanto a la seguridad de los usuarios, ya que afectaron a varias versiones de la popular suite de productividad.
Si bien Microsoft considera actualmente improbable que estas vulnerabilidades sean explotadas, la posibilidad de ejecución remota de código requiere medidas urgentes por parte de los usuarios y administradores de sistemas. Estas vulnerabilidades ponen en riesgo la seguridad del usuario.
Debido a estas vulnerabilidades, identificadas como CVE-2025-54910 y CVE-2025-54906, la seguridad del usuario está en riesgo, ya que afectan a varias versiones de la popular suite de productividad. Aunque Microsoft considera actualmente improbable la explotación de estas vulnerabilidades, la posibilidad de ejecución remota de código requiere la acción inmediata de usuarios y administradores.
Las dos vulnerabilidades difieren tanto en sus métodos de explotación como en su gravedad; una se clasifica como crítica y la otra como importante. La falla más grave, designada CVE-2025-54910, es una vulnerabilidad crítica de desbordamiento del búfer del montón.
Esta vulnerabilidad, clasificada como CWE-122, podría permitir a un atacante ejecutar código arbitrario localmente en un equipo objetivo. Un aspecto particularmente peligroso de esta vulnerabilidad es que el panel de vista previa de Microsoft Office sirve como vector de ataque.
Esto significa que un atacante podría activar el exploit sin ninguna interacción del usuario, salvo recibir y visualizar un archivo malicioso en una ventana del Explorador de archivos. La segunda vulnerabilidad, CVE-2025-54906, tiene una calificación alta y se deriva de una condición de uso después de la liberación, identificada como CWE-416.
Esta falla también permite la ejecución remota de código, pero su vector de explotación difiere significativamente del desbordamiento basado en el montón. Para explotar esta vulnerabilidad, un atacante debe crear un archivo malicioso y engañar al usuario para que lo abra mediante ingeniería social.
A diferencia de la otra falla, el panel de vista previa no es un vector de ataque para CVE-2025-54906, lo que significa que el usuario debe interactuar activamente con el contenido malicioso. Esta necesidad de interacción del usuario es una razón clave por la que se le da una calificación inferior a la vulnerabilidad del Panel de vista previa.
Microsoft ha publicado actualizaciones de seguridad para abordar estas vulnerabilidades en la mayoría del software afectado. La compañía recomienda a los clientes que apliquen todas las actualizaciones disponibles para el software instalado en sus sistemas para garantizar una protección completa.
Las vulnerabilidades identificadas en Microsoft Office, CVE-2025-54910 y CVE-2025-54906, representan una amenaza significativa para la seguridad del usuario, ya que podrían permitir la ejecución de código malicioso en los sistemas afectados. Si bien Microsoft considera actualmente improbable que estas vulnerabilidades sean explotadas, es fundamental aplicar con prontitud los parches de seguridad publicados para mitigar el riesgo.
RedazioneUn comando de servicio casi olvidado ha vuelto a cobrar protagonismo tras ser detectado en nuevos patrones de infección de dispositivos Windows. Considerado durante décadas una reliquia de los inici...
En el porche de una vieja cabaña en Colorado, Mark Gubrud , de 67 años, mira distraídamente el anochecer distante, con su teléfono a su lado y la pantalla todavía en una aplicación de noticias. ...
El trabajo remoto ha dado libertad a los empleados , pero con él también ha llegado la vigilancia digital . Ya comentamos esto hace tiempo en un artículo donde informamos que estas herramientas de ...
La empresa israelí NSO Group apeló un fallo de un tribunal federal de California que le prohíbe utilizar la infraestructura de WhatsApp para distribuir su software de vigilancia Pegasus. El caso, q...
Se ha identificado una vulnerabilidad de omisión de autenticación en Azure Bastion (descubierta por RHC gracias a la monitorización constante de CVE críticos en nuestro portal), el servicio gestio...
