Redazione RHC : 12 septiembre 2025 08:16
El 9 de septiembre de 2025, se descubrieron dos vulnerabilidades importantes en Microsoft Office, para las cuales se crearon parches específicos. Si los atacantes las explotan, estas vulnerabilidades podrían permitir la ejecución de código malicioso en los sistemas afectados. Las vulnerabilidades, identificadas como CVE-2025-54910 y CVE-2025-54906, han generado preocupación en cuanto a la seguridad de los usuarios, ya que afectaron a varias versiones de la popular suite de productividad.
Si bien Microsoft considera actualmente improbable que estas vulnerabilidades sean explotadas, la posibilidad de ejecución remota de código requiere medidas urgentes por parte de los usuarios y administradores de sistemas. Estas vulnerabilidades ponen en riesgo la seguridad del usuario.
Debido a estas vulnerabilidades, identificadas como CVE-2025-54910 y CVE-2025-54906, la seguridad del usuario está en riesgo, ya que afectan a varias versiones de la popular suite de productividad. Aunque Microsoft considera actualmente improbable la explotación de estas vulnerabilidades, la posibilidad de ejecución remota de código requiere la acción inmediata de usuarios y administradores.
Las dos vulnerabilidades difieren tanto en sus métodos de explotación como en su gravedad; una se clasifica como crítica y la otra como importante. La falla más grave, designada CVE-2025-54910, es una vulnerabilidad crítica de desbordamiento del búfer del montón.
Esta vulnerabilidad, clasificada como CWE-122, podría permitir a un atacante ejecutar código arbitrario localmente en un equipo objetivo. Un aspecto particularmente peligroso de esta vulnerabilidad es que el panel de vista previa de Microsoft Office sirve como vector de ataque.
Esto significa que un atacante podría activar el exploit sin ninguna interacción del usuario, salvo recibir y visualizar un archivo malicioso en una ventana del Explorador de archivos. La segunda vulnerabilidad, CVE-2025-54906, tiene una calificación alta y se deriva de una condición de uso después de la liberación, identificada como CWE-416.
Esta falla también permite la ejecución remota de código, pero su vector de explotación difiere significativamente del desbordamiento basado en el montón. Para explotar esta vulnerabilidad, un atacante debe crear un archivo malicioso y engañar al usuario para que lo abra mediante ingeniería social.
A diferencia de la otra falla, el panel de vista previa no es un vector de ataque para CVE-2025-54906, lo que significa que el usuario debe interactuar activamente con el contenido malicioso. Esta necesidad de interacción del usuario es una razón clave por la que se le da una calificación inferior a la vulnerabilidad del Panel de vista previa.
Microsoft ha publicado actualizaciones de seguridad para abordar estas vulnerabilidades en la mayoría del software afectado. La compañía recomienda a los clientes que apliquen todas las actualizaciones disponibles para el software instalado en sus sistemas para garantizar una protección completa.
Las vulnerabilidades identificadas en Microsoft Office, CVE-2025-54910 y CVE-2025-54906, representan una amenaza significativa para la seguridad del usuario, ya que podrían permitir la ejecución de código malicioso en los sistemas afectados. Si bien Microsoft considera actualmente improbable que estas vulnerabilidades sean explotadas, es fundamental aplicar con prontitud los parches de seguridad publicados para mitigar el riesgo.
RedazioneEl 27 de octubre se celebró en el Ministerio de Asuntos Exteriores en Beijing el Foro del Salón Azul sobre el tema «Mejorar la gobernanza global y construir una comunidad con un futuro compartido p...
Hackers del gobierno vulneraron una planta de fabricación de componentes para armas nucleares en Estados Unidos explotando vulnerabilidades de Microsoft SharePoint. El incidente afectó al Campus de ...
En los últimos días, algunos usuarios han recibido una notificación diciendo que sus dispositivos Gemini Advanced han sido «actualizados del modelo de la generación anterior al 3.0 Pro, el modelo...
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha emitido una alerta global con respecto a la explotación activa de una falla crítica de ejecución remota de c�...
El lunes 20 de octubre, el Canal 4 transmitió un documental completo presentado por un presentador de televisión creativo impulsado completamente por inteligencia artificial. » No soy real. Por pri...
