Microsoft Martes de Parches Diciembre 2025
Como cada segundo martes del mes, Microsoft ha publicado una lista de parches para su catálogo de productos. En esta ocasión, correspondientes a diciembre de 2025, se presentan parches para vulnerabilidades críticas y altas, algunas bajo explotación y/o de día cero.
CVE-2025-62221
Esta vulnerabilidad cuenta con una calificación CVSS3.1 de 7.8, y afecta a un componente de Windows llamado “Windows Cloud Files Mini Filter Driver”, el cual se encarga de la administración de archivos sincronizados con la nube y su integración con otros servicios y programas del sistema operativo. El problema se encuentra en un error de asignación de memoria, que podría permitir a un atacante obtener privilegios de administrador, y es particularmente importante porque ya se encuentra bajo explotación.
CVE-2025-64671
Con una calificación CVSS3.1 de 8.4, esta vulnerabilidad afecta a un producto llamado “GitHub Copilot for Jetbrains”, el cual es una extensión de la inteligencia artificial propiedad de Microsoft, Copilot, para editores de código. Una falta de neutralización de elementos especiales dentro del código escrito puede permitir a un atacante no autorizado ejecutar código de forma local. Ya se encuentra bajo explotación.
CVE-2025-54100
Esta vulnerabilidad cuenta con una calificación CVSS3.1 de 7.8, afecta a Windows PowerShell y puede permitir la ejecución de código arbitrario de forma local a un atacante no autorizado. Lo anterior es posible debido a una mala neutralización de elementos en un comando que permite la inyección de comandos arbitrarios.
CVE-2025-62554
Esta vulnerabilidad que afecta a Microsoft Office cuenta con una calificación CVSS3.1 de 8.4 y podría permitir a un atacante no autorizado la ejecución de código a nivel local, debido a un fallo a la hora de crear un recurso en la memoria, y después intentar acceder a él bajo otro esquema no compatible.
CVE-2025-62557
Otra vulnerabilidad que afecta a Microsoft Office, con una calificación CVSS3.1 también de 8.4 y que permite la ejecución de código a nivel local por un atacante no autorizado, en este caso, debido a que intenta referenciar recursos en la memoria luego de que éstos hayan sido liberados previamente.
Versiones Afectadas
CVE-2025-62221
| Productos | Versiones afectadas | Versiones corregidas |
| Windows 10 Version 1809 | 10.0.17763.0 | 10.0.17763.8146 |
| Windows 10 Version 21H2 | 10.0.19044.0 | 10.0.19044.6691 |
| Windows 10 Version 22H2 | 10.0.19045.0 | 10.0.19045.6691 |
| Windows Server 2025 (Server Core installation) | 10.0.26100.0 | 10.0.26100.7462 |
| Windows 11 Version 25H2 | 10.0.26200.0 | 10.0.26200.7462 |
| Windows Server 2022 | 10.0.20348.0 | 10.0.20348.4529 |
| Windows 11 Version 23H2 | 10.0.22631.0 | 10.0.22631.6345 |
| Windows Server 2022, 23H2 Edition (Server Core installation) | 10.0.25398.0 | 10.0.25398.2025 |
| Windows 11 version 22H3 | 10.0.22631.0 | 10.0.22631.6345 |
| Windows 11 Version 24H2 | 10.0.26100.0 | 10.0.26100.7462 |
| Windows Server 2025 | 10.0.26100.0 | 10.0.26100.7462 |
| Windows Server 2019 | 10.0.17763.0 | 10.0.17763.8146 |
| Windows Server 2019 (Server Core installation) | 10.0.17763.0 | 10.0.17763.8146 |
CVE-2025-64671
| Productos | Versiones afectadas | Versiones corregidas |
| GitHub Copilot Plugin for JetBrains IDEs | 1.0.0 | 1.5.60-243 |
CVE-2025-54100
| Productos | Versiones afectadas | Versiones corregidas |
| Windows 10 Version 1809 | 10.0.17763.0 | 10.0.17763.8146 |
| Windows Server 2019 | 10.0.17763.0 | 10.0.17763.8146 |
| Windows Server 2019 (Server Core installation) | 10.0.17763.0 | 10.0.17763.8146 |
| Windows Server 2022 | 10.0.20348.0 | 10.0.20348.4529 |
| Windows 10 Version 21H2 | 10.0.19044.0 | 10.0.19044.6691 |
| Windows 10 Version 22H2 | 10.0.19045.0 | 10.0.19045.6691 |
| Windows Server 2025 (Server Core installation) | 10.0.26100.0 | 10.0.26100.7462 |
| Windows 11 Version 25H2 | 10.0.26200.0 | 10.0.26200.7462 |
| Windows 11 version 22H3 | 10.0.22631.0 | 10.0.22631.6345 |
| Windows 11 Version 23H2 | 10.0.22631.0 | 10.0.22631.6345 |
| Windows Server 2022, 23H2 Edition (Server Core installation) | 10.0.25398.0 | 10.0.25398.2025 |
| Windows 11 Version 24H2 | 10.0.26100.0 | 10.0.26100.7462 |
| Windows Server 2025 | 10.0.26100.0 | 10.0.26100.7462 |
| Windows 10 Version 1607 | 10.0.14393.0 | 10.0.14393.8688 |
| Windows Server 2016 | 10.0.14393.0 | 10.0.14393.8688 |
| Windows Server 2016 (Server Core installation) | 10.0.14393.0 | 10.0.14393.8688 |
| Windows Server 2008 Service Pack 2 | 6.0.6003.0 | 6.0.6003.23666 |
| Windows Server 2008 Service Pack 2 (Server Core installation) | 6.0.6003.0 | 6.0.6003.23666 |
| Windows Server 2008 R2 Service Pack 1 | 6.1.7601.0 | 6.1.7601.28064 |
| Windows Server 2008 R2 Service Pack 1 (Server Core installation) | 6.1.7601.0 | 6.1.7601.28064 |
| Windows Server 2012 | 6.2.9200.0 | 6.2.9200.25815 |
| Windows Server 2012 (Server Core installation) | 6.2.9200.0 | 6.2.9200.25815 |
| Windows Server 2012 R2 | 6.3.9600.0 | 6.3.9600.22920 |
| Windows Server 2012 R2 (Server Core installation) | 6.3.9600.0 | 6.3.9600.22920 |
CVE-2025-62554
| Productos | Versiones afectadas | Versiones corregidas |
| Microsoft Office LTSC 2024 | 16.0.0 | https://aka.ms/OfficeSecurityReleases |
| Microsoft Office 2019 | 19.0.0 | https://aka.ms/OfficeSecurityReleases |
| Microsoft Office for Android | 16.0.1 | XXXXXX |
| Microsoft Office LTSC for Mac 2021 | N/A | N/A |
| Microsoft Office LTSC for Mac 2024 | N/A | N/A |
| Microsoft Office 2016 | 16.0.0 | 16.0.5530.1001 |
| Microsoft Office LTSC 2021 | 16.0.1 | https://aka.ms/OfficeSecurityReleases |
| Microsoft 365 Apps for Enterprise | 16.0.1 | https://aka.ms/OfficeSecurityReleases |
CVE-2025-62557
| Productos | Versiones afectadas | Versiones corregidas |
| Microsoft Office LTSC 2024 | 16.0.0 | https://aka.ms/OfficeSecurityReleases |
| Microsoft 365 Apps for Enterprise | 16.0.1 | https://aka.ms/OfficeSecurityReleases |
| Microsoft Office 2016 | 16.0.0 | 16.0.5530.1001 |
| Microsoft Office 2019 | 19.0.0 | https://aka.ms/OfficeSecurityReleases |
| Microsoft Office LTSC 2021 | 16.0.1 | https://aka.ms/OfficeSecurityReleases |
| Microsoft Office for Android | 16.0.1 | XXXXXX |
| Microsoft Office LTSC for Mac 2024 | N/A | N/A |
| Microsoft Office LTSC for Mac 2021 | N/A | N/A |
Recomendaciones
- Actualizar inmediatamente sistemas que utilicen versiones vulnerables.
- Evaluar el uso e implementar medidas de seguridad para el uso de extensiones en herramientas de los empleados.
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
- Auditar herramientas de acceso remoto. (NIST CSF, 2024)
- Revisar logs para de ejecución de software de acceso remoto. (NIST CSF, 2024)
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad. (NIST CSF, 2024)
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque. (NIST CSF, 2024)
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactorial.
Referencias
- Abrams, L. (2025, December 9). Microsoft December 2025 Patch Tuesday fixes 3 zero-days, 57 flaws. BleepingComputer. Recuperado el 09 de diciembre de 2025, en: https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2025-patch-tuesday-fixes-3-zero-days-57-flaws/
- Baran, G. (2025, December 9). Microsoft December 2025 Patch Tuesday – 56 Vulnerabilities Fixed Including 3 Zero-days. Cyber Security News. Recuperado el 09 de diciembre de 2025, en: https://cybersecuritynews.com/microsoft-december-2025-patch-tuesday/
