El martes de parches de marzo de Microsoft ha aumentado la presión sobre los administradores de sistemas, con más de 50 nuevas vulnerabilidades por corregir, incluyendo siete vulnerabilidades de día cero.
De estas siete, seis se están explotando activamente. Son:
CVE-2025-26633: Una omisión de una característica de seguridad en Microsoft Management Console con una puntuación CVSS de 7.0
CVE-2025-24993: Una vulnerabilidad de ejecución remota de código (RCE) en Windows NTFS con una puntuación CVSS de 7.8
CVE-2025-24991: Una vulnerabilidad de divulgación de información en Windows NTFS con una puntuación CVSS de 5.5
CVE-2025-24985: Una vulnerabilidad de RCE en el controlador del sistema de archivos Fast FAT de Windows con una puntuación CVSS de 7.8
CVE-2025-24984: Un error de divulgación de información en Windows NTFS con una puntuación CVSS de 4.6
CVE-2025-24983: Una vulnerabilidad de elevación de privilegios (EoP) en el subsistema del kernel Win32 de Windows con una puntuación CVSS de 7.0
Microsoft también publicó detalles de una vulnerabilidad de día cero que se ha hecho pública. Divulgada, pero aún no explotada. CVE-2025-26630 es una vulnerabilidad de RCE en Microsoft Access. Tiene una puntuación CVSS de 7,8, lo que la clasifica como «importante».
En total, este mes se registraron 23 vulnerabilidades de fin de período y 23 de RCE. Las seis CVE con calificación «crítica» fueron vulnerabilidades de RCE. Entre ellas se encuentra la CVE-2025-24084, que afecta al kernel del Subsistema de Windows para Linux (WSL2).
Otro error crítico de RCE corregido este mes es CVE-2025-26645, que afecta al popular cliente de escritorio remoto (RDP). Podría proporcionar a los actores de amenazas una forma sencilla de lograr un movimiento lateral a través de la red de la víctima, advirtió Barnett.