Vulnerabilidades críticas de Windows bajo ataque: cuando los parches no llegan a tiempo
Los últimos meses están siendo especialmente complicados para Microsoft en materia de ciberseguridad. Actualmente, dos vulnerabilidades críticas de Windows están siendo explotadas activamente en ataques a gran escala, y lo más preocupante es que una de ellas lleva sin parche desde 2017. Sí, has leído bien, desde hace ocho años hay un agujero de seguridad que los ciberdelincuentes conocen y Microsoft no ha logrado cerrar. No es precisamente tranquilizador, ¿verdad?
Un zero-day que lleva 8 años entre nosotros
La historia de CVE-2025-9491 (anteriormente conocida como ZDI-CAN-25373) es para echarse las manos a la cabeza. Esta vulnerabilidad afecta al formato binario de los accesos directos de Windows (.lnk), esos pequeños archivos que usamos a diario para abrir aplicaciones o documentos sin tener que navegar hasta sus ubicaciones originales.
Lo alarmante no es solo la existencia de este fallo, sino su historial:
Cronología de una vulnerabilidad eterna
- 2017: Comienza su explotación activa (aunque nadie lo sabía públicamente)
- Marzo 2025: Trend Micro descubre que lleva siendo aprovechada por hasta 11 grupos de ciberatacantes avanzados (APT)
- Octubre 2025: Siete meses después del descubrimiento, Microsoft sigue sin ofrecer un parche
La vulnerabilidad ha permitido ataques en infraestructuras de casi 60 países, con Estados Unidos, Canadá, Rusia y Corea como principales objetivos. Y lo peor es que Microsoft parece no tener prisa por solucionarlo, a pesar de que tiene una gravedad de 7 sobre 10.
Un problema que va a más
Como si esto fuera poco, en los últimos días, la firma Arctic Wolf ha detectado que un grupo vinculado a China (identificado como UNC-6384) está aprovechando este fallo para atacar a varios países europeos. El objetivo final es implantar PlugX, un troyano de acceso remoto que permite controlar completamente los sistemas comprometidos.
Lo más inquietante es la sofisticación: el malware permanece cifrado en formato RC4 hasta el último paso del ataque para evitar su detección. Es como si alguien entrara en tu casa con una llave que has perdido hace años, pero además lo hiciera con guantes invisibles para no dejar huellas.
La otra vulnerabilidad: un parche que no parchea
Como si no tuviéramos suficiente con una vulnerabilidad sin solución, existe otra igualmente preocupante. La CVE-2025-59287 afecta a los Windows Server Update Services (WSUS), el sistema que usan los administradores para gestionar actualizaciones en grandes flotas de servidores.
Esta tiene una gravedad de 9,8 sobre 10 (prácticamente el máximo) y lo más irónico es que Microsoft ya intentó parchearlo en su actualización de octubre, pero el parche resultó ser ineficaz. Rápidamente, varios investigadores publicaron código que demostraba que la vulnerabilidad seguía existiendo.
Microsoft tuvo que lanzar una actualización no programada la semana pasada para intentar solucionar el problema de verdad. Mientras tanto, firmas de seguridad como Huntress, Eye y Sophos confirmaron que la vulnerabilidad ya estaba siendo explotada activamente desde el 23-24 de octubre.
¿Por qué es tan grave?
Este fallo es potencialmente «wormable», es decir, que podría propagarse automáticamente entre sistemas como un gusano, sin necesidad de interacción humana. Imagina un virus que, una vez dentro de tu red, puede saltar de un servidor a otro por sí solo. Y lo que es peor, lo hace a través del mismo sistema que debería servir para mantener tu infraestructura actualizada y segura.
Sophos ha observado que estos ataques no parecen dirigidos a sectores específicos, sino que están apuntando a cualquier servidor WSUS expuesto a internet, lo que sugiere una campaña de infección masiva más que ataques selectivos.
¿Qué podemos hacer mientras esperamos los parches?
Para la vulnerabilidad de los accesos directos (.lnk), las opciones son limitadas:
- Bloquear o restringir el uso de archivos .lnk procedentes de orígenes no confiables
- Configurar el Explorador de Windows para desactivar la resolución automática de este tipo de archivos
En cuanto al problema de WSUS, la recomendación es aplicar inmediatamente el segundo parche si aún no lo has hecho y revisar los logs de tu sistema en busca de actividad sospechosa desde el 23 de octubre.
La realidad de la ciberseguridad actual
Estos casos ilustran perfectamente el estado actual de la ciberseguridad. Por un lado, tenemos vulnerabilidades que permanecen sin parche durante años, mientras los atacantes las explotan tranquilamente. Por otro, vemos cómo incluso cuando las empresas intentan solucionar los problemas, a veces los parches son insuficientes o crean nuevas vulnerabilidades.
No quiero ser alarmista, pero esta es nuestra realidad: estamos en una carrera constante donde los atacantes suelen llevar ventaja. Mientras las grandes empresas como Microsoft siguen su propio calendario de prioridades, los administradores de sistemas deben implementar medidas adicionales para protegerse.
Y para el usuario común, esto es un recordatorio de que mantener actualizado el sistema operativo es solo el comienzo de una buena estrategia de ciberseguridad. Si dependes exclusivamente de que los fabricantes resuelvan todos los problemas, podrías estar expuesto durante años a vulnerabilidades que ellos conocen pero que, por razones que desconocemos, deciden no priorizar.
En este caso concreto, lo más preocupante es que ni siquiera hay una fecha prevista para el parche de la vulnerabilidad CVE-2025-9491. Seguiremos esperando, mientras nos preguntamos cuántos años más necesitará Microsoft para solucionar un problema que lleva desde 2017 comprometiendo sistemas en todo el mundo.
