Boletín Semanal de Ciberseguridad, 8-14 noviembre

Actualización de Microsoft corrige vulnerabilidad 0-day en el Kernel de Windows

Microsoft ha publicado las actualizaciones de seguridad correspondientes al Patch Tuesday de noviembre de 2025, abordando un total de 63 vulnerabilidades en sus productos. Entre ellas destaca CVE-2025-62215 (CVSSv3 7.1 según proveedor), una vulnerabilidad 0-day en el Kernel de Windows que permitía la elevación de privilegios a nivel SYSTEM mediante una condición de carrera explotada activamente.

El fallo, atribuido al Microsoft Threat Intelligence Center (MSTIC) y al Microsoft Security Response Center (MSRC), ya ha sido corregido. Del total, 29 fallas corresponden a elevación de privilegios, 16 a ejecución remota de código, 11 a divulgación de información, tres a denegación de servicio, dos a omisión de características de seguridad y dos a suplantación de identidad. Cuatro vulnerabilidades fueron clasificadas como críticas, incluyendo dos de ejecución remota.

Asimismo, esta actualización marca el inicio del programa Extended Security Update (ESU) para Windows 10, orientado a organizaciones que aún no han migrado a Windows 11, acompañado de un parche fuera de banda para resolver errores en el proceso de inscripción al ESU.

Más info

El malware GlassWorm vuelve a OpenVSX con tres nuevas extensiones de VSCode

Tras haberse declarado controlado el incidente inicial de GlassWorm el 21 de octubre de 2025, el 6 de noviembre se detectó una nueva ola de infecciones que comprometió tres extensiones adicionales de OpenVSX, afectando a unas 10.000 instalaciones.

Este gusano autopropagado, que oculta su código malicioso con caracteres Unicode invisibles, continúa utilizando la blockchain de Solana para actualizar sus servidores de comando y control (C2), demostrando la resiliencia de su infraestructura. Los investigadores de Koi Security lograron acceder a uno de los servidores del atacante, descubriendo una lista parcial de víctimas en Estados Unidos, Sudamérica, Europa, Asia y una entidad gubernamental de Oriente Medio, además de datos que sugieren que el atacante es rusoparlante y usa la infraestructura RedExt.

Asimismo, se confirmó que GlassWorm ha saltado a repositorios de GitHub, donde se propaga mediante commits aparentemente legítimos generados por IA, usando credenciales robadas para insertar su carga maliciosa.

Más info

Múltiples vulnerabilidades críticas en Firefox permiten ejecución remota de código

La Fundación Mozilla emitió el 11 de noviembre de 2025 tres avisos de seguridad que corrigen 16 vulnerabilidades en Firefox 145 y las versiones ESR 115.30 y 140.5. Doce de ellas fueron clasificadas como de alto impacto, permitiendo la ejecución arbitraria de código y la evasión de sandbox sin interacción del usuario. Entre las fallas más graves destacan las identificadas como CVE-2025-13023 y CVE-2025-13026, que permiten escapar del entorno de aislamiento del navegador.

Otras vulnerabilidades afectan componentes de WebGPU, el motor JavaScript y el módulo gráfico, exponiendo un amplio vector de ataque. Además, se identificaron múltiples fallos de Same-Origin Policy bypass y condiciones de carrera. Las versiones ESR incluyen parches de seguridad de memoria relevantes para entornos corporativos.

Mozilla recomienda actualizar inmediatamente a las versiones más recientes para mitigar riesgos de explotación remota.

Más info

El nuevo spyware LandFall explotó una vulnerabilidad 0-day de Samsung a través de mensajes de WhatsApp

Investigadores de Unit 42 descubrieron LANDFALL, una familia de spyware comercial para Android que explotaba una vulnerabilidad 0-day (CVE-2025-21042) en la biblioteca de procesamiento de imágenes de Samsung. Este fallo permitió ejecutar código malicioso mediante archivos DNG manipulados enviados por WhatsApp, sin interacción del usuario (0-click).

Activo desde mediados de 2024, LANDFALL realizaba espionaje integral: grabación de audio, rastreo de ubicación, robo de fotos, contactos y registros de llamadas, principalmente contra objetivos del Medio Oriente. El malware estaba diseñado específicamente para dispositivos Galaxy S22, S23, S24, Z Flip4 y Fold4, y usaba servidores C2 disfrazados bajo dominios legítimos. Además, compartía infraestructura y técnicas con operadores de spyware comercial como Stealth Falcon y Variston, aunque sin atribución directa.

Samsung corrigió la vulnerabilidad en abril de 2025, y otra relacionada (CVE-2025-21043) en septiembre.

Más info

Dos vulnerabilidades críticas en Cisco UCCX permiten a los atacantes ejecutar comandos como root

Cisco ha emitido una alerta sobre dos vulnerabilidades críticas en su plataforma Unified Contact Center Express (CCX), identificadas como CVE-2025-20354 (CVSSv3 9.8, según fabricante) y CVE-2025-20358 (CVSSv3 9.4, según fabricante). Ambas fallas, originadas en el proceso Java Remote Method Invocation (RMI) y en el CCX Editor, se deben a deficiencias en los mecanismos de autenticación, lo que podría permitir a atacantes remotos no autenticados subir archivos maliciosos, ejecutar código arbitrario y escalar privilegios hasta nivel root.

Además, estas vulnerabilidades posibilitan burlar los controles de autenticación y crear o ejecutar scripts con permisos administrativos, comprometiendo gravemente la seguridad del sistema. Dado que no existen soluciones temporales, Cisco recomienda actualizar de inmediato a las versiones corregidas (12.5 SU3 ES07 y 15.0 ES01).

Finalmente, Cisco Product Security Incident Response Team (PSIRT) señaló que no hay evidencia de explotación activa hasta el momento, aunque advierte sobre la criticidad de aplicar las mitigaciones disponibles.

Más info

◾ Este boletín es uno de los entregables de nuestro servicio Operational and Strategic Intelligence. Si deseas conocer el resto de los contenidos de inteligencia operativa y estratégica incluidos en el servicio contacta con nosotros →