- El total de vulnerabilidades alcanzó un máximo histórico de 1.360 en 2024, lo que representa un aumento del 11 % respecto al récord anterior de 1.292 en 2022.
- La Elevación de Privilegios (EoP) y la Ejecución Remota de Código (RCE), principales objetivos de cualquier actor de amenazas que busque explotar un sistema, continúan dominando las categorías de vulnerabilidades año tras año.
La empresa global en ciberseguridad y protección de los caminos hacia los privilegios BeyondTrust, publicó recientemente su Informe Anual de Vulnerabilidades de Microsoft, revelando un número récord de vulnerabilidades reportadas en 2024. A pesar de las mejoras continuas en seguridad, los atacantes siguen explotando debilidades clave, en particular aquellas relacionadas con la escalada de privilegios y la ejecución remota de código.
El informe 2025 ofrece un análisis profundo de los datos extraídos de los boletines de seguridad publicados por Microsoft (Patch Tuesday) a lo largo del año anterior, proporcionando información valiosa sobre las tendencias en vulnerabilidades y la evolución del panorama de amenazas, para ayudar a las organizaciones a comprender, identificar y abordar los riesgos dentro de sus ecosistemas de Microsoft.
Los hallazgos clave del informe 2025 incluyen:
- Se reportaron un total de 1.360 vulnerabilidades de Microsoft en 2024, marcando un récord histórico y un aumento del 11 % respecto al récord anterior de 1.292 en 2022.
- Las vulnerabilidades de Elevación de Privilegios (EoP) representaron el 40 % (554) del total reportado.
- Las vulnerabilidades por Omisión de Funciones de Seguridad aumentaron un 60 %, pasando de 56 en 2023 a 90 en 2024, lo que aumenta la presión para reducir las vulnerabilidades desde la etapa de diseño mediante codificación segura y modelado de amenazas.
- Las vulnerabilidades críticas en todo el ecosistema Microsoft continuaron disminuyendo en 2024.
- Las vulnerabilidades en Microsoft Edge aumentaron un 17 %, alcanzando un total de 292, incluyendo 9 vulnerabilidades críticas en 2024, en comparación con cero en 2022.
- Las vulnerabilidades en Microsoft Azure y Dynamics 365 se mantuvieron estables en 2024.
- Se identificaron 587 vulnerabilidades en Windows en 2024; 33 fueron críticas.
- Windows Server presentó 684 vulnerabilidades en 2023; 43 fueron críticas.
- Las vulnerabilidades en Microsoft Office casi se duplicaron respecto a 2023, alcanzando 62 en 2024.
Aunque el número total de vulnerabilidades ha aumentado, la tendencia a largo plazo muestra que el ritmo de crecimiento parece estar estabilizándose. Esto, junto con la continua tendencia a la baja en vulnerabilidades críticas, sugiere que las iniciativas de seguridad de Microsoft y las mejoras en la arquitectura de seguridad de los sistemas operativos modernos están dando resultados.
Sin embargo, aunque el crecimiento de vulnerabilidades parece estable, el informe también resalta la complejidad de asegurar los ecosistemas vastos y diversos de hoy día, donde las tecnologías en evolución, nuevas funcionalidades y las interdependencias continúan introduciendo riesgos.
Predicciones y conclusiones clave del informe de este año incluyen:
- Los sistemas sin parches siguen siendo un blanco fácil, abriendo la puerta a una explotación generalizada.
- La expansión del ecosistema tecnológico de Microsoft, incluyendo servicios en la nube e Inteligencia Artificial, continuará introduciendo nuevas superficies de ataque.
- Surgirán vulnerabilidades novedosas a medida que los atacantes encuentran formas nuevas y creativas de eludir las defensas.
- Los parches por sí solos no son suficientes: pueden fallar o introducir riesgos de estabilidad, lo que subraya la necesidad de defensas en capas.
- Los actores de amenazas están cambiando de táctica, enfocándose cada vez más en identidades y privilegios en lugar de exploits tradicionales.
A pesar de la evolución del panorama de amenazas, algunos principios fundamentales de seguridad permanecen constantes:
- Las vulnerabilidades de software son tan inevitables como la muerte y los impuestos.
- Aplicar el principio de mínimo privilegio sigue siendo una de las estrategias más eficaces para reducir riesgos, incluso ante vulnerabilidades tipo zero-day y parches revertidos.
- Las estrategias de defensa en profundidad que combinan prevención con detección y respuesta ofrecen la protección más robusta, incluso ante amenazas modernas basadas en identidad.
“Los datos de este año nos recuerdan claramente que el panorama de amenazas no está disminuyendo—está evolucionando rápidamente,” señaló James Maude, Field Chief Technology Officer de BeyondTrust. “El dominio sostenido de las vulnerabilidades por Elevación de Privilegios destaca cuán valiosos son los privilegios para los atacantes y por qué seguirán apuntando a identidades con privilegios para moverse lateralmente y acceder a sistemas críticos. Estas tendencias refuerzan la necesidad de que las organizaciones no solo se enfoquen en aplicar parches, sino en asegurar los Paths to Privilege™ en todos sus entornos para reducir la superficie de ataque de cada identidad y punto de acceso.”
El Informe BeyondTrust de Vulnerabilidades de Microsoft sirve como un recurso confiable para que las organizaciones comprendan mejor el panorama de vulnerabilidades de Microsoft, prioricen sus estrategias de parcheo y fortalezcan su postura de seguridad de identidades frente a amenazas modernas.
