Microsoft ha revelado una vulnerabilidad crítica de ejecución remota de código (CVE-2025-60727) en su ecosistema de Office. Este fallo de seguridad puede ser explotado mediante el uso de un archivo de Excel malicioso, afectando a múltiples versiones del software y resaltando el riesgo persistente de los ataques basados en documentos utilizados en campañas de phishing.

Microsoft ha revelado una vulnerabilidad crítica de ejecución remota de código en su ecosistema de Office que puede ser explotada a través de un archivo de Excel malicioso.

La vulnerabilidad, identificada como CVE-2025-60727, afecta a múltiples versiones de Microsoft Office y subraya el riesgo continuo que representan las técnicas de ataque basadas en documentos, comúnmente utilizadas en campañas de phishing.

El problema se clasifica como una vulnerabilidad de lectura fuera de límites (CWE-125). Existe en la forma en que Microsoft Excel procesa estructuras de archivos especialmente diseñadas.

Cuando se abre un documento de Excel malicioso, la aplicación puede leer la memoria fuera del búfer previsto. Este acceso incorrecto a la memoria permite que los atacantes influyan en el comportamiento de la aplicación, habilitando finalmente la ejecución de código arbitrario en el sistema objetivo.

La vulnerabilidad afecta a una amplia gama de productos de Microsoft, incluyendo Microsoft 365 Apps, Excel 2016, Office 2019, Office LTSC 2021, Office LTSC 2024 y Office Online Server.

Dado que estos productos se utilizan ampliamente en entornos empresariales y personales, la superficie de ataque potencial es significativa.

Explotación de la vulnerabilidad RCE de Microsoft 365 Apps

La explotación de CVE-2025-60727 requiere la interacción del usuario, ya que la víctima debe abrir un archivo de Excel malicioso.

Sin embargo, el ataque no requiere autenticación ni privilegios elevados. Esto lo hace particularmente efectivo en escenarios de phishing, donde los atacantes engañan a los usuarios para que abran documentos aparentemente legítimos.

Por ejemplo, un actor de amenazas puede enviar un correo electrónico disfrazado de informe empresarial o factura que contenga un adjunto de Excel armado. Una vez abierto, el archivo puede activar la vulnerabilidad y ejecutar código malicioso en segundo plano.

La causa raíz del fallo reside en una validación insuficiente de los valores de longitud y desplazamiento durante el análisis del archivo de Excel. Cuando Excel procesa un archivo malformado, lee más allá de los límites de memoria asignados.

Los atacantes pueden diseñar cuidadosamente la estructura del archivo para controlar este comportamiento, utilizando la memoria expuesta para manipular el flujo de ejecución y ejecutar instrucciones maliciosas dentro del proceso de Excel.

Una explotación exitosa otorga a los atacantes el mismo nivel de acceso que el usuario actual. Esto puede conducir al robo de datos, la instalación de malware, mecanismos de persistencia y el compromiso total del sistema, afectando la confidencialidad, integridad y disponibilidad.

En entornos empresariales, dicho acceso también puede usarse como punto de apoyo para el movimiento lateral. La detección de los intentos de explotación depende de la monitorización de comportamientos inusuales asociados con Excel. Los equipos de seguridad pueden observar que Excel genere procesos secundarios inesperados, como consolas de comandos o motores de scripting.

Las conexiones de red salientes sospechosas iniciadas por Excel poco después de abrir un documento también pueden indicar un compromiso. En algunos casos, los sistemas pueden generar informes de errores o violaciones de acceso relacionados con Excel al procesar archivos malformados.

Microsoft ha lanzado actualizaciones de seguridad para solucionar esta vulnerabilidad, y se recomienda encarecidamente a las organizaciones que apliquen estos parches de inmediato.

Es esencial mantener actualizadas las aplicaciones de Microsoft 365 a través del canal Click-to-Run y desplegar las últimas actualizaciones de seguridad para las versiones independientes de Office.

Las medidas de mitigación adicionales incluyen el uso de la Vista Protegida para archivos procedentes de fuentes externas, el bloqueo de macros y contenido externo, y la habilitación de controles de seguridad como las reglas de Reducción de la Superficie de Ataque.

Según SentinelOne, restringir los archivos de Excel de fuentes no confiables y reforzar el filtrado de correo electrónico puede reducir la exposición.

La vulnerabilidad se publicó por primera vez en la Base de Datos Nacional de Vulnerabilidades el 11 de noviembre de 2025 y fue actualizada el 17 de junio de 2026.

Aunque actualmente no hay informes públicos de explotación activa, la técnica se alinea estrechamente con los métodos conocidos de phishing y ataques basados en documentos, lo que la convierte en un problema de alto riesgo que las organizaciones no deben ignorar.