Table of Contents
Las vulnerabilidades críticas en el ecosistema de Microsoft están creciendo a un ritmo que ya preocupa a expertos en ciberseguridad, incluso cuando el número total de fallas reportadas parece disminuir. Esa es una de las principales conclusiones del más reciente informe anual de BeyondTrust, que advierte cómo la inteligencia artificial, la expansión de la nube y los ataques centrados en identidades están transformando el panorama de amenazas digitales.
El documento revela una paradoja interesante: Microsoft reportó 1.273 vulnerabilidades en 2025, un 6 % menos frente a 2024, pero las vulnerabilidades críticas prácticamente se duplicaron, pasando de 78 a 157. En otras palabras, hay menos agujeros, pero los que existen son mucho más peligrosos.
La IA acelera tanto la defensa como los ataques
Uno de los puntos más llamativos del informe es cómo la inteligencia artificial está jugando en ambos bandos. Mientras las organizaciones usan IA para detectar amenazas más rápido, los atacantes también aprovechan estas herramientas para analizar parches, entender vulnerabilidades y desarrollar exploits en tiempo récord.
Javier Fernández (en la foto principal), Gerente de Ventas para la Región NOLA para BeyondTrust destacó que las vulnerabilidades de Elevación de Privilegios (EoP) representaron el 40 % del total detectado, consolidándose como una de las principales puertas de entrada para los ciberdelincuentes.
Y aquí está el detalle que muchas empresas todavía subestiman: hoy el objetivo ya no es solamente vulnerar sistemas, sino obtener privilegios para moverse lateralmente dentro de una infraestructura digital y alcanzar activos críticos.
Azure, Dynamics y Office: foco de riesgo creciente
El informe muestra que las plataformas cloud y empresariales están viviendo un aumento considerable en los riesgos críticos. Microsoft Azure y Dynamics 365 registraron un incremento de nueve veces en vulnerabilidades críticas, pasando de cuatro a 37 casos reportados.
Por su parte, Microsoft Office alcanzó 157 vulnerabilidades, más del triple que el año anterior, mientras que las vulnerabilidades críticas en esta suite se multiplicaron por diez.
La lectura es clara: las herramientas que millones de personas usan todos los días para trabajar, colaborar y almacenar información se están convirtiendo en objetivos prioritarios.
No todo fue negativo. Microsoft Edge mostró una mejora significativa, reduciendo sus vulnerabilidades en un 83 %, hasta llegar a 50 reportes durante 2025.
El problema invisible: identidades no humanas y automatización
Más allá de las vulnerabilidades tradicionales, BeyondTrust advierte sobre un riesgo que está creciendo silenciosamente: las identidades no humanas, es decir, bots, scripts, agentes automatizados y sistemas que operan con permisos dentro de infraestructuras cloud.
Según el reporte, muchas organizaciones están automatizando procesos sin implementar controles sólidos de identidad y privilegios, creando puntos ciegos peligrosos dentro de entornos multi-cloud.
El reto actual no es solo automatizar procesos, sino asegurar que cada acción automatizada esté alineada a políticas de identidad sólidas, con monitoreo continuo y control de privilegios, explicó el ejecutivo.
Luego agregó una frase que resume perfectamente el escenario actual: La automatización sin identidad bien gestionada puede amplificar los errores humanos y crear puntos de entrada que pasan desapercibidos.
Ya no basta con instalar parches
El informe insiste en que la estrategia clásica de “aplicar parches y seguir adelante” ya no es suficiente.
Plantea que los conteos tradicionales de CVE ya no muestran toda la realidad del riesgo, especialmente en entornos impulsados por IA y servicios cloud complejos.
Y la conclusión es contundente: las empresas ya no pueden pensar únicamente en proteger dispositivos o aplicaciones. Ahora deben entender y controlar cada camino que conduce a privilegios críticos dentro de sus ecosistemas digitales.
Porque sí, la nube ofrece velocidad, flexibilidad y automatización. Pero sin visibilidad ni control de identidades, también puede convertirse en una autopista silenciosa para los atacantes.
Y en una era donde la IA acelera todo -incluyendo los ataques-, reaccionar tarde ya no es una opción viable.
🌎 Punto de encuentro
Presentación del estudio
