Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliégalo en minutos para empezar a combatir amenazas.
Vulnerabilidad CVE-2022-30190
Vulnerabilidad CVE-2022-30190
Publicado: 12/12/2025
Escrito por: Nadine Rozell
Las CVE son Vulnerabilidades y Exposiciones Comunes: identificadores únicos para vulnerabilidades de ciberseguridad públicamente conocidas. CVE-2022-30190, ampliamente conocida como "Follina", es una vulnerabilidad de ejecución remota de código que convierte en arma a un sospechoso poco probable: la Herramienta de diagnóstico de soporte de Microsoft (MSDT). Este ingenioso error permite a los atacantes ejecutar código malicioso con solo lograr que un usuario abra un documento trampa.
Esta página analiza cómo funciona Follina, su impacto y los pasos que necesitas seguir para detectarla y mitigarla. Asegurémonos de que tus documentos de Office no estén abriendo una puerta trasera en secreto.
¿Qué es la vulnerabilidad CVE-2022-30190?
CVE-2022-30190 (Follina) es una vulnerabilidad de ejecución remota de código (RCE) que abusa del protocolo URL ms-msdt://. Este protocolo fue diseñado para iniciar la Herramienta de diagnóstico de soporte de Microsoft, pero los atacantes encontraron la forma de invocarlo desde documentos de Microsoft Office. Al crear un archivo malicioso de Word, RTF u otro formato de Office, un atacante puede activar MSDT para descargar y ejecutar un script o payload malicioso, todo sin necesidad de macros.
¿Cuándo se descubrió?
La vulnerabilidad se reportó a Microsoft por primera vez en abril de 2022, pero inicialmente fue descartada. Ganó atención pública el 27 de mayo de 2022, después de que un investigador de seguridad descubriera un documento de Word malicioso que explotaba la falla en estado salvaje. Microsoft le asignó oficialmente el CVE-2022-30190 y publicó orientación poco después, con parches que siguieron en junio de 2022.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas/actualizaciones |
Microsoft Windows | Todas las versiones compatibles antes del parche | Actualizaciones acumulativas de junio de 2022 |
Microsoft Office | Varias versiones (incluidas 2013, 2016, 2019, 2021 y 365 Apps) | Parches incluidos en actualizaciones de Windows |
Descripción técnica de CVE-2022-30190
Follina funciona insertando una URL maliciosa de ms-msdt:// dentro de un documento de Office. Esto se suele hacer mediante una plantilla remota cargada desde un servidor externo. Cuando la víctima abre el documento, el proceso winword.exe intenta obtener la plantilla. Esta plantilla contiene código que invoca el esquema de URL ms-msdt y le pasa parámetros que fuerzan a la herramienta de diagnóstico a ejecutar código arbitrario, como un script de PowerShell. Como MSDT es un binario confiable de Microsoft, esto puede eludir algunas defensas de seguridad. El exploit incluso funciona si el usuario solo previsualiza el documento en el panel de vista previa del Explorador de Windows.
Tácticas, técnicas y procedimientos (TTPs)
El método principal de entrega de Follina es el phishing. Los atacantes envían correos con documentos de Office maliciosos adjuntos, a menudo usando señuelos relacionados con facturas, avisos legales u otros asuntos urgentes de negocio. Una vez que el usuario abre el archivo, la cadena de explotación se inicia automáticamente. Los actores de amenazas han usado Follina para distribuir una amplia variedad de malware, incluyendo robadores de información, troyanos de acceso remoto (RATs) y cargadores de ransomware.
Indicadores de compromiso
Un indicador clave son los procesos secundarios sospechosos que se originan desde una aplicación de Microsoft Office (como winword.exe o excel.exe). Específicamente, busca aplicaciones de Office que inicien msdt.exe. En el lado de la red, monitorea conexiones salientes desde aplicaciones de Office hacia dominios desconocidos, que podrían estar obteniendo la plantilla remota. Las soluciones EDR se pueden configurar para alertar sobre esta relación específica de proceso principal-secundario.
Pruebas de concepto y exploits conocidos
El código de prueba de concepto de Follina se publicó casi de inmediato, lo que facilitó enormemente su adopción por parte de los atacantes. A los pocos días de su divulgación pública, se observó a múltiples grupos patrocinados por estados y de cibercrimen usando Follina en campañas activas. Su simplicidad y eficacia contra sistemas sin parchear la convirtieron en una opción popular para ataques de acceso inicial durante 2022.
¿Cómo detectar la vulnerabilidad CVE-2022-30190?
La forma más eficaz de verificar la vulnerabilidad es asegurarte de que tus sistemas Windows tengan instaladas las actualizaciones de seguridad de junio de 2022 (o posteriores). Los escáneres de vulnerabilidades tienen complementos dedicados para detectar sistemas sin parchear. En el endpoint, puedes buscar IOC consultando los registros de EDR en busca de instancias donde aplicaciones de Office generen msdt.exe. Antes de que hubiera parches disponibles, la detección principal era monitorear este comportamiento anómalo.
Impacto y riesgo de la vulnerabilidad CVE-2022-30190
El impacto es significativo. Un exploit exitoso de Follina le da al atacante un punto de entrada inicial en un endpoint con los privilegios del usuario. A partir de ahí, puede realizar reconocimiento, escalar privilegios (usando otras herramientas como PwnKit) y moverse lateralmente por la red. Como evita la necesidad de macros, puede engañar incluso a usuarios experimentados, lo que representa un alto riesgo de derivar en una filtración de datos a gran escala o un evento de ransomware.
Estrategias de mitigación y remediación
Aplicar el parche es la solución definitiva. Instala las actualizaciones de seguridad de junio de 2022 (o posteriores) de Microsoft, que corrigen la vulnerabilidad. Antes de que se publicara el parche, la solución alternativa principal era deshabilitar por completo el protocolo de URL ms-msdt eliminando su clave de registro. Además, habilitar las reglas de Reducción de superficie de ataque (ASR), específicamente la que bloquea que todas las aplicaciones de Office creen procesos secundarios, ofrece una defensa sólida contra Follina y técnicas de explotación similares.
Preguntas frecuentes sobre la vulnerabilidad CVE-2022-30190
CVE-2022-30190, o Follina, es una vulnerabilidad de ejecución remota de código. Funciona engañando a Microsoft Office para que invoque la Herramienta de diagnóstico de soporte de Microsoft (MSDT) mediante una URL especial. Esto permite que un atacante ejecute código malicioso en la máquina de la víctima con solo hacer que abra un documento manipulado.
Suele propagarse mediante correos de phishing que contienen un archivo malicioso de Word o RTF. Cuando el archivo se abre o incluso se previsualiza, activa elms-msdt protocolo, que luego ejecuta un script malicioso. No se necesitan macros, lo que lo hace aún más sigiloso.
Sí, para cualquier sistema sin parchear. Aunque Microsoft publicó un parche en 2022, los atacantes saben que la gestión de parches nunca es perfecta. Siguen escaneando y explotando esta vulnerabilidad en sistemas que se pasaron por alto, lo que la convierte en una amenaza persistente.
Ante todo, instala las actualizaciones de seguridad de Windows de junio de 2022 o posteriores. Esta es la solución definitiva. También deberías habilitar las reglas de Reducción de superficie de ataque (ASR) para bloquear que las aplicaciones de Office creen procesos secundarios, lo que detiene esta cadena de ataque de raíz.
