Intel lanza nuevo microcódigo con parches de seguridad «ocultos» para corregir 30 vulnerabilidades de casi 200 CPU: problemas con iGPU, Thread Director, Ethernet, WiFi y más

Intel ha publicado una nueva actualización de microcódigo en silencio para sus procesadores que coincide, y no es casualidad, con el último ciclo de parches de seguridad del 11 de noviembre. El paquete del microcódigo, identificado como 20251111, llega con correcciones funcionales para varias familias de CPU, mejoras de estabilidad en entornos de servidor y soporte ampliado para plataformas Intel Xeon y Core, pero, sobre todo, con parches de seguridad para procesadores desde la serie 12 hasta la última generación.

Aunque en GitHub se presenta como una revisión “no crítica”, su sincronía con el boletín de seguridad de Intel sugiere que forma parte del mismo bloque IPU de noviembre. El problema es que estamos hablando de más de 30 correcciones de vulnerabilidades que arrastran a una cantidad increíble de CPU en total, lo cual se entiende si tenemos en cuenta que hace justamente 1 año no llega un paquete de este calibre anexo a un microcódigo general.

Intel lanza el microcódigo 20251111 en silencio para corregir 30 vulnerabilidades

¿Casualidad? Para nada. En realidad, este lanzamiento responde al patrón habitual de los ciclos trimestrales de Intel Platform Update, donde los binarios de microcódigo y las advertencias de seguridad salen el mismo día. Es decir, mientras el microcódigo implementa las mitigaciones dentro del silicio y a través del SO o BIOS/UEFI, los avisos públicos del Security Center describen las vulnerabilidades corregidas.

Por ello, en la noche de ayer Intel lanzó el microcódigo 20251111 con la “excusa” de “solucionar problemas funcionales”. En este caso, las actualizaciones afectan a procesadores Intel Core de 12ª, 13ª y 14ª generación, Xeon Scalable de 4ª y 5ª generación y las series Core Ultra 200 V y 200 Series 2, además de incorporar soporte para los nuevos Xeon 6700P-B y 6500P-B SoC con núcleos P.

El problema es que estas soluciones lo que ocultaban eran 30 vulnerabilidades que afectan a casi 200 CPU en total. Entre los cambios documentados se incluyen correcciones a fallos en instrucciones de cadena REP SCASB/CMPSB que podían devolver resultados erróneos, ajustes en la gestión de eventos de rendimiento en Lunar Lake, solución a errores de memoria no corregibles en Emerald Rapids y una mejora en la detección de ASPM L1 en los enlaces PCI Express de Granite Rapids y un larguísimo etc.

No hay advertencias de seguridad explícitas dentro del propio changelog, lo cual ha sido curioso, porque tampoco están enlazadas al blog de Intel, pero sí una larga lista de procesadores con revisiones internas que cambian de versión, un indicador clásico de mitigaciones silenciosas.

Y de repente, aparecen las vulnerabilidades en el mismo momento

El mismo día, Intel publicó en su Security Center alrededor de treinta nuevas advertencias de seguridad que afectan al ecosistema de firmware, drivers y software de gestión, sin detallar públicamente qué parches dependen de microcódigo. Esto es una práctica habitual: el microcódigo se limita a actualizar la capa más baja de la CPU a través del SO o la BIOS/UEFI, mientras los boletines recogen los efectos en capas superiores.

La convergencia de fechas confirma que ambas piezas pertenecen al mismo bloque de seguridad y mantenimiento que Intel coordina con Microsoft y los fabricantes de BIOS.  Por tanto, este nuevo microcódigo viene a tapar una gran cantidad de vulnerabilidades de las CPU Intel desde los Core 12 hasta los últimos Xeon, donde no está claro qué corresponde a qué, puesto que no hay categoría concreta que especifique si se resuelve por drivers, aplicación o microcódigo.

Y es que, para entender el problema en su complejidad, Intel califica a cada vulnerabilidad y resolución dentro de la categoría “software”, sin ser específicos.

Estas son las generaciones y steppings de Intel afectadas por las vulnerabilidades que corrige el microcódigo 20251111

Conviene recordar que el repositorio de GitHub es solo el primer eslabón de la cadena. En Linux, las distribuciones lo empaquetan como “intel-microcode” y el kernel lo carga en cada arranque. En Windows, el mismo código binario se propaga más tarde por tres vías: a través de BIOS/UEFI del fabricante (el método más limpio), mediante los paquetes de firmware distribuidos por Windows Update, y en algunos casos a través del asistente Intel DSA.

Dicho esto, veamos todas las generaciones y steppings afectados:

Intel Core (PC y portátiles)

• Alder Lake (12ª gen) → Steppings C0, H0, L0, R0
• Raptor Lake (13ª gen) → Steppings B0, C0, E0
• Raptor Lake Refresh (14ª gen) → Steppings C0, E0
• Arrow Lake (Core Ultra 200 Series 2 y 200 V) → Steppings ARL-H, ARL-HX
• Lunar Lake (Core Ultra) → Stepping LNL-P
• Intel N-Series (Gracemont) → Stepping N95/N100/i3-N305/N200

Intel Xeon (servidor y estaciones de trabajo)

• Sapphire Rapids (Xeon Scalable 4ª gen) → Steppings SPR-SP, SPR-XCC, SPR-MCC
• Emerald Rapids (Xeon Scalable 5ª gen) → Stepping EMR-SP
• Granite Rapids (Xeon Scalable 6ª gen, P-Core) → Steppings GNR-AP, GNR-SP, GNR-D
• Sierra Forest (Xeon Scalable 6ª gen, E-Core) → Stepping SRF-SP
• Xeon SoC 6700P-B / 6500P-B (P-Core) → Stepping GNR-D (B0/B1)

Por eso, aunque Linux reciba primero las versiones de prueba, los usuarios de Windows acabarán ejecutando exactamente el mismo microcódigo cuando Microsoft lo valide y publique como actualización del sistema. O bien, cuando las nuevas BIOS/UEFI estén listas.

Sea como fuere, este microcódigo 20251111 viene a corregir esas 30 vulnerabilidades y a poco que tu CPU sea medianamente actual, estará dentro de las 186 que están afectadas, así que actualizar no es opcional si quieres mantenerse seguro, sea por BIOS, drivers o cualquier aplicación de los azules.