CISA añade el fallo CVE-2026-45659 de SharePoint a su catálogo de vulnerabilidades explotadas
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha emitido una alerta crítica al incluir una vulnerabilidad de alta severidad que afecta a Microsoft SharePoint Server en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Esta decisión se basa en evidencias claras de que actores de amenazas están aprovechando activamente este fallo para comprometer redes corporativas.
¿En qué consiste el fallo CVE-2026-45659?
La vulnerabilidad, identificada como CVE-2026-45659, presenta una puntuación de severidad CVSS de 8.8. Técnicamente, se trata de un problema de ejecución remota de código (RCE) que surge de la deserialización de datos no confiables.
En términos empresariales, esto significa que un atacante puede enviar datos malformados al servidor que, al ser procesados, permiten al atacante ejecutar comandos o software malicioso con los mismos privilegios que el servicio de SharePoint. Aunque Microsoft lanzó parches en mayo de 2026, la persistencia de sistemas sin actualizar ha permitido que los atacantes encuentren una ventana de oportunidad.
Impacto y alcance en la infraestructura
Microsoft ha advertido que el ataque no requiere privilegios de administrador ni niveles elevados de acceso. Un atacante autenticado con permisos mínimos de «Miembro del sitio» (Site Member) podría desencadenar la vulnerabilidad a través de la red, lo que aumenta significativamente el riesgo interno y la posibilidad de movimiento lateral tras un compromiso inicial de credenciales.
Las versiones afectadas incluyen:
- SharePoint Server Subscription Edition
- SharePoint Server 2019
- SharePoint Enterprise Server 2016
Contexto de amenaza: Ransomware y ataques paralelos
El riesgo se ve agravado por informes recientes de Microsoft que detallan cómo múltiples grupos de amenazas están operando simultáneamente. Se ha identificado al actor Storm-2603, conocido por desplegar el ransomware Warlock, explotando vulnerabilidades en servidores SharePoint locales para obtener acceso inicial.
Lo más preocupante para los equipos de respuesta a incidentes es la detección de «ataques paralelos», donde dos atacantes no relacionados coexisten en la misma red, utilizando técnicas de DLL side-loading y puertas traseras personalizadas para ocultar su actividad y asegurar la persistencia.
Recomendaciones de Intedya para la continuidad de negocio
Desde la perspectiva de gestión de riesgos y ciberseguridad que promovemos en Intedya, la remediación inmediata es la única vía para garantizar la integridad de la información. Recomendamos las siguientes acciones:
- Actualización Inmediata: Aplicar los parches de seguridad proporcionados por Microsoft para todas las instancias de SharePoint Server.
- Revisión de Permisos: Auditar los niveles de acceso de los usuarios, aplicando el principio de mínimo privilegio para limitar el alcance de posibles cuentas comprometidas.
- Monitoreo de Logs: Supervisar los registros de los servidores SharePoint en busca de solicitudes inusuales de archivos de configuración (como
web.config) o comportamientos anómalos en la deserialización de datos. - Gestión de Vulnerabilidades: Integrar el catálogo KEV de CISA en sus procesos de evaluación de riesgos para priorizar la mitigación de fallos que ya están siendo utilizados en el mundo real.
La ciberseguridad no es un estado estático, sino un proceso continuo de vigilancia y cumplimiento normativo. Mantener sus sistemas actualizados es el
Fuentes
- The Hacker News — SharePoint RCE CVE-2026-45659 Added to CISA KEV After Active Exploitation
https://thehackernews.com/2026/07/sharepoint-rce-cve-2026-45659-added-to.html