Una amenaza latente para la infraestructura corporativa
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de los Estados Unidos ha emitido una advertencia urgente para las organizaciones a nivel global: una vulnerabilidad de alta gravedad en Microsoft SharePoint está siendo explotada activamente por grupos de ransomware.
Este fallo de seguridad, identificado técnicamente como CVE-2026-45659, permite la ejecución remota de código (RCE) en servidores que no han sido debidamente actualizados. Aunque la vulnerabilidad fue detectada y reportada inicialmente en julio, la confirmación de que bandas de cibercriminales dedicadas a la extorsión mediante cifrado de datos la han incorporado a su arsenal eleva significativamente el nivel de riesgo para las empresas.
Análisis técnico: ¿Por qué es tan peligrosa?
La vulnerabilidad CVE-2026-45659 se origina en una debilidad de deserialización de datos no confiables. En términos sencillos, esto significa que un atacante puede enviar información maliciosa al servidor de SharePoint y, si este la procesa, el atacante logra ejecutar comandos arbitrarios con privilegios de usuario.
Microsoft ha señalado que este ataque es de baja complejidad, lo que implica que el atacante no requiere conocimientos profundos del sistema interno de la víctima ni configuraciones complejas para tener éxito. Los sistemas afectados incluyen:
- SharePoint Enterprise Server 2016
- SharePoint Server 2019
- SharePoint Server Subscription Edition
El factor Ransomware: El acceso inicial
Para los grupos de ransomware, SharePoint es un objetivo de alto valor debido a que suele centralizar gran parte de la documentación estratégica y operativa de una organización. Explotar esta vulnerabilidad les otorga un punto de entrada inicial desde el cual pueden escalar privilegios, moverse lateralmente por la red corporativa y, finalmente, desplegar el malware que cifra los archivos y exige un rescate.
Según datos de Shadowserver, actualmente existen más de 8,500 servidores de SharePoint expuestos en internet, de los cuales una parte considerable aún no ha aplicado los parches de seguridad necesarios, quedando a merced de estos ataques automatizados.
Recomendaciones de seguridad para su organización
Desde el equipo de ciberseguridad de Intedya, instamos a los responsables de IT y seguridad de la información a tomar las siguientes medidas de mitigación inmediata:
- Actualización prioritaria: Aplicar los parches de seguridad emitidos por Microsoft para las versiones afectadas de SharePoint de forma inmediata.
- Monitoreo de integridad: Habilitar la interfaz de escaneo de antimalware de Windows (AMSI) para aplicaciones web de SharePoint, lo que permite una detección más profunda de scripts maliciosos.
- Detección proactiva: Utilizar soluciones de detección y respuesta (EDR) para identificar signos de compromiso, como ejecuciones de procesos inusuales originadas desde servicios de SharePoint.
- Reducción de la exposición: Evaluar si es estrictamente necesario que el servidor de SharePoint sea accesible directamente desde internet o si puede protegerse mediante una VPN o soluciones de acceso seguro (Zero Trust).
La gestión de vulnerabilidades no es solo una tarea técnica, sino un pilar fundamental de la continuidad de negocio. La rapidez en la respuesta es, en muchos casos, la única diferencia entre un intento de ataque fallido y un incidente de ransomware devastador.
Fuentes
- Bleeping Computer — CISA: Microsoft SharePoint flaw now exploited in ransomware attacks
https://www.bleepingcomputer.com/news/security/cisa-microsoft-sharepoint-flaw-now-exploited-in-ransomware-attacks/