Alerta crítica para usuarios de Microsoft SharePoint
Recientemente se ha detectado una campaña de explotación activa dirigida contra una vulnerabilidad crítica en Microsoft SharePoint, identificada como CVE-2026-50522. Este fallo de seguridad no solo permite la ejecución remota de código (RCE), sino que está siendo utilizado por actores malintencionados para sustraer las claves de máquina (machine keys) de los servidores afectados.
¿En qué consiste la vulnerabilidad CVE-2026-50522?
Desde una perspectiva técnica, este fallo se clasifica como una vulnerabilidad de deserialización de datos no confiables. En términos empresariales, esto significa que un atacante remoto puede enviar información malformada al servidor SharePoint y, sin necesidad de autenticación previa, lograr que el sistema ejecute órdenes arbitrarias a través de la red.
Aunque Microsoft abordó este problema en sus actualizaciones de seguridad de julio, la aparición de pruebas de concepto (PoC) públicas en plataformas como GitHub ha acelerado drásticamente los ataques. Según firmas de inteligencia de amenazas, los intentos de compromiso comenzaron apenas unas horas después de que el código de explotación se hiciera público.
El robo de Machine Keys: Un riesgo de persistencia a largo plazo
Lo que hace que este ataque sea particularmente peligroso para la continuidad del negocio es el robo de las machine keys. Al obtener estas claves, los atacantes pueden:
- Falsificar tokens de autenticación: Crear identidades válidas para suplantar a cualquier usuario de la organización.
- Acceso persistente: Incluso si la empresa aplica el parche de seguridad de Microsoft, si las claves ya han sido robadas, el atacante puede seguir accediendo a documentos, sitios de SharePoint y recursos confidenciales como si fuera un usuario legítimo.
- Evasión de defensas: Al utilizar tokens que el sistema considera legítimos, las actividades maliciosas suelen pasar desapercibidas para muchas herramientas de monitoreo estándar.
Recomendaciones de seguridad de Intedya
Para proteger la infraestructura de su organización y garantizar la integridad de sus datos, desde el área de ciberseguridad de Intedya recomendamos las siguientes acciones inmediatas:
- Actualización inmediata: Aplicar los parches de seguridad de Microsoft correspondientes a julio de 2026 en todos los despliegues de SharePoint on-premise.
- Rotación de credenciales y claves: No basta con parchear. Es imperativo rotar las claves de máquina y las credenciales de las cuentas de servicio en cualquier servidor que haya estado expuesto a internet antes de la actualización.
- Auditoría de registros: Revisar los logs de autenticación en busca de patrones inusuales o accesos desde ubicaciones geográficas no habituales.
- Monitoreo de red: Implementar soluciones de detección y respuesta (EDR/XDR) que puedan identificar comportamientos anómalos tras la explotación de vulnerabilidades de deserialización.
La ciberseguridad no es un estado estático, sino un proceso de mejora continua. Mantener sus sistemas actualizados y contar con protocolos de respuesta ante incidentes es fundamental para la resiliencia de su empresa.
Fuentes
- Bleeping Computer — Critical SharePoint RCE flaw exploited to steal machine keys
https://www.bleepingcomputer.com/news/security/critical-sharepoint-rce-flaw-exploited-to-steal-machine-keys/