Microsoft Parchea la Vulnerabilidad de Ejecución Remota de Código CVE-2026-45659 en SharePoint en un Entorno de Amenazas Creciente

Microsoft ha lanzado un parche de emergencia para una nueva y peligrosa vulnerabilidad en SharePoint Server, apenas dos semanas después de su actualización programada del "Martes de Parches". El fallo, denominado CVE-2026-45659, permite a un atacante con credenciales de inicio de sesión básicas tomar el control total de un servidor, lo que subraya un patrón alarmante de fallos críticos en las implementaciones locales de SharePoint. Para los equipos de seguridad que gestionan sus propias granjas de SharePoint, esto no es un parche más, sino una prioridad urgente.

Análisis de la Vulnerabilidad: Cómo Funciona CVE-2026-45659

CVE-2026-45659 es un tipo de fallo de software clásico y peligroso: una vulnerabilidad de deserialización de datos no confiables, formalmente rastreada como CWE-502 . En términos sencillos, SharePoint acepta y procesa "paquetes" de datos complejos de los usuarios. Debido a este fallo, un atacante puede crear un paquete malicioso que, cuando es "desempaquetado" (deserializado) por el servidor, ejecuta el código que el atacante desee.

Las especificaciones técnicas de la vulnerabilidad la hacen fácil de explotar:

• Puntuación CVSS 3.1: 8.8, catalogada como de gravedad Alta .
• Vector de Ataque: Basado en la red .
• Complejidad del Ataque: Baja .
• Privilegios Requeridos: Bajos. Un atacante solo necesita privilegios básicos de Miembro de Sitio en el servidor SharePoint .
• Interacción del Usuario: Ninguna. El ataque no requiere que usuarios desprevenidos hagan clic en un enlace o descarguen un archivo .
• Impacto: Alto en la confidencialidad, integridad y disponibilidad. Una explotación exitosa puede llevar al compromiso total del sistema y a una filtración de datos .

Esta combinación de bajos privilegios, nula interacción del usuario y acceso basado en red convierte a este fallo en un objetivo prioritario para los atacantes, ya que una sola cuenta de usuario estándar comprometida puede ser la puerta de entrada al control total del servidor.

Versiones Afectadas

Se trata de un problema para entornos locales. La vulnerabilidad afecta a las siguientes tres versiones de SharePoint Server. SharePoint Online no está afectado .

• Microsoft SharePoint Server Subscription Edition (versiones anteriores a la compilación 16.0.5552.1002) .
• Microsoft SharePoint Server 2019 (versiones anteriores a la compilación 16.0.10417.20128) .
• Microsoft SharePoint Enterprise Server 2016 (versiones anteriores a la compilación 16.0.5552.1002) .

Para cada versión afectada, Microsoft ha proporcionado una actualización y un número de compilación específicos que los administradores pueden usar para verificar su nivel de parche. El parche se puso a disposición el 12 de mayo de 2026 como parte de una actualización de seguridad estándar, pero se enfatizó aún más tras aclararse su gravedad .

Un Patrón Más Amplio de Ataques de Deserialización en SharePoint

CVE-2026-45659 no es un incidente aislado. Es el último de una serie de vulnerabilidades de deserialización en SharePoint de alto impacto que han plagado las implementaciones locales.

Un ejemplo clave es CVE-2026-20963, un fallo similar que llegó a tener una puntuación CVSS confirmada de 9.8 y fue tan peligroso que la Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA, por sus siglas en inglés) lo añadió a su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV) el 18 de marzo de 2026, tras confirmar su explotación activa . El CERT de la Unión Europea (CERT-EU) informó que Microsoft tuvo que actualizar su aviso para CVE-2026-20963 para aclarar que la vulnerabilidad era explotable por un atacante no autenticado, es decir, ni siquiera se requería un inicio de sesión .

Otros fallos relacionados, como CVE-2026-33110, también implican la deserialización de datos no confiables y afectan a las mismas líneas de productos . El patrón es claro: los atacantes e investigadores de seguridad están analizando con lupa los mecanismos de deserialización de SharePoint, y se están descubriendo fallos críticos a un ritmo alarmante. Esta tendencia hace que la aplicación de parches de forma ágil y rigurosa sea más crítica que nunca para los administradores de SharePoint.

Estrategias de Mitigación y Defensa

Aplicar el parche es la única solución completa, pero un enfoque de defensa en profundidad proporciona una protección adicional. Para las organizaciones que deben ejecutar SharePoint de forma local, estos son los pasos recomendados:

1. Aplica el Parche de Inmediato: Esta es la acción más importante. Localiza y despliega la actualización de seguridad específica para tu versión de SharePoint, priorizando cualquier servidor accesible desde Internet .
2. Revisa y Restringe los Privilegios de Usuario: Dado que CVE-2026-45659 solo requiere acceso de Miembro de Sitio, una revisión exhaustiva de los permisos de usuario es fundamental. Adopta el principio de mínimo privilegio y elimina los accesos de usuario innecesarios .
3. Refuerza la Monitorización del Servidor: Despliega una solución de detección y respuesta de punto final (EDR, por sus siglas en inglés) para buscar actividad de post-explotación. Los equipos de seguridad deben vigilar la creación de procesos sospechosos desde el grupo de aplicaciones de SharePoint (w3wp.exe), las conexiones de red salientes inusuales o la aparición de web shells, y el comportamiento anómalo de las cuentas de servicio.
4. Verifica la Solución de Fallos Relacionados: El parche para CVE-2026-45659 es esencial, pero un servidor sigue siendo vulnerable si aún no se ha parcheado contra CVE-2026-20963, activamente explotado. Aprovecha este ciclo de parches para confirmar que todas las actualizaciones de seguridad de SharePoint relacionadas han sido aplicadas .
5. Reduce la Superficie de Ataque: Si los servidores de SharePoint no necesitan ser accesibles desde la Internet pública, implementa restricciones a nivel de red para bloquear todo acceso externo. Para los servicios que deben estar expuestos al público, asegúrate de que estén detrás de un cortafuegos de aplicaciones web (WAF) configurado con reglas para bloquear ataques de deserialización comunes.