CVE-2026-55040: La omisión de autenticación JWT en SharePoint que ya están explotando los atacantes

Cómo funciona CVE-2026-55040: Un fallo en la validación de JWT

La causa raíz es una falla de autenticación débil (CWE-1390) en el proceso de validación de JWT de SharePoint. Según Rapid7, quien descubrió el error, la vulnerabilidad se origina en varias debilidades distintas en la forma en que las clases SPJsonWebSecurityTokenHandlerV2 y SPJsonWebSecurityBaseTokenHandlerV2 de SharePoint analizan los tokens Bearer de servicio a servicio . Un atacante puede enviar un JWT manipulado que el servidor acepta sin una verificación criptográfica adecuada, lo que efectivamente le permite asumir la identidad de cualquier usuario del sitio de SharePoint o administrador de la granja .

Microsoft describió la falla simplemente: "La función de autenticación podría ser omitida, ya que esta vulnerabilidad permite la suplantación de identidad" . La explotación permite a un atacante divulgar archivos y modificar datos, aunque Microsoft afirma que no puede afectar la disponibilidad del sistema .

Cronología de divulgación y armamento

• 14 de julio de 2026: Microsoft y Rapid7 divulgan CVE-2026-55040 y publican los parches .
• 10 de agosto de 2026: Rapid7 publica un análisis técnico detallado de la vulnerabilidad .
• 12 de agosto de 2026: Rapid7 publica un PoC público como script de Python .
• Días después del 12 de agosto: Los atacantes comienzan a utilizar activamente el exploit en ataques reales .

El investigador de Rapid7, Stephen Fewer, descubrió la falla, señalando que es la primera de una cadena de dos vulnerabilidades que, combinada con una segunda falla (aún bajo embargo), puede lograr ejecución remota de código no autenticada contra servidores SharePoint vulnerables .

Guía de mitigación de CISA

CISA emitió una guía urgente de endurecimiento el 14 y 15 de julio de 2026, y la actualizó a medida que la explotación se intensificaba . Las organizaciones que ejecutan SharePoint local deben tomar las siguientes acciones de inmediato:

• Aplicar las actualizaciones acumulativas de julio de 2026 a todos los servidores SharePoint de la granja. Verifique la instalación exitosa a través del Asistente de configuración de productos de SharePoint o PowerShell; una actualización de Windows por sí sola no garantiza un servicio completo . Las actualizaciones específicas incluyen KB 5002891/KB 5002892 para SharePoint 2016 y KB 5002883 para SharePoint 2019 .
• No exponga los servidores SharePoint directamente a internet. Si se requiere acceso a internet, coloque el servidor detrás de un proxy inverso de Capa 7 o un dispositivo de seguridad de capa de aplicación equivalente que exija autenticación e inspeccione las solicitudes .
• Bloquee el acceso externo a la Administración Central de SharePoint: esta interfaz administrativa nunca debe ser accesible desde internet .
• Habilite y verifique la integración de la Interfaz de análisis de antimalware (AMSI) para cada aplicación web de SharePoint .
• Rote las claves de máquina IIS si hay alguna señal de compromiso, y audite en busca de artefactos de intrusión antes de rotar las credenciales robadas .
• Establezca registros y monitoreo personalizados para detectar patrones de autenticación anómalos, y revise los registros de autenticación y permisos del período anterior a la implementación del parche .

Contexto de explotación más amplio: Otras tres CVE bajo ataque activo

CVE-2026-55040 no es un incidente aislado. El mismo día en que se publicaron los parches, CISA confirmó la explotación activa de tres CVE adicionales de SharePoint :

• CVE-2026-32201 (CVSS 6.5) — Una vulnerabilidad de suplantación debido a una validación de entrada incorrecta, explotada desde al menos abril de 2026 .
• CVE-2026-45659 (CVSS 8.8) — Ejecución remota de código mediante deserialización de datos no confiables. Al 11 de agosto de 2026, CISA confirmó que bandas de ransomware han comenzado a abusar de esta falla .
• CVE-2026-56164 (CVSS 5.3, pero explotable de forma remota sin autenticación) — Una falla de escalada de privilegios que se está utilizando activamente en ataques en cadena para robar claves de máquina IIS y lograr acceso persistente .

Los atacantes están encadenando estas vulnerabilidades: usando CVE-2026-32201 para el acceso inicial, CVE-2026-45659 o CVE-2026-56164 para la ejecución de código, y CVE-2026-55040 como un multiplicador de fuerza para la omisión de autenticación . La campaña de explotación coordinada ha sido denominada la "cadena SharePoint" por algunos investigadores .