Una vulnerabilidad crítica de suplantación de identidad (spoofing) en Microsoft SharePoint Server, identificada como CVE-2026-32201, sigue sin parchearse en más de 1.370 direcciones IP expuestas a internet en todo el mundo, según datos recientes de escaneo de la Shadowserver Foundation. Esto ocurre a pesar de que la falla figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, con confirmación de explotación activa en entornos reales.

El CVE-2026-32201 se origina en una validación incorrecta de entradas (CWE-20) dentro del componente de procesamiento de solicitudes de Microsoft Office SharePoint Server. Al enviar peticiones de red especialmente diseñadas, un atacante remoto no autenticado puede eludir los controles de autenticación y realizar ataques de suplantación, haciéndose pasar por usuarios legítimos para acceder o manipular datos sensibles de la organización.

El aviso de Microsoft confirma que una explotación exitosa puede permitir a un atacante ver información sensible y realizar cambios en los datos expuestos, aunque la disponibilidad del servicio no se vea afectada directamente.

La vulnerabilidad tiene una puntuación base CVSS v3.1 de 6.5 (severidad Media), pero los investigadores de seguridad advierten que su peligro en el mundo real supera con creces esta calificación.

El vector de ataque es completamente basado en red (AV:N), requiere baja complejidad (AC:L), no necesita privilegios (PR:N) ni interacción del usuario (UI:N), una combinación peligrosa para cualquier plataforma de colaboración empresarial expuesta a internet.

Servidores Microsoft SharePoint vulnerables

Microsoft reveló el CVE-2026-32201 el 14 de abril de 2026, como parte de su ciclo de actualizaciones de Patch Tuesday de abril, que abordó un total de 169 vulnerabilidades.

La falla afecta a versiones locales de SharePoint Server, incluyendo 2016, 2019 y la Edición de Suscripción. CISA añadió simultáneamente la vulnerabilidad a su catálogo KEV el 14 de abril, citando evidencia confirmada de explotación activa, y estableció una fecha límite de remediación federal para el 28 de abril de 2026.

La rápida inclusión en el KEV de CISA, alineada con el lanzamiento del parche de Microsoft, señala la gravedad con la que los actores de amenazas están atacando activamente la infraestructura SharePoint sin parchear.

Este patrón refleja la campaña de explotación "ToolShell" de 2025, en la que cientos de clientes de SharePoint fueron blanco de vulnerabilidades encadenadas en SharePoint: CVE-2025-49704 y CVE-2025-49706.

Los datos de escaneo de la Shadowserver Foundation revelan que 1.370 direcciones IP sin parchear siguen expuestas al CVE-2026-32201 hasta el 20 de abril de 2026, rastreadas bajo las fuentes http_vulnerable y http_vulnerable6. La distribución geográfica de los sistemas expuestos es alarmante:

• América del Norte: 677 (la mayor parte, con Estados Unidos representando 587 IPs)
• Europa: 452
• Asia: 144
• Oceanía: 33
• América del Sur: 33
• África: 31

Los datos del mapa mundial confirman que Estados Unidos tiene la mayor concentración de implementaciones vulnerables de SharePoint, con Canadá contribuyendo con 70 IPs adicionales expuestas. La exposición en Europa también es significativa, con grupos observados en Alemania, Francia y el Reino Unido.

A pesar de su calificación CVSS "Media", el CVE-2026-32201 representa un riesgo grave para cualquier organización que ejecute un servidor SharePoint local expuesto a internet.

La naturaleza de explotación previa a la autenticación significa que no se necesitan credenciales: cualquier instancia de SharePoint accesible desde la red es un objetivo potencial. La explotación puede llevar al robo de credenciales, exfiltración de datos, acceso no autorizado a documentos y posible movimiento lateral hacia redes empresariales más amplias.

Mitigaciones recomendadas

Las organizaciones deben tomar las siguientes medidas inmediatas:

• Aplicar las actualizaciones de seguridad de Patch Tuesday de abril de 2026 de Microsoft para todas las versiones compatibles de SharePoint Server (2016, 2019, Edición de Suscripción).
• Auditar las implementaciones de SharePoint expuestas a internet y restringir la exposición pública cuando sea posible.
• Monitorear actividades de autenticación anómalas e indicadores de sesiones suplantadas.
• Consultar el catálogo KEV de CISA y priorizar la remediación del CVE-2026-32201 antes de la fecha límite federal del 28 de abril .
• Utilizar los informes de escaneo gratuitos de Shadowserver para identificar activos vulnerables dentro del perímetro de tu red.

Con más de mil sistemas vulnerables aún expuestos más de una semana después de la disponibilidad del parche, las organizaciones que ejecutan SharePoint Server local enfrentan una ventana urgente para remediar antes de que los actores de amenazas escalen sus campañas de explotación.