Una vulnerabilidad crítica de tipo zero-day de suplantación de identidad en Microsoft SharePoint Server está siendo explotada activamente, confirmó Microsoft el 14 de abril de 2026 como parte de su ciclo mensual de actualizaciones de seguridad. Identificada como CVE-2026-32201, la falla afecta a múltiples versiones de SharePoint Server y ha recibido una puntuación base CVSS de 6.5 (Importante).

Una vulnerabilidad crítica de zero-day de suplantación de identidad (spoofing) en Microsoft SharePoint Server está siendo explotada activamente, confirmó Microsoft el 14 de abril de 2026 como parte de su ciclo mensual de actualizaciones de seguridad.

Registrada como CVE-2026-32201, la falla afecta a múltiples versiones de SharePoint Server y ha sido calificada con una puntuación base CVSS de 6.5 (Importante), con una puntuación temporal ajustada de 6.0 que refleja la disponibilidad de una solución oficial.

La vulnerabilidad surge de una validación incorrecta de entradas (CWE-20) en Microsoft Office SharePoint, lo que permite a un atacante remoto no autenticado realizar ataques de suplantación a través de la red.

Con un vector de ataque clasificado como Red, una complejidad de ataque Baja y sin necesidad de privilegios ni interacción del usuario, la falla representa un punto de entrada de bajo umbral para actores de amenazas que apuntan a implementaciones empresariales de SharePoint.

Según el aviso de Microsoft, la explotación exitosa podría permitir a un atacante ver cierta información sensible y manipular datos revelados, aunque la disponibilidad del recurso afectado permanece inalterada.

Aunque el impacto individual en la confidencialidad e integridad está calificado como Bajo, la combinación de no requerir autenticación y la explotación activa confirmada eleva significativamente el riesgo en el mundo real.

0-Day explotado activamente

El aviso de Microsoft confirma que la vulnerabilidad tiene una evaluación de "Explotación Detectada", lo que significa que ya se han observado ataques activos antes del lanzamiento del parche.

La madurez del código de explotación está marcada como Funcional, y la confianza en el informe es Confirmada, una combinación que coloca esta vulnerabilidad en la cima de las listas de prioridad de parcheo empresarial.

La falla no fue divulgada públicamente antes del lanzamiento del parche de Microsoft, lo que sugiere que pudo haber sido utilizada como un verdadero zero-day por actores de amenazas antes de que fuera posible una divulgación coordinada.

Microsoft ha lanzado actualizaciones de seguridad para las tres versiones afectadas de SharePoint Server:

• SharePoint Server Subscription Edition — KB5002853, Build 16.0.19725.20210
• SharePoint Server 2019 — KB5002854, Build 16.0.10417.20114
• SharePoint Enterprise Server 2016 — KB5002861, Build 16.0.5548.1003

Las tres actualizaciones se lanzaron el 14 de abril de 2026, y Microsoft ha marcado la acción del cliente como requerida para cada producto afectado. Las organizaciones deben tratar estos parches como actualizaciones de emergencia, dado el estado de explotación confirmado.

• Aplica las actualizaciones de seguridad correspondientes de inmediato para todas las versiones afectadas de SharePoint Server
• Audita los registros de acceso de SharePoint Server en busca de actividad inusual de suplantación basada en red o patrones de autenticación anómalos
• Restringe las instancias de SharePoint expuestas externamente cuando sea posible hasta que se apliquen los parches
• Monitorea los feeds de inteligencia de amenazas en busca de indicadores de compromiso (IOCs) asociados con campañas de explotación activa
• Asegúrate de que las instancias de SharePoint Server no estén expuestas directamente a internet sin defensas adicionales en capas, como reglas WAF o segmentación de red

SharePoint Server sigue siendo una de las plataformas de colaboración empresarial más desplegadas a nivel mundial, lo que la convierte en un objetivo de alto valor tanto para actores estatales como para grupos de amenazas con motivaciones financieras.

Las vulnerabilidades de suplantación en herramientas de colaboración pueden ser aprovechadas como puntos de apoyo iniciales para movimientos laterales, recolección de credenciales o ataques de compromiso de correo electrónico empresarial.

Las organizaciones que ejecutan implementaciones locales de SharePoint, especialmente aquellas aún en las versiones 2016 o 2019, deben priorizar este parche dado el estado de explotación confirmado en la naturaleza.

Microsoft ha reconocido los esfuerzos de divulgación coordinada de la comunidad de seguridad en relación con esta vulnerabilidad.