Se ha publicado una prueba de concepto (PoC) para la vulnerabilidad CVE-2026-45504, un fallo de falsificación de solicitudes del lado del servidor (SSRF) de severidad alta en Microsoft Exchange Server. Este error permite la escalada de privilegios mediante la lectura de archivos arbitrarios y afecta a las versiones 2016 y 2019 (incluyendo la Subscription Edition). Microsoft ya ha lanzado las actualizaciones de seguridad correspondientes el 9 de junio de 2026 para solucionar este problema.

Ya está disponible un exploit de prueba de concepto público para CVE-2026-45504, una vulnerabilidad de falsificación de solicitud del lado del servidor (SSRF) de gravedad alta en Microsoft Exchange Server que permite la escalada de privilegios mediante la lectura de archivos arbitrarios.

El fallo afecta a las versiones locales de Exchange Server 2016 y 2019, incluida la Subscription Edition, y se soluciona en las actualizaciones de seguridad de Microsoft del 9 de junio de 2026.

CVE-2026-45504 surge de la forma en que Exchange se integra con SharePoint y WOPI al generar URLs de vista previa de documentos WAC.

En el flujo vulnerable, Exchange utiliza funciones auxiliares como GetTokenRequestWebResponse y GetWacUrl, que llaman a OneDriveProUtilities.TryTwice para emitir solicitudes HTTP basadas en URLs influenciadas por el atacante y luego analizan una respuesta XML de OData para obtener WebApplicationUrl, AccessToken y AccessTokenTtl.

Debido a que Exchange no valida el esquema de la URL del campo WebApplicationUrl devuelto por el proveedor de WOPI, un atacante puede proporcionar un esquema que no sea HTTP, el cual se utiliza posteriormente tal cual para construir la URL final de WAC.

PoC de Escalada de Privilegios de Exchange

Esta falta de validación convierte una primitiva de SSRF en un potente problema de lectura de archivos arbitrarios en el propio servidor Exchange.

El exploit se basa en un sutil truco de manejo de URI que involucra el carácter de fragmento #. Si el endpoint de WOPI controlado por el atacante devuelve una WebApplicationUrl como file:///C:/windows/win.ini#.

Entonces Exchange añade parámetros de consulta OAuth, formando una URL como file:///C:/windows/win.ini#&access_token=...&access_token_ttl=...&sc=.... Todo lo que sigue al # es tratado como un fragmento e ignorado por el analizador de URI, por lo que la ruta efectiva sigue siendo file:///C:/windows/win.ini.

Como resultado, Exchange emite una solicitud file:// a través de FileWebRequest, lee el archivo local y devuelve su contenido al solicitante a través de los servicios de Exchange.

Al elegir rutas sensibles, un atacante puede exfiltrar archivos de configuración, material de credenciales y otros secretos que faciliten la escalada de privilegios y un compromiso mayor.

Para aprovechar este comportamiento, un atacante solo necesita una cuenta de Exchange con pocos privilegios que tenga un buzón y acceso de red al servidor Exchange.

El ataque utiliza normalmente los Exchange Web Services creando un ReferenceAttachment cuyo ProviderEndpointUrl apunta a un servidor controlado por el atacante.

Cuando la víctima abre o previsualiza este adjunto en Outlook en la web o en otro cliente de Exchange, Exchange invoca automáticamente la cadena de adquisición de tokens WOPI, enviando una solicitud GetWopiTargetPropertiesByUrl al endpoint del atacante.

La respuesta maliciosa de WOPI inyecta la WebApplicationUrl de file:// manipulada, activando la lectura del archivo local.

Según HawkTrace, un PoC público demuestra lecturas de archivos arbitrarios en Exchange Server 2019, incluido C:\Windows\win.ini, lo que facilita la explotación en el mundo real.

Microsoft clasifica el problema como una vulnerabilidad de elevación de privilegios con una puntuación CVSS v3.1 de 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), enfatizando un alto impacto en la confidencialidad, integridad y disponibilidad cuando se explota a través de la red por un usuario autenticado con bajos privilegios.

Las actualizaciones de seguridad están disponibles para Exchange Server 2016 Cumulative Update 23, Exchange Server 2019 Cumulative Updates 14 y 15, y Exchange Server Subscription Edition RTM bajo KB5094144, KB5094142, KB5094140 y KB5094139, respectivamente.

La evaluación inicial de explotabilidad de Microsoft calificó la explotación como improbable, pero la publicación de código de exploit funcional aumenta el riesgo de que los actores de amenazas adopten esta técnica contra entornos no parcheados.

Los administradores de despliegues locales de Exchange deben aplicar urgentemente las actualizaciones de seguridad del 9 de junio de 2026 y verificar que sus servidores coincidan con los números de compilación parcheados referenciados en la documentación de Microsoft.

A la espera de una cobertura completa del parche, las organizaciones pueden reducir la exposición reforzando el acceso a los endpoints de Exchange y EWS, restringiendo el tráfico saliente de los servidores Exchange hacia hosts no confiables y monitoreando adjuntos de referencia de EWS sospechosos que apunten a dominios externos desconocidos.

Desde el punto de vista de la detección, correlacionar solicitudes de tokens WOPI/WAC inusuales con conexiones salientes a la infraestructura del atacante y accesos inesperados a archivos locales en los hosts de Exchange puede ayudar a identificar intentos de explotar CVE-2026-45504 en el entorno real.

Fuentes:
https://cybersecuritynews.com/poc-exploit-released-exchange-vulnerability/