Se han detectado vulnerabilidades en Microsoft SharePoint Server que están siendo explotadas activamente para lograr la ejecución remota de código (RCE), instalar web shells persistentes y robar claves criptográficas. Estos fallos afectan a las versiones Subscription Edition, 2019 y anteriores, exponiendo las implementaciones locales al robo de datos, ransomware y accesos no autorizados prolongados.

Se están explotando activamente fallos en Microsoft SharePoint Server para lograr la ejecución remota de código, instalar web shells persistentes y robar claves criptográficas de sistemas expuestos.

Los ataques ponen en riesgo las implementaciones de SharePoint locales (on-premises) ante el robo de datos, el compromiso de la red, el ransomware y el acceso no autorizado prolongado.

El problema afecta a SharePoint Server Subscription Edition, SharePoint Server 2019 y SharePoint Server 2016.

Los atacantes pueden encadenar la omisión de autenticación, el procesamiento de datos inseguro y fallos de validación de entrada para convertir un servidor de colaboración orientado a Internet en un punto de entrada para la red corporativa más amplia.

Investigadores de Resecurity identificaron que la campaña puede pasar rápidamente de una solicitud web manipulada a un compromiso más profundo de SharePoint, IIS, SQL Server y recursos conectados a Active Directory.

Resecurity señaló en un informe que el robo de claves de máquina de IIS puede ayudar a los atacantes a mantener el acceso incluso después de que se haya parcheado la vulnerabilidad inicial.

Esta actividad se suma a la creciente preocupación en torno a la infraestructura de SharePoint expuesta al público, donde un único servidor vulnerable puede contener documentos sensibles y mantener conexiones confiables con otros sistemas empresariales.

Tú también puedes revisar la cobertura anterior sobre la RCE del servidor SharePoint para obtener antecedentes sobre la debilidad de deserialización que afecta a la plataforma.

Vulnerabilidades de Microsoft SharePoint

Los fallos explotados activamente incluyen CVE-2026-32201, CVE-2026-45659 y CVE-2026-56164, los cuales han sido añadidos al catálogo de Vulnerabilidades Explotadas Conocidas de la CISA.

CVE-2026-45659 permite que un miembro del sitio ejecute código remotamente, mientras que CVE-2026-56164 puede permitir que un atacante no autenticado acceda a una función crítica sin la autenticación adecuada.

Tras lograr la ejecución de código, los atacantes pueden colocar una web shell en el servidor de SharePoint y usarla para ejecutar comandos, cargar archivos o mantener el acceso.

Este enfoque se asemeja a otros ataques de web shell contra IIS, donde un servidor web comprometido se convierte en un punto de apoyo silencioso y duradero dentro de una organización.

Un paso particularmente grave es el robo de los valores de machineKey de ASP.NET contenidos en los archivos de configuración de SharePoint.

Esas claves se utilizan para proteger los datos de la aplicación, y su robo puede permitir que un atacante cree datos de ViewState o material de autenticación con apariencia confiable, ayudándoles a preservar el acceso después de que se elimine una web shell.

El informe también advierte que los atacantes pueden añadir módulos de IIS maliciosos que se cargan con los procesos trabajadores y sobreviven a los reinicios.

Una vez dentro de una granja de SharePoint, la cuenta de servicio comprometida podría usarse para acceder a bases de datos, encontrar credenciales adicionales y desplazarse hacia los recursos del dominio u otros sistemas internos.

Parcheo y Búsqueda de Amenazas (Threat Hunting)

Las organizaciones deben aplicar inmediatamente las actualizaciones de seguridad de SharePoint de julio de 2026 de Microsoft en cada servidor de la granja y confirmar que las versiones actualizadas estén instaladas.

El informe también recomienda tratar los servidores de SharePoint no parcheados y expuestos a Internet como sistemas de alta prioridad para la respuesta a incidentes y la búsqueda de amenazas.

Los administradores deben habilitar la integración de AMSI para cada aplicación web y utilizar el modo de Escaneo Completo del Cuerpo de la Solicitud (Full Request Body Scan) donde sea práctico.

Restringir la exposición directa a Internet, colocar los servicios externos detrás de una capa de inspección autenticada, limitar la comunicación con la base de datos y bloquear el acceso a la Administración Central puede reducir la posibilidad de que un servidor comprometido se convierta en una brecha mayor.

Quienes defiendan la red deben revisar los registros de IIS, los Eventos de Windows y los registros ULS de SharePoint en busca de solicitudes inusuales, archivos nuevos inesperados, lanzamientos de procesos sospechosos desde los procesos trabajadores de IIS y cambios en los módulos de IIS o en la configuración de la clave de máquina.

El estado del catálogo de la CISA es importante porque refleja una explotación confirmada, como se describe en el informe de expansión del catálogo CISA KEV.

Si sospechas de un compromiso, tu equipo debe aislar los servidores afectados, eliminar los mecanismos de persistencia, investigar todos los miembros de la granja y restablecer las credenciales de las cuentas de servicio pertinentes.

Las claves de máquina de IIS deben rotarse solo después de que los equipos de respuesta estén seguros de que el entorno está limpio, ya que rotarlas demasiado pronto puede permitir que un intruso conserve otras formas de acceso.

Indicadores de compromiso (IoCs):-

Tipo	Indicador	Descripción
Nombre de archivo de web shell	spinstall0.aspx	Web shell identificada en la fuente como utilizada para extraer material de machineKey desde web.config.
Endpoint sospechoso	/_layouts/15/ToolPane.aspx	Las solicitudes POST con modo de visualización de edición fueron enumeradas como un indicador de búsqueda de acceso inicial.
Endpoint sospechoso	/_layouts/16/ToolPane.aspx	Las solicitudes POST con modo de visualización de edición fueron enumeradas como un indicador de búsqueda de acceso inicial.
Ruta de referer falsificada	/_layouts/SignOut.aspx	Valor de referer asociado con intentos de omitir controles o alcanzar endpoints privilegiados.
Proceso	w3wp.exe	Proceso trabajador de IIS; sospechoso cuando genera shells de comandos, PowerShell o compiladores.
Proceso	cmd.exe	Proceso hijo de w3wp.exe resaltado como actividad sospechosa.
Proceso	powershell.exe	Proceso hijo de w3wp.exe resaltado como actividad sospechosa.
Proceso	csc.exe	Proceso hijo de w3wp.exe resaltado como actividad sospechosa.
Artefacto de persistencia	FarmAuthNative.dll	Módulo nativo de IIS no autorizado nombrado en la simulación de brecha hipotética del informe.
Nombre de cookie	FarmAuth	Valor de cookie utilizado para activar el hipotético módulo malicioso de IIS.
Endpoint del manejador	AssetHandler.axd	Endpoint del manejador ASP.NET utilizado en la simulación de brecha hipotética del informe.

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/microsoft-sharepoint-vulnerabilities/