SharePoint, CVE-2026-50522 explotada: el parche no basta

El ColCERT, el CSIRT nacional de Colombia, ha publicado la alerta COLCERT AL-20260804-108 sobre CVE-2026-50522, una vulnerabilidad crítica de Microsoft SharePoint Server en instalaciones on-premises. Según la alerta, el fallo se explota activamente y el objetivo de los atacantes no es solo entrar en el servidor, sino quedarse: roban las claves criptográficas con las que SharePoint firma los tokens de sesión y con ellas conservan el acceso incluso después de instalar el parche.

Este artículo se basa en una sola fuente, la alerta del ColCERT (fechada el 4 de agosto de 2026), que a su vez cita el boletín de Microsoft, el catálogo KEV de CISA, el NVD y un aporte del Canadian Centre for Cyber Security (CCCS) difundido en la red CSIRT Américas: a continuación, cada información se atribuye a la entidad colombiana.

Cronología

Según el ColCERT:

• 14 de julio de 2026: Microsoft corrige la vulnerabilidad en su actualización mensual, con la valoración «explotación más probable», pero sin ataques conocidos;
• 20 de julio: se publica una prueba de concepto funcional y, pocas horas después, las redes de sensores de los investigadores registran explotaciones exitosas contra servidores reales;
• 22 de julio: CISA incluye la CVE en el catálogo KEV, con plazo hasta el 25 de julio para las agencias federales de Estados Unidos;
• 27 de julio: el CCCS comunica la vulnerabilidad a la red CSIRT Américas, con CVSS 9.8 y clasificación SSVC «Act» (intervención inmediata).

Detalles técnicos

• CVE: CVE-2026-50522, CVSS 3.1 9.8 (crítica), incluida en el catálogo KEV de CISA.
• Debilidad: deserialización de datos no confiables (CWE-502), que lleva a la ejecución remota de código.
• Productos afectados: SharePoint Server Subscription Edition, SharePoint Server 2019 y SharePoint Server 2016 Enterprise, con compilaciones anteriores a la del 14 de julio de 2026. Solo instalaciones on-premises: SharePoint Online y Microsoft 365 no están afectados.
• SharePoint 2013 y 2010: sin soporte. No figuran entre los productos afectados porque Microsoft ya no los evalúa y, como recuerda el ColCERT, no recibirán correcciones para ninguna vulnerabilidad.
• Privilegios obtenidos: los de la cuenta de servicio de SharePoint, normalmente muy amplios según la alerta.

Autenticación: las fuentes no coinciden

El ColCERT señala una discrepancia. El boletín de Microsoft describe un ataque por red de un usuario autenticado al menos como Site Owner. Sin embargo, la puntuación 9.8 solo se alcanza con un vector que no exige privilegios; parte de la cobertura técnica habla de explotación sin autenticación y, según los análisis de tráfico publicados por investigadores independientes, las peticiones de ataque capturadas no contienen ninguna credencial. La conclusión de la entidad: tratar la vulnerabilidad como explotable sin autenticación y corregirla de inmediato.

La cadena de ataque

La secuencia descrita por el ColCERT:

1. el atacante busca en Internet servidores SharePoint accesibles, sin necesidad de conocer la organización;
2. envía una única petición HTTP con datos serializados manipulados, sin credenciales, phishing ni interacción de los usuarios;
3. el servidor deserializa los datos y ejecuta los comandos del atacante;
4. con una petición el atacante extrae las claves de máquina de IIS, que firman y validan los tokens de sesión;
5. con esas claves fabrica tokens válidos, también de administrador, sin tener que volver a explotar el fallo;
6. desde el servidor comprometido instala páginas .aspx maliciosas, ejecuta comandos, se mueve hacia otros sistemas y exfiltra documentos.

Las técnicas MITRE ATT&CK indicadas en la alerta son T1190 (Exploit Public-Facing Application), T1552.004 (Unsecured Credentials: Private Keys), T1606 (Forge Web Credentials), T1505.003 (Web Shell) y T1059 (Command and Scripting Interpreter, con intérpretes lanzados como procesos hijos de w3wp.exe).

La alerta recuerda también que entre abril y julio de 2026 CISA advirtió de la explotación de otras vulnerabilidades de SharePoint Server (CVE-2026-32201, CVE-2026-45659, CVE-2026-56164, CVE-2026-58644) y que en varios casos la actividad posterior fue precisamente el robo de las claves de máquina. Para el ColCERT, quien expone SharePoint on-premises debe revisar el estado de actualización completo del producto, no solo esta CVE, y preguntarse si la exposición a Internet es realmente necesaria.

Por qué el parche por sí solo no basta

La actualización cierra la vía de entrada, pero no invalida las claves ya robadas: quien las tiene sigue generando tokens que el servidor acepta. Por eso el ColCERT indica dos pasos, ambos necesarios: primero el parche y después la rotación de las claves de máquina y el reinicio de IIS en todos los servidores de la granja. Sin el segundo paso, un atacante que ya ha entrado conserva el acceso, mientras la organización cree haber cerrado el problema.

Impacto para las empresas europeas e italianas

La alerta es colombiana, pero la vulnerabilidad afecta a cualquier organización con SharePoint on-premises accesible desde Internet. El ColCERT cita entre los sectores afectados la administración pública, las finanzas, la sanidad, la educación, la industria, el transporte y las TI, y entre las posibles consecuencias el acceso a documentos, el robo de credenciales y tokens, puertas traseras persistentes, movimiento lateral y ransomware.

Para las entidades sujetas a NIS2, el caso afecta a la gestión de vulnerabilidades explotadas y a la verificación de compromiso: un incidente significativo debe evaluarse para su notificación al CSIRT nacional (en Italia, CSIRT Italia de la ACN). Si el servidor contenía datos personales, un compromiso debe evaluarse también como violación de seguridad según el RGPD. En la sanidad, donde las plataformas documentales suelen guardar expedientes y datos de pacientes, comprobar la integridad del servidor no es un paso opcional.

Qué hacer ya

Las recomendaciones del ColCERT:

1. Comprueba la compilación de cada servidor de la granja con Get-SPFarm | Select-Object BuildVersion o desde Administración central, no desde el encabezado del servidor web, que según la alerta es solo aproximado.
2. Instala la actualización acumulativa de julio de 2026 en todos los servidores de la granja, empezando por los expuestos a Internet.
3. Rota las claves de máquina y reinicia IIS en cada servidor después del parche.
4. Busca indicadores de compromiso: peticiones POST a /_trust/default.aspx con cuerpos serializados de gran tamaño, archivos .aspx no autorizados creados desde el 20 de julio, procesos hijos anómalos de w3wp.exe, sesiones que siguen siendo válidas tras rotar las claves.
5. Conserva las pruebas antes de limpiar: registros de IIS, registros de eventos de Windows y una imagen del sistema de archivos.
6. Retira de Internet los servidores que no necesiten publicarse, o publícalos solo a través de VPN o de un proxy inverso con autenticación, y separa los servidores SharePoint del resto de la red.
7. Activa la integración AMSI en SharePoint 2016 y 2019.
8. Planifica la migración de SharePoint 2013 y 2010; mientras tanto, WAF, listas de direcciones permitidas y acceso solo por VPN.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y cuáles tienen vulnerabilidades conocidas, para que sepas si un servidor SharePoint es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas por máquina, con las ya explotadas destacadas, y permite aislar de la red un servidor sospechoso. ARX Sentry recoge los eventos de seguridad de los servidores, incluidas las ejecuciones sospechosas, y controla la integridad de los archivos en las carpetas elegidas, algo útil para detectar nuevas páginas .aspx; con ARX Trace los analistas lanzan recolecciones y búsquedas en todos los servidores de la granja.

Última actualización: 9 de octubre de 2026