Día cero en SharePoint: ataques activos a servidores locales

El 14 de julio de 2026, Microsoft publicó el mayor Patch Tuesday de su historia, con la cifra récord de 622 CVE, y entre ellas, casi inadvertidas, figuraban dos vulnerabilidades que ya estaban siendo explotadas activamente. La más grave, CVE-2026-56164, es un fallo de elevación de privilegios sin autenticación en SharePoint Server local que no requiere credenciales ni interacción del usuario y que puede explotarse con una sola solicitud de red. Ese mismo día, la CISA añadió esta vulnerabilidad a su catálogo KEV (Known Exploited Vulnerabilities) y ordenó a las agencias federales corregirla en un plazo de 72 horas.

Este fallo es mucho más peligroso de lo que sugiere su calificación oficial. Microsoft asignó a CVE-2026-56164 una modesta puntuación CVSS de 5,3, pero la National Vulnerability Database (NVD) calificó el mismo fallo con un 9,8. Tratándose de una vulnerabilidad explotable antes de la autenticación, sin ningún clic, que ya se utiliza como arma en ataques reales, la cifra más baja subestima gravemente el riesgo. Los atacantes encadenan esta vulnerabilidad con otros dos fallos de SharePoint para robar secretos del servidor, instalar puertas traseras persistentes y desplegar malware, el mismo modus operandi que impulsó el compromiso masivo conocido como "ToolShell" en julio de 2025.

Qué ha ocurrido

CVE-2026-56164 es una vulnerabilidad por ausencia de autenticación: una función crítica de SharePoint que debería exigir una sesión válida y con privilegios queda al alcance de un atacante anónimo a través de la red. Su explotación otorga privilegios elevados en el servidor sin necesidad de cuenta alguna. Microsoft atribuyó su descubrimiento a los especialistas en respuesta a incidentes de Mandiant y del equipo FLARE de Google, una atribución que, como ocurrió con los fallos de julio de 2025, indica que se detectó al analizar intrusiones en curso y no gracias a la investigación rutinaria.

Afecta a todas las versiones locales con soporte: SharePoint Server 2016, SharePoint Server 2019 y SharePoint Server Subscription Edition. SharePoint Online en Microsoft 365 no se ve afectado. En la práctica, cualquier granja de SharePoint local expuesta a internet es un activo en riesgo, e internet está lleno de ellas. La Shadowserver Foundation contabiliza aproximadamente 10.000 servidores SharePoint expuestos a internet, cientos de los cuales seguían sin parche días después de publicarse la corrección.

La cadena de explotación

CVE-2026-56164 rara vez se utiliza de forma aislada. Los atacantes la combinan con dos fallos complementarios corregidos el mismo día: CVE-2026-32201, una vulnerabilidad de suplantación (CVSS 6,5) que un atacante no autenticado puede activar a través de la red, y CVE-2026-45659, un fallo de deserialización que permite la ejecución remota de código (CVSS 8,8) y que ya se había añadido al catálogo KEV de la CISA a principios de julio tras haber sido explotado por separado.

Encadenados, estos fallos forman una secuencia devastadora. El fallo por ausencia de autenticación proporciona acceso anónimo; a partir de ahí, el atacante extrae las claves de máquina de ASP.NET del servidor, los secretos criptográficos (validationKey y decryptionKey) que SharePoint utiliza para firmar y cifrar los datos de __VIEWSTATE. Con las claves de máquina en su poder, el atacante puede falsificar cargas útiles firmadas que el servidor considera de confianza, deserializa y ejecuta, lo que convierte el fallo de deserialización en una ejecución remota de código fiable. El resultado es un compromiso total: webshells, puertas traseras en módulos de IIS y malware implantados en toda la granja.

El robo de las claves de máquina es lo que hace que este ataque sea tan persistente. Una vez que un atacante ha copiado las claves de un servidor, puede falsificar solicitudes válidas de forma indefinida, incluso después de aplicar el parche de julio. Aplicar el parche cierra la puerta principal, pero no rota las claves que el intruso ya ha robado. En cualquier servidor explotado antes de aplicar el parche es imprescindible rotar las claves de máquina para expulsar al atacante.

La segunda vulnerabilidad de día cero: Active Directory Federation Services

Las actualizaciones del 14 de julio también corrigieron una segunda vulnerabilidad de día cero explotada activamente, CVE-2026-56155, en Active Directory Federation Services (AD FS). Se trata de un fallo de elevación de privilegios: un atacante con acceso local de bajo nivel puede escalar hasta obtener el control administrativo del servidor AD FS aprovechando unos controles de acceso deficientes. Microsoft atribuyó el hallazgo a su propio equipo de detección y respuesta (Detection and Response Team, DART), lo que de nuevo apunta a un descubrimiento durante la investigación de incidentes activos.

AD FS ocupa un lugar central en la identidad corporativa, ya que emite los tokens de autenticación que federan el acceso a las aplicaciones en la nube y locales. El control administrativo de AD FS permite a un atacante falsificar tokens y suplantar a cualquier usuario, lo que convierte a AD FS en un objetivo de gran valor para los mismos actores que vulneran SharePoint. La CISA fijó un plazo de corrección algo más amplio para este fallo, el 28 de julio, pero para cualquier organización que utilice AD FS no es menos urgente.

Cómo se desarrollan ataques como este

El patrón es casi una repetición de ToolShell. Un atacante rastrea internet en busca de servidores SharePoint expuestos e identifica su versión. Una única solicitud manipulada aprovecha el fallo por ausencia de autenticación para llegar a una función privilegiada y extraer las claves de máquina del servidor. Las herramientas automatizadas lo hacen a gran escala y barren miles de granjas expuestas a las pocas horas de que haya disponible un exploit funcional.

Con las claves en su poder, el atacante falsifica una carga útil __VIEWSTATE maliciosa que el servidor deserializa, lo que le permite ejecutar código con la cuenta de servicio de SharePoint. Normalmente instala una webshell (en la campaña de 2025, la firma característica era un archivo llamado spinstall0.aspx que recopilaba las claves), establece persistencia mediante tareas programadas o módulos de IIS maliciosos y se desplaza lateralmente hacia recursos compartidos de archivos, bases de datos y sistemas de identidad conectados.

La fase posterior a la explotación varía según la motivación. En julio de 2025, Microsoft atribuyó la oleada de ToolShell a los grupos estatales chinos Linen Typhoon y Violet Typhoon, con fines de espionaje, y a un tercer actor, Storm-2603, que desplegó el ransomware Warlock. Microsoft todavía no ha atribuido públicamente la actividad de 2026 ni ha detallado la cadena completa, pero la huella técnica (robo de claves de máquina, falsificación de ViewState y persistencia mediante webshells) es inequívocamente la misma.

Por qué debe importar a los directivos

SharePoint es donde las organizaciones guardan su memoria institucional: contratos, expedientes de recursos humanos, información financiera, documentación de ingeniería y las credenciales incrustadas en flujos de trabajo e integraciones. Una granja local comprometida no solo entrega archivos a los atacantes, sino también un punto de apoyo conectado a Active Directory, a las integraciones de Office y a servicios internos. Como el exploit no necesita credenciales ni interacción del usuario, no hay ningún paso de phishing que bloquear ni ningún usuario al que culpar.

El precedente de julio de 2025 muestra la rapidez con la que esto se agrava. A los pocos días de la divulgación de ToolShell, más de 400 organizaciones, entre ellas agencias gubernamentales, ya habían sido comprometidas, antes de que muchos defensores hubieran aplicado el parche. Los fallos de 2026 se están explotando en plazos similares, y el problema de persistencia de las claves de máquina implica que "hemos aplicado el parche" no equivale a "estamos a salvo". El riesgo regulatorio en virtud del RGPD, la HIPAA y los marcos sectoriales se materializa en cuanto el acceso del atacante alcanza datos personales, sanitarios o de pago almacenados en SharePoint.

Para los responsables de seguridad, la pregunta incómoda es si algún servidor SharePoint expuesto a internet se vio comprometido durante la ventana de explotación, antes del parche, o después del parche pero sin rotación de claves. Responderla exige una investigación forense, no una simple revisión del inventario.

Qué hacer ahora

1. Aplique de inmediato las actualizaciones del 14 de julio de 2026

   Instale las actualizaciones de seguridad de SharePoint publicadas el 14 de julio en todas las versiones locales 2016, 2019 y Subscription Edition, y aplique la actualización de AD FS para CVE-2026-56155. Compruebe que el número de compilación instalado coincide con las versiones corregidas de Microsoft; una granja actualizada solo parcialmente sigue siendo explotable.

2. Rote las claves de máquina de ASP.NET y reinicie IIS

   Aplicar el parche no revierte el robo de secretos. Rote las claves de máquina de SharePoint después de actualizar y ejecute un iisreset completo, de modo que las claves que un atacante haya exfiltrado antes del parche ya no sirvan para falsificar cargas útiles de confianza. Considere este paso obligatorio para cualquier granja expuesta a internet, no una tarea de limpieza opcional.

3. Habilite AMSI en modo Full

   Active la integración de SharePoint con Antimalware Scan Interface (AMSI) y establezca el modo Request Body Scan (análisis del cuerpo de la solicitud) en Full, para que las cargas útiles de deserialización maliciosas se inspeccionen antes de procesarse. Esto bloquea una parte significativa del tráfico de explotación observado, incluso cuando la aplicación del parche se retrasa.

4. Retire SharePoint de la internet pública

   Sitúe SharePoint local detrás de una VPN o de un proxy con reconocimiento de identidad, restrinja el acceso a redes de confianza y deshabilite el acceso externo a la Administración central de SharePoint. Una granja expuesta a internet es la condición previa de todo este ataque; al eliminar esa exposición, desaparece el vector remoto.

5. Busque indicios de compromiso y valide sus defensas

   Parta de la base de que cualquier servidor expuesto a internet que haya estado sin parchear puede estar comprometido. Busque archivos .aspx desconocidos en los directorios layouts de SharePoint, procesos secundarios sospechosos de w3wp.exe, módulos de IIS inesperados y persistencia mediante tareas programadas. Recurra a un equipo de pruebas de penetración para confirmar que el parche, la rotación de claves y el refuerzo de la seguridad han cerrado realmente la vía de acceso, y encargue una revisión de código de seguridad de cualquier solución personalizada de SharePoint o lógica de deserialización para detectar debilidades relacionadas.

Preguntas clave

• Usamos SharePoint Online en Microsoft 365. ¿Estamos afectados?

  No. CVE-2026-56164 y los fallos encadenados solo afectan a SharePoint Server local (2016, 2019 y Subscription Edition). SharePoint Online en Microsoft 365 queda fuera del alcance. No obstante, si su organización mantiene alguna granja local, incluidas las implementaciones híbridas, debe aplicarle el parche.

• Aplicamos el parche el 14 de julio. ¿Estamos a salvo?

  No necesariamente. Si su servidor estaba expuesto a internet y fue explotado antes de aplicar el parche, es posible que los atacantes ya hayan robado sus claves de máquina, que el parche no rota. Debe rotar las claves de máquina y buscar mecanismos de persistencia para tener la certeza de que el intruso ya no está. El parche por sí solo detiene nuevas explotaciones; no expulsa a un atacante que ya ha entrado.

• ¿Por qué la puntuación CVSS de Microsoft es solo de 5,3 si es tan grave?

  La puntuación base refleja el fallo de forma aislada, como una elevación de privilegios, y no su uso en el mundo real. Encadenado con los fallos de suplantación y deserialización, permite la ejecución remota de código sin autenticación, algo que sí refleja la puntuación de 9,8 de la NVD. Tome como señal de prioridad su explotación activa en entornos reales, no la puntuación base.

• ¿Qué relación tiene esto con los ataques "ToolShell" de 2025?

  La actividad de 2026 utiliza la misma técnica: llegar a un servidor SharePoint sin autenticación, robar sus claves de máquina, falsificar una carga útil de ViewState para ejecutar código y mantener la persistencia. En 2025, esa cadena comprometió a más de 400 organizaciones y terminó en espionaje y en el ransomware Warlock. Los fallos de 2026 son CVE distintos, pero se trata de la misma clase de ataque contra el mismo producto.

Conclusiones clave

CVE-2026-56164 es un ejemplo de manual de por qué la etiqueta "explotada en entornos reales" importa más que una puntuación CVSS base. Un fallo sin autenticación y sin clics en una de las plataformas empresariales más implantadas, encadenado con otros dos fallos complementarios hasta lograr una ejecución remota de código fiable y utilizado activamente por actores de amenazas sofisticados, exige una gestión de emergencia, independientemente del 5,3 que le asignó Microsoft. No debe permitirse que quede sepultado bajo el Patch Tuesday récord de 622 CVE con el que llegó.

La lección fundamental es que aplicar el parche es necesario, pero no suficiente. Como los atacantes roban claves de máquina que sobreviven a la actualización, toda granja de SharePoint expuesta a internet que haya sido explotada antes del parche necesita una rotación de claves y una búsqueda de mecanismos de persistencia, no solo la corrección de julio. Retire SharePoint de la internet pública, habilite AMSI, rote las claves y valide mediante pruebas que la vía del intruso está realmente cerrada. Las organizaciones vulneradas por ToolShell en 2025 aprendieron esa lección por las malas; la campaña de 2026 es una oportunidad para aplicarla antes, y no después.