La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó el jueves una falla de seguridad recientemente parcheada que afecta a Microsoft SharePoint Server a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que requiere que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las correcciones antes del 19 de julio de 2026.
La vulnerabilidad en cuestión es CVE-2026-58644 (Puntuación CVSS: 9,8), una vulnerabilidad de deserialización crítica de datos no confiables que permite a un atacante no autorizado ejecutar código arbitrario.
“En un ataque basado en red, un atacante autenticado como al menos un propietario del sitio podría escribir código arbitrario para inyectar y ejecutar código de forma remota en el servidor SharePoint”, dijo Microsoft en un aviso publicado a principios de esta semana.
Redmond señaló que la vulnerabilidad se puede explotar de forma remota a través de Internet y advirtió que la complejidad del ataque es baja por dos razones:
- Un atacante no requiere conocimientos previos significativos del sistema
- Un atacante puede lograr un éxito repetible con la carga útil contra el componente vulnerable
La vulnerabilidad afecta a las siguientes versiones:
- Edición de suscripción de Microsoft SharePoint Server
- Servidor Microsoft SharePoint 2019
- Servidor empresarial Microsoft SharePoint 2016
Los parches para la falla se lanzaron como parte de las actualizaciones del martes de parches publicadas el 14 de julio de 2026. Desde entonces, Microsoft revisó su boletín para aclarar que CVE-2026-58644 ha sido explotado en la naturaleza, lo que significa que la deficiencia se convirtió en un arma como un día cero antes de que las correcciones estuvieran disponibles.
El desarrollo se produce cuando CISA advirtió sobre la explotación activa de múltiples vulnerabilidades de SharePoint Server, incluidas CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 y CVE-2026-58644, que podrían permitir a los actores de amenazas obtener acceso no autorizado a instancias locales.
“Estas vulnerabilidades afectan a todas las versiones locales compatibles de SharePoint Server (Subscription Edition, 2019 y 2016) e implican el establecimiento de ejecución remota de código (RCE) y actividades posteriores a la explotación, como el robo de claves de máquina de Internet Information Services (IIS) y la realización de técnicas de deserialización, para ganar persistencia e implementar malware”, señaló el organismo federal de vigilancia de la ciberseguridad.
CISA ha descrito las siguientes medidas de endurecimiento para contener la amenaza:
- Aplique los últimos parches y actualizaciones de seguridad de Microsoft, verifique que se hayan instalado correctamente y acorte los ciclos de aplicación de parches cuando sea posible.
- Verifique que la integración de la interfaz de escaneo antimalware (AMSI) esté habilitada para cada aplicación web de SharePoint.
- Busque y elimine artefactos de intrusión, incluidas herramientas de recolección de claves de máquina, antes de rotar las claves de máquina de IIS para evitar el robo de claves.
- Establecer mecanismos de registro personalizados para detectar y monitorear las actividades de explotación.
- Evite exponer los servidores SharePoint directamente a Internet a menos que sea necesario.
- Bloquee el acceso externo a la Administración central de SharePoint, restrinja las comunicaciones de la granja y de la base de datos a los sistemas requeridos y revise la guía de refuerzo de seguridad de SharePoint Server de Microsoft para puertos, servicios y configuraciones Web.config específicos de cada función.
El jueves, la agencia también agregó dos fallas de seguridad críticas que afectan a Fortinet FortiSandbox (CVE-2026-25089 y CVE-2026-39808) al catálogo KEV, luego de informes de explotación activa. Las agencias federales tienen hasta el 19 de julio de 2026 para actualizar sus instancias a las últimas versiones compatibles.