SharePoint RCE and MikroTik RouterOS Flaws Actively Exploited in the Wild
The Hacker News · 26 sept, 10:49
Qué hacer: Actualiza Microsoft SharePoint a la versión con parche para CVE-2026-65660 e instala los parches de Mikrotik RouterOS para CVE-2026-67279 y CVE-2026-86060 inmediatamente si usas RouterOS 7.x.
CISA ha añadido dos vulnerabilidades a su catálogo de vulnerabilidades conocidas explotadas: CVE-2026-65660 en Microsoft SharePoint (inyección de código que permite RCE autenticada) y CVE-2026-67279 en Mikrotik RouterOS (fallo de cumplimiento de flujo que permite acceso sin autenticación). La vulnerabilidad de SharePoint está siendo explotada activamente en ataques reales, mientras que la de RouterOS forma parte de una cadena de explotación llamada MikroTick que combina CVE-2026-67279 con CVE-2026-86060 para lograr acceso administrativo total sin contraseña en routers expuestos a Internet.
Microsoft reconoce que tiene evidencia fiable de ataques en curso contra CVE-2026-65660 a partir del 25 de septiembre de 2026, aunque no ha revelado quién está detrás de los ataques, cuándo comenzaron, cuántas organizaciones han sido objetivo o si los intentos han tenido éxito.
La vulnerabilidad de RouterOS es más crítica aún por su carácter de cadena: CVE-2026-67279 permite a un cliente no autenticado crear un canal de sesión, mientras que CVE-2026-86060 (un fallo de inyección de argumentos en el proceso de login) permite suministrar credenciales con una máscara de política controlada por el atacante. Según CERT Polska, esto logra acceso administrativo completo sin autenticación en routers RouterOS 7.x expuestos. Emilio Gallegos de Bishop Fox señala que la cadena MikroTrick expone un riesgo de diseño: una característica prevista solo para llamadas locales de confianza se convierte en superficie de ataque remoto cuando un componente anterior pierde el seguimiento del estado de autenticación. El plazo para que las agencias del Gobierno Federal de EE.UU. apliquen correcciones es el 28 de septiembre de 2026.
Puntos clave
- CVE-2026-65660: inyección de código en SharePoint con CVSS 8.8, explotación activa confirmada
- CVE-2026-67279 y CVE-2026-86060: cadena MikroTrick en RouterOS 7.x permite acceso administrativo sin autenticación
- RouterOS 7.x afectado, acceso completo sin contraseña en routers expuestos a Internet
- Plazo para agencias federales estadounidenses: 28 de septiembre de 2026