Vulnerabilidad crítica Microsoft SharePoint Server (local) explotada activamente
Segu-Info · 29 sept, 14:10
Qué hacer: Actualiza SharePoint Enterprise Server 2016 a 16.0.5565.1001 o posterior, SharePoint Server 2019 a 16.0.10417.20198 o posterior, y SharePoint Server Subscription Edition a 16.0.19725.20522 o posterior.
Microsoft SharePoint Server (local) sufre una vulnerabilidad crítica de ejecución remota de código (CVE-2026-65660) que está siendo explotada activamente en ataques solo seis semanas después de que la empresa publicara los parches en agosto de 2026. La falla fue inicialmente clasificada como spoofing de gravedad media, pero Microsoft revisó su evaluación tras descubrir que permite a atacantes autenticados ejecutar código arbitrario sin interacción del usuario, e incluso crear backdoors tipo webshell. Los ataques comenzaron poco después de que Viettel Security revelara los detalles técnicos el 24 de septiembre de 2026.
CVE-2026-65660 es un problema de inyección de código en SharePoint Server que permite a un atacante autenticado con acceso de bajo nivel ejecutar código arbitrario. Microsoft corrigió la vulnerabilidad en el Patch Tuesday de agosto de 2026, pero la plataforma de inteligencia de amenazas Previdian (anteriormente KEVIntel) detectó intentos de explotación el 24 de septiembre y observó intentos de crear backdoors webshell al día siguiente.
La vulnerabilidad por sí misma requiere autenticación previa. Para lograr ejecución remota de código (RCE) sin autenticación, debe ser encadenada con otra falla que eluda los mecanismos de autenticación. Los productos afectados incluyen SharePoint Enterprise Server 2016 (hasta versión 16.0.5565.1001), SharePoint Server 2019 (hasta 16.0.10417.20198) y SharePoint Server Subscription Edition (hasta 16.0.19725.20522). Se desconoce la identidad de los actores tras los ataques, aunque parece que aprovecharon rápidamente la divulgación técnica para comprometer entornos reales.
Puntos clave
- CVE-2026-65660 requiere autenticación previa pero permite ejecutar código arbitrario sin interacción del usuario
- Afecta a SharePoint Enterprise Server 2016, Server 2019 y Subscription Edition
- Parches disponibles desde agosto 2026: versiones 16.0.5565.1001, 16.0.10417.20198 y 16.0.19725.20522
- Explotación activa con intentos de crear backdoors webshell detectados el 25 de septiembre de 2026