Microsoft parchea CVE-2026-45659 en SharePoint Server: RCE por deserialización de datos sin condiciones especiales. CVSS 8.8.
Microsoft publicó en mayo de 2026 un parche para CVE-2026-45659, una vulnerabilidad de RCE (ejecución remota de código — el atacante ejecuta código arbitrario en el servidor objetivo) que afecta a Microsoft SharePoint Server en múltiples versiones.
La causa raíz es *deserialización de datos no confiables* — el proceso por el que una aplicación convierte datos serializados (objetos en formato binario o XML) de vuelta a estructuras en memoria. Si esos datos son maliciosos, la aplicación ejecuta código arbitrario sin saberlo. Es un vector clásico y persistente en el ecosistema .NET.
CVSS (puntuación estándar de gravedad de 0 a 10): 8.8. Microsoft la cataloga como "Important" — un escalón por debajo de Critical, normalmente porque requiere autenticación básica, no acceso anónimo. Pero no requiere privilegios elevados ni condiciones especiales. Un usuario estándar de SharePoint puede lanzar el exploit sin interacción adicional de la víctima.
SharePoint no es solo un repositorio de documentos. En entornos enterprise está integrado con Active Directory (AD — sistema centralizado de identidades de Windows), gestiona flujos de trabajo críticos de negocio y almacena documentación confidencial de RR.HH., legal y finanzas.
Comprometer el servidor SharePoint equivale a: - Exfiltrar documentación interna sensible de toda la organización - Acceder a credenciales y tokens en memoria mediante herramientas como *Mimikatz (herramienta que extrae contraseñas y hashes directamente de la memoria de Windows)* - Usar el servidor como pivote para movimiento lateral hacia el resto de la red interna
Los grupos APT (hackers patrocinados por un estado) llevan años atacando SharePoint. CVE-2019-0604, otro RCE en SharePoint por el mismo vector de deserialización, fue explotado activamente por APT33 y otros actores. CVE-2026-45659 replica el mismo patrón técnico y tendrá el mismo nivel de interés.
No hay confirmación pública de explotación activa in-the-wild todavía, pero los servidores SharePoint on-premises son objetivo de escaneo sistemático.
Si tienes SharePoint Server on-premises:
Para equipos de SOC (equipo que monitoriza y responde a incidentes de seguridad): busca en los logs creación de procesos hijo desde `w3wp.exe` (proceso worker de IIS) — es el IOC (huella técnica que delata el ataque) más clásico de RCE por deserialización en SharePoint.
La deserialización en .NET es un problema estructural. Mientras Microsoft no refactorice los endpoints que aceptan objetos serializados, seguirán apareciendo CVEs en esta área. Parchea rápido y si tu SharePoint está expuesto a internet directamente sin WAF, ese es tu mayor riesgo operacional ahora mismo.
Ayuda a que más gente descubra BBLabs News.
¿Quieres recibir noticias así cada día?
Ver todos los artículos
