En cuestión de semanas, una vulnerabilidad SharePoint explotada pasó de estar corregida a convertirse en un objetivo activo. Tras la publicación de un PoC (prueba de concepto) por parte de una firma de seguridad, los intentos de explotación comenzaron a aparecer en entornos reales, según reportes de inteligencia y expertos del sector.
El caso se centra en CVE-2026-55040, una falla en SharePoint abordada por Microsoft en las actualizaciones de Patch Tuesday de julio. Ahora, los atacantes estarían aprovechando el mismo vector para burlar controles de autenticación y operar con permisos ligados a usuarios o administradores del sitio.
Qué es CVE-2026-55040 y por qué importa
Microsoft calificó esta vulnerabilidad como un problema de autenticación débil. En términos prácticos, el fallo permitiría a un atacante eludir una función de seguridad a través de la red, realizando conexiones de forma anónima en un ataque basado en red.
La consecuencia que destacó la compañía es clara: podrían divulgar archivos y modificar datos. Además, Microsoft señaló que un atacante no autenticado podría bypassear el proceso de autenticación y generar una conexión anónima, lo que abre la puerta a acciones posteriores en el entorno comprometido.
De parche a ataque: el papel del PoC
El patrón observado es el que suele preocupar más a los equipos de seguridad: los intentos se aceleran poco después de que aparece un PoC. En este caso, Rapid7 publicó detalles técnicos el 11 de agosto y, además, compartió un script de prueba de concepto.
De acuerdo con Rapid7, el escenario descrito afecta a un atacante remoto no autenticado, capaz de explotar la vulnerabilidad para burlar la autenticación y ejecutar operaciones como si fuera un usuario o administrador de un sitio de SharePoint.
La misma narrativa fue confirmada por Defused el 12 de agosto. Esta firma informó que sus honeypots registraron intentos de explotación dirigidos a CVE-2026-55040 y que esos ataques estarían usando el PoC liberado por Rapid7.
Qué dijo (y qué no dijo) el aviso de Microsoft
En la información disponible, el aviso de Microsoft sobre el problema no mencionaba explotación. Sin embargo, esto no es raro: en ocasiones, la comunicación oficial se actualiza con algunos días de retraso respecto a que los incidentes ya estén siendo confirmados en la práctica.
Para los responsables de IT y seguridad, el mensaje operativo es el mismo: no esperar a que exista confirmación pública adicional. Si la vulnerabilidad fue corregida, la prioridad sigue siendo aplicar los parches y validar que el entorno quede protegido.
Cómo se manifiesta el riesgo en la práctica
Cuando una vulnerabilidad permite eludir la autenticación, el impacto potencial deja de ser “solo lectura” o limitado a fallas puntuales. En los reportes relacionados con CVE-2026-55040, la expectativa de ataque incluye acciones que podrían asemejarse al comportamiento de un usuario legítimo del sitio o incluso de un administrador.
Eso implica dos capas de riesgo:
- Confidencialidad: posible divulgación de archivos.
- Integridad: posibilidad de modificar datos.
Además, al tratarse de un vector de red y de una condición de acceso no autenticado, el “umbral de entrada” baja: un atacante no necesita credenciales para iniciar el intento.
Llamado de CISA: mantén SharePoint actualizado
Las alertas se alinean con el enfoque del organismo regulador. CISA recomendó recientemente que las organizaciones mantuvieran sus implementaciones de SharePoint actualizadas y protegidas frente a una nueva ola de ataques.
En ese contexto, CISA advirtió que CVE-2026-55040 también podría estar siendo explotada en el mundo real. A la fecha de los reportes, la vulnerabilidad no figuraba aún en el catálogo KEV, que incluye decenas de fallas conocidas.
Para equipos de seguridad, esto suele ser una señal adicional: que no aparezca en un catálogo no significa que el riesgo sea menor o inexistente. La explotación puede ocurrir antes de que el proceso de catalogación se complete.
Otro eslabón: CVE-2026-63520 y encadenamiento de fallas
La historia no se limita a una sola vulnerabilidad. Rapid7 también informó sobre el descubrimiento de CVE-2026-63520, una falla de SharePoint que podría combinarse con CVE-2026-55040 para lograr ejecución remota de código sin autenticación en servidores.
El reporte indica que CVE-2026-63520 fue corregida por Microsoft en las actualizaciones de Patch Tuesday de agosto. Según la información disponible, no hay indicios claros de que esta segunda vulnerabilidad se esté explotando de forma activa.
Aun así, el concepto de “cadena” es importante: si un atacante consigue primero eludir autenticación y luego aprovechar otra debilidad, el impacto puede escalar.
Panorama de explotación en SharePoint este verano
Este caso se suma a una tendencia reportada durante la temporada. Se mencionan múltiples vulnerabilidades de SharePoint cuya explotación salió a la luz, incluyendo:
- CVE-2026-50522
- CVE-2026-58644
- CVE-2026-56164
- CVE-2026-45659
Lo relevante aquí es que el patrón de exposición aumenta la presión sobre los equipos de respuesta: cada nueva vulnerabilidad corregida compite con la rapidez con la que el código de prueba o las técnicas se vuelven accesibles.
En los reportes consultados no aparecen datos públicos sobre quién está detrás de las explotaciones, lo que refuerza la necesidad de basarse en acciones defensivas y evidencias técnicas.
Qué deberían hacer los equipos de TI y seguridad
Si gestionas entornos con SharePoint, la prioridad es convertir la información en controles concretos. Aunque los detalles operativos dependen de tu arquitectura, estos pasos suelen ser los más eficaces:
- Aplicar los parches correspondientes a los Patch Tuesday mencionados por Microsoft para las CVE relevantes.
- Verificar la postura de actualización en todos los componentes involucrados, no solo en el front-end.
- Revisar registros y señales de intentos de conexión anónima o actividad anómala alrededor de sesiones o operaciones de sitio.
- Evaluar el riesgo de encadenamiento si tienes varias correcciones pendientes, especialmente donde podría existir una vía hacia ejecución remota.
- Fortalecer monitoreo y respuesta para detectar intentos que aparezcan tras publicaciones de PoC.
En particular, la aparición de intentos justo después de un PoC es una lección valiosa: el tiempo entre “publicación técnica” y “abuso real” puede ser corto.
Conclusión
La vulnerabilidad SharePoint explotada vinculada a CVE-2026-55040 muestra cómo un fallo corregido puede volver a tomar protagonismo cuando el PoC reduce la barrera para atacar. Con reportes de intentos registrados tras la liberación del script y advertencias de CISA sobre la necesidad de estar al día, la respuesta es inequívoca: parchear, validar y monitorear con rapidez.
Además, el contexto de CVE-2026-63520 recuerda que las combinaciones de fallas pueden aumentar el impacto. Mantén el ciclo de actualización activo y usa la telemetría disponible para anticiparte a los siguientes movimientos de los atacantes.
Fuente: https://www.securityweek.com/sharepoint-vulnerability-exploited-shortly-after-poc-release/
