Más de 50 empresas y gobiernos comprometidos por la vulnerabilidad crítica en SharePoint
Microsoft ha confirmado la existencia de numerosos ciberataques activos que están explotando una vulnerabilidad crítica en versiones locales de SharePoint Server.
Al menos 54 organizaciones, entre las que se encuentran entidades financieras, universidades y organismos gubernamentales, han resultado comprometidas, según la compañía de ciberseguridad Eye Security.
Los ataques comenzaron alrededor del 18 de julio. La vulnerabilidad permite a los atacantes inyectar código malicioso con privilegios elevados, accediendo al sistema sin interacción del usuario y potencialmente tomando control total del servidor. Microsoft también ha revelado otra vulnerabilidad relacionada, CVE-2025-53771, que permite la suplantación de identidad.
Las versiones afectadas incluyen Microsoft SharePoint Server 2019, Microsoft SharePoint Enterprise Server 2016, y Microsoft SharePoint Server Subscription Edition. Por otra parte, Microsoft ha confirmado que SharePoint Online en Microsoft 365 no está afectado. Los parches están disponibles o en proceso para estas versiones vulnerables. La compañía y expertos en ciberseguridad recomiendan aplicar los parches de seguridad más recientes y asegurar que AMSI esté activado en modo completo.
La Agencia de Ciberseguridad de EE. UU. y el FBI están involucrados
La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha incluido CVE-2025-53770 en su catálogo de Vulnerabilidades Conocidas y Explotadas y ha pedido a las agencias federales que apliquen los parches antes del 21 de julio. Además ha lanzado una guía de actuación para hacer frente a esta peligrosa vulnerabilidad. Actualmente, el FBI está colaborando con CISA, el Departamento de Defensa y diferentes socios privados para mitigar la amenaza. Aunque no se han publicado detalles sobre los atacantes, se presume que grupos avanzados de amenazas persistentes están detrás de la campaña.
Michael Sikorski, CTO de Unit 42 en Palo Alto Networks, ha afirmado al respecto que los atacantes están eludiendo controles de identidad para obtener acceso con privilegios. Una vez dentro, exfiltran datos sensibles y despliegan puertas traseras persistentes. Sikorski advierte que aplicar parches no es suficiente para erradicar la amenaza y que la integración profunda de SharePoint con otros servicios de Microsoft representa un riesgo significativo.
Recomendaciones desde Microsoft
Desde Microsoft se recomienda:
- Aplicar los parches de seguridad más recientes publicados en julio.
- Asegurar que AMSI (Antimalware Scan Interface) esté activado en modo completo y acompañado de una solución antivirus robusta, como Microsoft Defender Antivirus.
- Implementar Microsoft Defender for Endpoint, o soluciones equivalentes.
- Rotar las claves ASP.NET del servidor SharePoint inmediatamente después del parcheo.
- Reiniciar IIS en todos los servidores SharePoint tras la actualización.
- Si no se puede habilitar AMSI, rotar igualmente las claves después de actualizar.
- Desconectar los servidores SharePoint expuestos a Internet si no se puede aplicar el parche de forma inmediata.
Es importante que las organizaciones actúen de inmediato aplicando todos los parches relevantes y rotando todo el material criptográfico. La situación es de alta severidad y máxima urgencia, y una respuesta a incidentes profesional es esencial para mitigar el riesgo de una intrusión generalizada.