CISA agrega SharePoint RCE Zero-Day CVE-2026-58644 explotado a KEV – CYBERDEFENSA.MX
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el jueves agregado una falla de seguridad recientemente parcheada que afecta a Microsoft SharePoint Server y sus vulnerabilidades explotadas conocidas (KEV), que exige que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las correcciones antes del 19 de julio de 2026.
La vulnerabilidad en cuestión es CVE-2026-58644 (Puntuación CVSS: 9,8), una vulnerabilidad de deserialización crítica de datos no confiables que permite a un atacante no autorizado ejecutar código arbitrario.
«En un ataque basado en red, un atacante autenticado como al menos propietario del sitio podría escribir código arbitrario para inyectar y ejecutar código de forma remota en el servidor SharePoint», Microsoft dicho en un aviso publicado a principios de esta semana.
Redmond señaló que la vulnerabilidad se puede explotar de forma remota a través de Internet y advirtió que la complejidad del ataque es baja por dos razones:
- Un atacante no requiere conocimientos previos significativos del sistema
- Un atacante puede lograr un éxito repetible con la carga útil contra el componente vulnerable
La vulnerabilidad afecta a las siguientes versiones:
- Edición de suscripción de Microsoft SharePoint Server
- Servidor Microsoft SharePoint 2019
- Servidor empresarial Microsoft SharePoint 2016
Se han aplicado parches para el defecto. lanzado como parte de las actualizaciones del martes de parches publicadas el 14 de julio de 2026. Desde entonces, Microsoft revisó su boletín para aclarar que CVE-2026-58644 ha sido explotado en la naturaleza, lo que significa que la deficiencia se utilizó como arma como un día cero antes de que las correcciones estuvieran disponibles.
El desarrollo surge como CISA. prevenido de explotación activa de múltiples vulnerabilidades de SharePoint Server, incluidas CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 y CVE-2026-58644, que podrían permitir a los actores de amenazas obtener acceso no autorizado a instancias locales.
«Estas vulnerabilidades afectan a todas las versiones locales compatibles de SharePoint Server (Subscription Edition, 2019 y 2016) e implican el establecimiento de ejecución remota de código (RCE) y actividades posteriores a la explotación, como el robo de claves de máquina de Internet Information Services (IIS) y la realización de técnicas de deserialización, para ganar persistencia e implementar malware», señaló el organismo federal de vigilancia de la ciberseguridad.
CISA ha descrito las siguientes medidas de endurecimiento para contener la amenaza:
- Aplique los últimos parches y actualizaciones de seguridad de Microsoft, verifique que se hayan instalado correctamente y acorte los ciclos de aplicación de parches cuando sea posible.
- Verifique que la interfaz de escaneo antimalware (AARMI) la integración está habilitada para cada aplicación web de SharePoint.
- Busque y elimine artefactos de intrusión, incluidas herramientas de recolección de claves de máquina, antes de rotar las claves de máquina de IIS para evitar el robo de claves.
- Establecer mecanismos de registro personalizados para detectar y monitorear las actividades de explotación.
- Evite exponer los servidores SharePoint directamente a Internet a menos que sea necesario.
- Bloquee el acceso externo a la Administración central de SharePoint, restrinja las comunicaciones de la granja y de la base de datos a los sistemas requeridos y revise las políticas de Microsoft. Guía para reforzar la seguridad de SharePoint Server para puertos, servicios y configuraciones de Web.config específicos de cada función.
El jueves, la agencia también agregó dos fallas de seguridad críticas que afectan a Fortinet FortiSandbox (CVE-2026-25089 y CVE-2026-39808) al catálogo KEV, siguiendo informes de explotación activa. Las agencias federales tienen hasta el 19 de julio de 2026 para actualizar sus instancias a las últimas versiones compatibles.
