CVE-2026-58644 es una vulnerabilidad de ejecución remota de código en Microsoft SharePoint, asociada a la deserialización de datos no confiables, que ya está siendo explotada en entornos reales, y para cuya explotación basta con el acceso de red de un atacante no autorizado, lo que la convierte en un riesgo crítico para todas las organizaciones que utilizan SharePoint como portal corporativo interno o accesible externamente; la prioridad debe ser la actualización inmediata de las instancias siguiendo las recomendaciones de Microsoft y la limitación del acceso de red a SharePoint hasta completar los trabajos para eliminar la vulnerabilidad.
Detalles técnicos de la vulnerabilidad
Según la descripción del Microsoft Security Response Center, la vulnerabilidad CVE-2026-58644 afecta a Microsoft Office SharePoint y está relacionada con la deserialización de datos no confiables. Un error en el procesamiento de los datos de entrada permite a un atacante enviar por la red datos especialmente diseñados que, durante el proceso de deserialización, llevan a la ejecución de código arbitrario en el servidor SharePoint.
Características clave de la vulnerabilidad, según la descripción oficial:
- tipo: ejecución remota de código (RCE);
- componente: Microsoft Office SharePoint;
- causa principal: deserialización de datos no confiables;
- vector: de red, con posibilidad de explotación por un atacante no autenticado;
- estado según Microsoft: se ha detectado explotación en versiones actuales del software.
La deserialización es la conversión de datos estructurados (objetos, mensajes) desde una representación de texto o binaria de nuevo a objetos en memoria. Si el mecanismo de deserialización procesa datos procedentes del cliente sin una validación estricta y sin restringir los tipos, el atacante puede inyectar una secuencia de datos que, al reconstruir el objeto, provoque la ejecución de operaciones no deseadas, hasta el lanzamiento de comandos arbitrarios.
En el contexto de SharePoint, esto significa que un componente vulnerable que recibe datos por la red (por ejemplo, en el cuerpo de la solicitud o en un campo específico) puede convertirse en un punto de entrada para ataques. Tras una explotación satisfactoria, el código del atacante, por regla general, se ejecuta con los privilegios de la cuenta del grupo de aplicaciones o de la cuenta de servicio de SharePoint, lo que en una configuración típica proporciona acceso como mínimo al contenido de los sitios y con frecuencia a recursos más amplios en el servidor.
El hecho de la explotación confirmada, registrado por Microsoft en la ficha de la vulnerabilidad CVE-2026-58644, la saca de la categoría de riesgos teóricos: los atacantes ya disponen de métodos funcionales para explotar el fallo contra sistemas reales.
Contexto de amenazas y lugar en la cadena de ataque
Los portales corporativos públicos y los sistemas de colaboración siempre han sido un objetivo prioritario para los atacantes. Una vulnerabilidad que permite la ejecución remota de código en SharePoint a través de la interfaz de red sin autenticación previa encaja perfectamente en la técnica Exploit Public-Facing Application (T1190) de MITRE ATT&CK: la toma de control de una aplicación expuesta a Internet para obtener un punto inicial de presencia en la infraestructura.
Un escenario típico de uso de una vulnerabilidad de esta clase se ve así:
- un escáner automatizado localiza instancias de SharePoint accesibles desde el exterior;
- a cada una de ellas se le envía un conjunto de solicitudes generadas con datos maliciosos para la deserialización;
- cuando la explotación tiene éxito, se carga y ejecuta en el servidor un loader o un script «de un solo comando» que proporciona acceso remoto (conexión inversa, web shell, inyección de un agente de control);
- a continuación, los atacantes utilizan el servidor SharePoint comprometido para el reconocimiento del entorno de dominio, el robo de datos, el despliegue de ransomware u otras cargas.
Dado que Microsoft ha señalado explícitamente el hecho de la explotación de CVE-2026-58644, cabe esperar tanto ataques dirigidos puntuales como un escaneo automatizado a gran escala orientado a la detección masiva de instancias vulnerables.
Evaluación del impacto en las organizaciones
Quién está en mayor riesgo:
- organizaciones que publican SharePoint en Internet sin una capa adicional de protección (VPN, pasarelas, políticas de acceso estrictas);
- infraestructuras en las que SharePoint es un nodo central del flujo documental y de las integraciones con otros sistemas de negocio;
- entornos en los que las cuentas de servicio de SharePoint tienen privilegios excesivos a nivel de dominio y de recursos de archivos.
Posibles consecuencias de un ataque exitoso:
- obtención por parte del atacante de control sobre el servidor SharePoint y todos los sitios y documentos alojados en él;
- compromiso de las cuentas de los usuarios que utilizan SharePoint mediante la sustitución de contenido, la inserción de scripts o la creación de páginas de phishing dentro del portal;
- desarrollo del ataque hacia el interior de la red: intentos de movimiento lateral por la infraestructura, instalación de puertas traseras adicionales, escalada de privilegios;
- paralización de los procesos de negocio vinculados a SharePoint (contratos, solicitudes, aprobaciones), hasta la parada completa de determinadas unidades;
- fuga de información confidencial y datos personales, con consecuencias en materia de cumplimiento y posibles sanciones regulatorias.
Teniendo en cuenta que SharePoint suele estar integrado con sistemas de correo, CRM, ERP y repositorios de archivos, la compromete de este eslabón puede convertirse en el punto de partida de un incidente a gran escala que afecte simultáneamente a varios sistemas críticos.
Recomendaciones prácticas de protección
1. Actualización inmediata de los sistemas vulnerables
- Haga un inventario de todas las instancias de Microsoft SharePoint (incluidos los entornos de prueba y piloto), especialmente aquellas que tengan accesibilidad de red desde segmentos externos o desde Internet.
- Utilice el portal de Microsoft para aclarar el estado de los productos y las actualizaciones disponibles relativas a CVE-2026-58644. El parche para esta vulnerabilidad debe clasificarse con la máxima prioridad.
- Antes de desplegar las actualizaciones, prepare un plan de reversión y pruebas en servidores no productivos, pero no retrase su traslado a los entornos productivos.
Para evaluar la criticidad general y vincularla a los procedimientos internos de gestión de vulnerabilidades, se pueden utilizar los datos de la NVD para CVE-2026-58644, donde la vulnerabilidad se clasificará desde el punto de vista de las métricas de riesgo.
2. Reducción de la superficie de ataque hasta la instalación de los parches
Si la instalación inmediata de las actualizaciones resulta difícil (dependencias, ventanas de mantenimiento), reduzca temporalmente la accesibilidad del servicio vulnerable:
- restrinja el acceso a SharePoint desde Internet: si es posible, traslade el acceso al perímetro interno o detrás de un VPN, aplique listas de direcciones IP permitidas;
- sitúe SharePoint detrás de un reverse proxy o una pasarela de aplicaciones con verificación activada del tráfico entrante y autenticación adicional;
- revise los privilegios de las cuentas de servicio de SharePoint e IIS: elimine los privilegios excesivos que puedan utilizarse en caso de compromiso del servidor;
- active o endurezca las reglas de los mecanismos de protección a nivel de servidor (antivirus, EDR), incluida la prohibición de ejecución de archivos y scripts desconocidos desde directorios temporales y atípicos.
3. Detección de una posible explotación
Teniendo en cuenta el hecho confirmado de la explotación, es importante no solo cerrar la vulnerabilidad, sino también comprobar si el sistema ya ha sido comprometido.
- Analice los registros de IIS y SharePoint correspondientes al periodo en el que las versiones vulnerables pudieron estar disponibles: busque solicitudes anómalas, grandes en tamaño de cuerpo, cabeceras no estándar o accesos repetidos desde las mismas direcciones IP.
- Revise los registros del sistema de Windows en busca de:
- ejecuciones atípicas de procesos en nombre de las cuentas de servicio de SharePoint o del grupo de aplicaciones de IIS;
- creación de nuevos servicios, tareas programadas, cambios en los parámetros de inicio automático;
- operaciones sospechosas con archivos en los directorios de SharePoint y en las carpetas temporales.
- Compare el conjunto actual de diseños web, soluciones y extensiones en SharePoint con el de referencia: la aparición de módulos o páginas desconocidos puede indicar una explotación exitosa.
- Si dispone de un sistema de detección de intrusiones o de un EDR, configure la búsqueda en los intervalos de tiempo y los servidores SharePoint correspondientes para identificar comandos característicos de la actividad posterior a la intrusión (recopilación de información sobre el dominio, creación de nuevas cuentas, etc.).
En caso de detectar indicios de compromiso, debe partirse de la suposición de una toma completa del servidor, con la consiguiente realización de un análisis forense y, si fuera necesario, la reconstrucción de la instancia a partir de fuentes confiables.
4. Medidas a largo plazo para gestionar el riesgo de deserialización
- Implante una revisión periódica de la arquitectura y de las configuraciones de las aplicaciones servidoras en cuanto al uso de mecanismos de deserialización de datos, especialmente en los componentes que procesan solicitudes externas.
- Eleve la prioridad de las vulnerabilidades explícitamente relacionadas con la deserialización de datos no confiables en la política de gestión de vulnerabilidades: estos fallos suelen conducir al compromiso total del nodo.
- Actualice los materiales de formación y los programas de concienciación para desarrolladores y administradores, centrándose en el tratamiento seguro de los datos de entrada y en los patrones típicos de explotación de la deserialización.
Conclusión crítica sobre CVE-2026-58644: la vulnerabilidad ya está siendo utilizada por atacantes contra instancias reales de Microsoft SharePoint, por lo que las organizaciones deben, en la próxima ventana de mantenimiento, instalar los parches recomendados por Microsoft, limitar simultáneamente el acceso externo a SharePoint y realizar un análisis retrospectivo de los registros y configuraciones de los servidores en busca de una posible compromete.
