Microsoft parcheó en julio la falla identificada como CVE-2026-55040 en SharePoint; tras la publicación de un PoC técnico por Rapid7 el 11 de agosto, la firma Defused detectó intentos de explotación en sus honeypots el 12 de agosto.
Por qué importa: la vulnerabilidad permite eludir autenticación en red, lo que puede conducir a divulgación de archivos y modificación de datos en instancias afectadas, según Microsoft y los análisis técnicos publicados.
Lo esencial
- Microsoft corrigió CVE-2026-55040 con los parches de julio; la empresa describe el fallo como una debilidad en autenticación en red.
- Rapid7 divulgó detalles técnicos y un PoC el 11 de agosto; Defused reportó intentos de explotación que aprovecharían ese PoC el 12 de agosto.
- Rapid7 también identificó CVE-2026-63520, parcheada en agosto, que podría encadenarse con CVE-2026-55040 para lograr ejecución remota.
PoC de Rapid7 y su divulgación técnica
El 11 de agosto Rapid7 publicó un informe técnico sobre CVE-2026-55040 que describe cómo un atacante remoto no autenticado podría eludir la autenticación y realizar acciones como un usuario o administrador de sitio de SharePoint. El informe incluyó un script de prueba de concepto (PoC) que muestra la técnica de bypass.
Según Rapid7, la vulnerabilidad es remota y no requiere credenciales previas, lo que facilita su verificación con herramientas automatizadas una vez conocido el método.
Registros de explotación en honeypots
El proveedor de inteligencia Defused informó que sus honeypots comenzaron a recibir intentos que coinciden con el PoC publicado por Rapid7. Los registros documentados por Defused datan del 12 de agosto y, según la firma, muestran intentos activos de aprovechar CVE-2026-55040 en la naturaleza.
Microsoft aún no ha actualizado su aviso público para afirmar explotación en campo, aunque la compañía suele revisar sus advertencias cuando se confirman ataques activos.
