Una vulnerabilidad crítica identificada como CVE-2026-50522 en Microsoft SharePoint está siendo activamente explotada por atacantes para robar claves de máquina y mantener acceso persistente a servidores afectados, incluso después de aplicar parches.
Por qué importa: Esta falla permite a los atacantes crear tokens de autenticación válidos y suplantar identidades, comprometiendo la seguridad de sitios y documentos alojados en SharePoint.
Lo esencial
- La vulnerabilidad permite ejecución remota de código sin autenticación mediante deserialización de datos no confiables.
- Los atacantes roban claves de máquina para mantener acceso prolongado tras la explotación.
- El exploit público apareció el 20 de julio, y ataques fueron detectados horas después.
Detalles técnicos de la vulnerabilidad CVE-2026-50522
Microsoft describe esta falla como un problema de deserialización de datos no confiables que permite a un atacante remoto ejecutar código arbitrario en el servidor SharePoint sin necesidad de autenticarse. El exploit aprovecha un token de seguridad manipulado en la respuesta de inicio de sesión WS-Federation, específicamente en el endpoint /_trust/default.aspx. Si el servidor procesa este token malicioso, ejecuta código arbitrario, comprometiendo el sistema.
Explotación activa y robo de claves de máquina
La compañía de seguridad watchTowr detectó que, tras la publicación del código de prueba de concepto (PoC) el 20 de julio, comenzaron los ataques contra instalaciones vulnerables de SharePoint on-premise. Los atacantes no solo ejecutan código remoto, sino que también extraen las claves de máquina, lo que les permite crear tokens de autenticación válidos y mantener acceso persistente incluso después de que se apliquen parches.
