Alerta crítica: CVE-2026-58644 en SharePoint on-premises ya explotado, parche obligatorio y guía de mitigación

La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha colocado la vulnerabilidad crítica CVE-2026-58644 en su catálogo de Vulnerabilidades Conocidas y Explotadas (KEV), con la obligación para las agencias federales de aplicar parches antes del 19 de julio de 2026. Microsoft publicó las correcciones dentro del Patch Tuesday del 14 de julio de 2026 Técnicamente, la falla tiene un puntaje CVSS de 9.8 y es especialmente peligrosa por dos razones: la complejidad de explotación es baja y el atacante no necesita un conocimiento profundo del entorno para obtener resultados repetibles. Afecta a las versiones on‑premises de SharePoint Server (Subscription Edition, 2019 y 2016), y se suma a otras vulnerabilidades de SharePoint que CISA ha reportado como activamente explotadas, ampliando el riesgo para instancias locales que están expuestas o mal segmentadas. El hecho de que CISA haya incluido este CVE en su catálogo KEV implica un mandato operativo para organismos federales y una señal de alarma para el resto de organizaciones: cuando la vulnerabilidad aparece en KEV suele significar que el riesgo real es inminente y que los atacantes ya la están usando para intrusiones, exfiltración y establecimiento de persistencia. Además de CVE-2026-58644, la agencia ha llamado la atención sobre otras fallas en SharePoint y, en paralelo, añadió vulnerabilidades críticas de Fortinet FortiSandbox al catálogo, lo que demuestra que el panorama de explotación activa es amplio y multifacético. Puede consultar el registro de CISA en su catálogo KEV para confirmar las fechas y detalles: CVE-2026-58644 en el catálogo KEV de CISA. Si gestiona SharePoint on‑premises, las primeras acciones deben ser inmediatas: aplicar los parches oficiales publicados por Microsoft y verificar su correcta instalación en todos los servidores del granjero (farm). Microsoft mantiene una guía de actualización y la entrada de seguridad correspondiente donde se describen los parches y mitigaciones; revisarla ayuda a entender qué componentes se corrigen y qué pasos adicionales son recomendables: Aviso de seguridad de Microsoft para CVE-2026-58644. Es importante insistir en que SharePoint Online no corre por cuenta del administrador on‑premises, por lo que las implicaciones y responsabilidades son diferentes entre la nube y servidores locales. Más allá de aplicar parches, CISA y Microsoft recomiendan una serie de refuerzos concretos: habilitar la integración con Antimalware Scan Interface (AMSI) en cada aplicación web de SharePoint, buscar y limpiar artefactos de intrusión antes de rotar claves IIS (para evitar que atacantes las roben y vuelvan a usarlas), limitar la exposición de servidores a Internet y bloquear el acceso externo a SharePoint Central Administration. También es crítico revisar la telemetría (logs de IIS, registros de eventos de SharePoint y de seguridad, tráfico saliente inusual) para detectar cargas útiles, web shells o movimientos laterales, y conservar evidencias antes de realizar cambios que puedan destruir indicadores forenses. Para equipos de respuesta y liderazgo TI, la recomendación estratégica es clara: assumir un modelo "patch fast, verify faster". Esto significa acortar ciclos de parcheo cuando se trata de fallos críticos, automatizar despliegues y verificaciones, contar con copias de seguridad probadas y planes de recuperación, y, si es posible, aplicar segmentación de red y controles de acceso que reduzcan el blast radius en caso de explotación. Si detecta indicios de compromiso, active procedimientos de containment y forense, considere la rotación de claves y contraseñas afectadas, y, cuando proceda, notifique a las autoridades pertinentes y a sus proveedores de seguridad. Finalmente, para organizaciones no federales la lección es práctica: no espere a que una vulnerabilidad aparezca en un catálogo oficial para priorizarla. La combinación de exploits activos, baja complejidad de ataque y capacidades de post‑explotación (como robo de machine keys y persistencia mediante deserialización) convierte a estas vulnerabilidades en vectores de intrusión altamente lucrativos para atacantes. Blindar los puntos de entrada, mantener procesos de parcheo y visibilidad en producción es la defensa más efectiva hoy. Para más detalles sobre endurecimiento y mejores prácticas de SharePoint Server puede consultar la documentación oficial de Microsoft sobre seguridad para SharePoint Server: Guía de seguridad de SharePoint Server en Microsoft Learn.

Técnicamente, la falla tiene un puntaje CVSS de 9.8 y es especialmente peligrosa por dos razones: la complejidad de explotación es baja y el atacante no necesita un conocimiento profundo del entorno para obtener resultados repetibles. Afecta a las versiones on‑premises de SharePoint Server (Subscription Edition, 2019 y 2016), y se suma a otras vulnerabilidades de SharePoint que CISA ha reportado como activamente explotadas, ampliando el riesgo para instancias locales que están expuestas o mal segmentadas.

El hecho de que CISA haya incluido este CVE en su catálogo KEV implica un mandato operativo para organismos federales y una señal de alarma para el resto de organizaciones: cuando la vulnerabilidad aparece en KEV suele significar que el riesgo real es inminente y que los atacantes ya la están usando para intrusiones, exfiltración y establecimiento de persistencia. Además de CVE-2026-58644, la agencia ha llamado la atención sobre otras fallas en SharePoint y, en paralelo, añadió vulnerabilidades críticas de Fortinet FortiSandbox al catálogo, lo que demuestra que el panorama de explotación activa es amplio y multifacético. Puede consultar el registro de CISA en su catálogo KEV para confirmar las fechas y detalles: CVE-2026-58644 en el catálogo KEV de CISA.

Si gestiona SharePoint on‑premises, las primeras acciones deben ser inmediatas: aplicar los parches oficiales publicados por Microsoft y verificar su correcta instalación en todos los servidores del granjero (farm). Microsoft mantiene una guía de actualización y la entrada de seguridad correspondiente donde se describen los parches y mitigaciones; revisarla ayuda a entender qué componentes se corrigen y qué pasos adicionales son recomendables: Aviso de seguridad de Microsoft para CVE-2026-58644. Es importante insistir en que SharePoint Online no corre por cuenta del administrador on‑premises, por lo que las implicaciones y responsabilidades son diferentes entre la nube y servidores locales.

Más allá de aplicar parches, CISA y Microsoft recomiendan una serie de refuerzos concretos: habilitar la integración con Antimalware Scan Interface (AMSI) en cada aplicación web de SharePoint, buscar y limpiar artefactos de intrusión antes de rotar claves IIS (para evitar que atacantes las roben y vuelvan a usarlas), limitar la exposición de servidores a Internet y bloquear el acceso externo a SharePoint Central Administration. También es crítico revisar la telemetría (logs de IIS, registros de eventos de SharePoint y de seguridad, tráfico saliente inusual) para detectar cargas útiles, web shells o movimientos laterales, y conservar evidencias antes de realizar cambios que puedan destruir indicadores forenses.

Para equipos de respuesta y liderazgo TI, la recomendación estratégica es clara: assumir un modelo "patch fast, verify faster". Esto significa acortar ciclos de parcheo cuando se trata de fallos críticos, automatizar despliegues y verificaciones, contar con copias de seguridad probadas y planes de recuperación, y, si es posible, aplicar segmentación de red y controles de acceso que reduzcan el blast radius en caso de explotación. Si detecta indicios de compromiso, active procedimientos de containment y forense, considere la rotación de claves y contraseñas afectadas, y, cuando proceda, notifique a las autoridades pertinentes y a sus proveedores de seguridad.

Finalmente, para organizaciones no federales la lección es práctica: no espere a que una vulnerabilidad aparezca en un catálogo oficial para priorizarla. La combinación de exploits activos, baja complejidad de ataque y capacidades de post‑explotación (como robo de machine keys y persistencia mediante deserialización) convierte a estas vulnerabilidades en vectores de intrusión altamente lucrativos para atacantes. Blindar los puntos de entrada, mantener procesos de parcheo y visibilidad en producción es la defensa más efectiva hoy. Para más detalles sobre endurecimiento y mejores prácticas de SharePoint Server puede consultar la documentación oficial de Microsoft sobre seguridad para SharePoint Server: Guía de seguridad de SharePoint Server en Microsoft Learn.