**Oleada de ataques explota una cuarta vulnerabilidad crítica en SharePoint: CVE-2026-50522 permite robo de claves y persistencia**

—

### 1. Introducción

En las últimas semanas, Microsoft SharePoint, una de las plataformas colaborativas más utilizadas en entornos empresariales, ha estado en el punto de mira de actores maliciosos. La reciente explotación activa de la vulnerabilidad CVE-2026-50522 eleva a cuatro el número de fallos críticos aprovechados por atacantes en la plataforma solo en el último mes. Este nuevo vector de ataque, que permite el robo de claves de máquina y acceso persistente a sistemas comprometidos, pone en jaque a CISOs, responsables de seguridad, administradores de sistemas y equipos SOC de organizaciones de todo el mundo.

—

### 2. Contexto del Incidente o Vulnerabilidad

El ecosistema SharePoint ha sido tradicionalmente un objetivo atractivo para atacantes debido a su integración con sistemas críticos y al elevado volumen de datos sensibles que gestiona. En el último mes, se ha observado una campaña coordinada que aprovecha múltiples vulnerabilidades zero-day y n-day en versiones no actualizadas. CVE-2026-50522 destaca tanto por su facilidad de explotación como por el impacto de las acciones que permite ejecutar en sistemas afectados.

Según informes de varios CSIRTs y de Microsoft, la explotación de esta vulnerabilidad se ha observado en operaciones que persiguen la persistencia a largo plazo, el movimiento lateral y la exfiltración de credenciales y secretos críticos, en especial claves de máquina utilizadas para la autenticación y cifrado de datos internos.

—

### 3. Detalles Técnicos

**CVE-2026-50522** afecta a las siguientes versiones de Microsoft SharePoint:
– SharePoint Server 2019 (hasta la actualización KB5002560, inclusive)
– SharePoint Server Subscription Edition (antes de la actualización de junio de 2024)

El vector de ataque principal consiste en el envío de peticiones especialmente diseñadas a endpoints vulnerables de la API de SharePoint. El atacante no autenticado, o con bajos privilegios, puede explotar un fallo de validación insuficiente en el manejo de tokens de autenticación para acceder a los archivos de configuración del servidor, entre ellos el `machineKey`.

**TTPs asociadas (MITRE ATT&CK):**
– **Initial Access:** Exploitation for Client Execution (T1203)
– **Persistence:** Valid Accounts (T1078), Implantación de Web Shells (T1505.003)
– **Credential Access:** Unsecured Credentials (T1552), Credential Dumping (T1003)
– **Defense Evasion:** Impair Defenses (T1562), Obfuscated Files or Information (T1027)

**Indicadores de Compromiso (IoC):**
– Solicitudes HTTP POST/GET inusuales al endpoint `/sites/_layouts/15/Authenticate.aspx`
– Creación o modificación de archivos `.aspx` en directorios no habituales
– Extracciones de archivos `web.config` o acceso a rutas sensibles

Se han detectado exploits funcionales en frameworks como Metasploit y Cobalt Strike, lo que facilita la automatización del ataque y su integración en campañas más amplias de intrusión.

—

### 4. Impacto y Riesgos

El impacto potencial es elevado. El robo de claves de máquina (`machineKey`) permite a los atacantes descifrar cookies de autenticación, falsificar tokens y acceder a sesiones legítimas sin necesidad de credenciales válidas. Además, facilita la evasión de controles de seguridad y la instalación de puertas traseras persistentes.

Se estima que más de un 60% de las instancias de SharePoint expuestas a Internet podrían estar en versiones vulnerables, según datos recopilados por Shodan y otros servicios de escaneo. Los sectores más afectados incluyen administración pública, sanidad, educación y servicios financieros.

Las implicaciones económicas pueden ser significativas, considerando los costes asociados a incidentes de seguridad, interrupción de servicios, sanciones regulatorias (por ejemplo, bajo el GDPR y la directiva NIS2) y daño reputacional.

—

### 5. Medidas de Mitigación y Recomendaciones

Microsoft ha publicado actualizaciones de seguridad críticas que corrigen la vulnerabilidad. Se recomienda:

– **Actualizar de inmediato** a la última versión disponible de SharePoint.
– Monitorizar logs y tráfico de red en busca de IoCs relacionados con CVE-2026-50522.
– Realizar auditorías de integridad en archivos de configuración y directorios de aplicaciones.
– Segmentar la red y restringir el acceso a servidores SharePoint únicamente a usuarios y sistemas autorizados.
– Implementar controles de autenticación multifactor (MFA) y gestión de credenciales robusta.
– Desplegar soluciones EDR y WAF actualizadas para mitigar intentos de explotación en tiempo real.

—

### 6. Opinión de Expertos

Analistas de amenazas y consultores independientes coinciden en que la explotación de CVE-2026-50522 marca un salto cualitativo en la sofisticación de los ataques contra entornos colaborativos. «Estamos ante una vulnerabilidad que no solo facilita el acceso inicial sino que permite a los actores maliciosos mantener el control del sistema durante largos periodos, incluso tras reestablecimientos parciales», señala Javier Lobo, consultor de ciberseguridad en S21sec. Desde el CERT de INCIBE advierten que la disponibilidad de exploits públicos incrementa el riesgo de ataques masivos y automatizados.

—

### 7. Implicaciones para Empresas y Usuarios

Las organizaciones que dependen de SharePoint para la gestión documental y la colaboración deben asumir que la superficie de ataque ha crecido. El retraso en la aplicación de parches puede derivar en brechas de datos, acceso no autorizado a información sensible y en el peor de los casos, en la propagación de ransomware o campañas de extorsión.

Es fundamental revisar los procedimientos internos de gestión de vulnerabilidades y aplicar una estrategia de defensa en profundidad, incorporando tanto controles técnicos como formación continua para usuarios y administradores.

—

### 8. Conclusiones

La explotación activa de CVE-2026-50522 evidencia la urgencia de mantener una postura de seguridad proactiva en plataformas críticas como SharePoint. La rápida aplicación de parches, la monitorización continua y la cooperación entre equipos de seguridad serán claves para contener el impacto de esta y futuras vulnerabilidades. Las amenazas actuales exigen una respuesta ágil y coordinada, tanto a nivel técnico como organizativo.

(Fuente: www.securityweek.com)