SharePoint CVE-2026-45659: RCE Explotado en Servidores 2026

SharePoint CVE-2026-45659 es una vulnerabilidad de ejecución remota de código con 8.8 en CVSS que afecta a todas las versiones locales del producto y figura en el catálogo de vulnerabilidades explotadas de CISA desde primeros de julio de 2026. No es teórica: se está usando en ataques reales como pieza de persistencia dentro de una cadena más amplia.

Si administras SharePoint en tus propios servidores, el trabajo de hoy es comprobar el número de compilación. Lo explicamos paso a paso más abajo.

Conviene aclarar de entrada a quién afecta esto y a quién no, porque genera bastante confusión: si tu organización trabaja con SharePoint Online dentro de Microsoft 365, no tienes que hacer nada. El aviso cubre exclusivamente las instalaciones locales, esas que muchas empresas mantienen desde hace años para documentación interna y que, precisamente por antiguas, suelen ser las que peor se parchean.

Qué es SharePoint CVE-2026-45659 y por qué preocupa

El fallo de SharePoint CVE-2026-45659 está en cómo el servidor procesa datos serializados que llegan desde el exterior. Cuando una aplicación reconstruye un objeto a partir de datos que no ha validado, un atacante puede fabricar una carga que, al deserializarse, ejecute código en lugar de limitarse a rellenar campos. Es una clase de vulnerabilidad tan vieja como conocida, y sigue apareciendo.

Lo que hace incómodo a SharePoint CVE-2026-45659 es el listón de privilegios. No hace falta ser administrador: basta una cuenta con permisos de miembro de un sitio, de esas que en cualquier organización mediana tienen cientos de personas. Y no requiere interacción de la víctima. Cualquier cuenta comprometida por phishing se convierte, de golpe, en ejecución de código sobre el servidor.

Ese matiz es el que separa un 8.8 de un 10.0 sobre el papel, pero en la práctica reduce muy poco el riesgo real, igual que ocurrió con el fallo crítico de Splunk Enterprise que cubrimos en julio.

SharePoint CVE-2026-45659 es una cadena, no un fallo suelto

Aquí está la parte que más se malinterpreta de este aviso. SharePoint CVE-2026-45659 no suele ser la puerta de entrada, sino el tercer eslabón de una secuencia que los atacantes encadenan.

La consecuencia operativa es directa: parchear solo SharePoint CVE-2026-45659 deja la cadena a medias. Hay que aplicar el conjunto completo de actualizaciones de seguridad, no ir eligiendo por número de CVSS.

Versiones afectadas por SharePoint CVE-2026-45659

Todas las ediciones locales soportadas son vulnerables a SharePoint CVE-2026-45659. Estas son las compilaciones a partir de las cuales el problema está resuelto:

Para comprobar en qué versión estás, desde el propio servidor:

Get-SPFarm | Select-Object BuildVersion

Si el número es inferior al de tu fila, estás expuesto a SharePoint CVE-2026-45659. Ten en cuenta que en granjas con varios servidores hay que actualizar todos y ejecutar después el asistente de configuración de productos: una granja a medio parchear sigue siendo vulnerable por el nodo más atrasado.

Cómo detectar si SharePoint CVE-2026-45659 te ha comprometido

Actualizar cierra la puerta de SharePoint CVE-2026-45659, pero no dice si alguien entró antes. Dado que el CVE lleva en explotación activa desde julio, la revisión retrospectiva es obligatoria.

• Ficheros nuevos en los directorios web. El patrón habitual tras explotar SharePoint CVE-2026-45659 es plantar un webshell: busca .aspx creados o modificados fuera de tus ventanas de despliegue en C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\16\TEMPLATE\LAYOUTS.
• Procesos hijo anómalos. w3wp.exe lanzando cmd.exe o powershell.exe casi nunca es legítimo en un servidor de SharePoint.
• Registros de IIS. Peticiones POST repetidas a rutas de _layouts desde una misma dirección, sobre todo fuera de horario.
• Cuentas y permisos. Altas de usuarios, cambios de rol o tareas programadas nuevas en las semanas previas.
• Tráfico saliente. Conexiones persistentes desde el servidor hacia direcciones desconocidas.

Un servidor comprometido rara vez se queda quieto: lo habitual es movimiento lateral hacia controladores de dominio y servidores de ficheros, exfiltración de documentación y, en campañas de ransomware, preparación de los datos antes del cifrado. Si encuentras indicios, trata el incidente con ese alcance desde el primer momento.

Conviene añadir una advertencia sobre el borrado de rastros. Los atacantes que despliegan un webshell suelen ajustar después la fecha de modificación del fichero para que encaje con la del resto del directorio, así que buscar «lo más reciente» puede no bastar. Si dispones de inventario de ficheros o de una copia de seguridad anterior a julio, compara el contenido del directorio en lugar de fiarte de las marcas temporales.

Y guarda los registros antes de que roten. En una investigación posterior son la única forma de acotar cuándo empezó el acceso, y en muchas instalaciones el registro de IIS se recicla en cuestión de semanas.

Medidas de protección frente a SharePoint CVE-2026-45659

1. Aplica las actualizaciones de seguridad completas hasta alcanzar la compilación de la tabla, en todos los nodos de la granja.
2. Activa la integración con AMSI y pon el análisis del cuerpo de las peticiones en modo completo. Microsoft distribuye firmas específicas que cubren esta familia de intentos.
3. Saca SharePoint de Internet. Si necesita acceso externo, ponlo detrás de una pasarela con autenticación previa o exígelo por VPN.
4. Revisa quién tiene cuenta. Como basta con permisos de miembro, cada cuenta inactiva o de proveedor es superficie de ataque.
5. Exige doble factor a todo el acceso, porque el vector realista es una credencial robada.
6. Segmenta. El servidor no debería poder hablar libremente con controladores de dominio ni con almacenamiento crítico.

Plan de actuación en 48 horas

Si acabas de enterarte y tienes SharePoint local, este es un orden de trabajo razonable para responder a SharePoint CVE-2026-45659 sin bloquear a toda la organización.

Ese último punto sobre las credenciales de servicio se olvida mucho. Si hubo ejecución de código en el servidor, las cuentas con las que corre el grupo de aplicaciones deben considerarse expuestas, y en un entorno de dominio suelen tener bastantes más permisos de los que nadie recuerda haberles dado.

Qué nos enseña el caso de SharePoint CVE-2026-45659

SharePoint CVE-2026-45659 recuerda que las plataformas de colaboración interna suelen quedar fuera del foco de seguridad porque «son internas». Pero un servidor de SharePoint concentra exactamente lo que busca un atacante: documentación de proyectos, datos de personal, credenciales pegadas en páginas de wiki y una posición privilegiada dentro del dominio.

Se repite el patrón de otros avisos recientes: el bypass de autenticación en N-able N-central, donde comprometer la consola daba acceso a toda la flota gestionada, o el fallo de FortiClient EMS incluido en el catálogo KEV. En los tres casos el valor no está en la máquina, sino en lo que esa máquina alcanza.

La segunda lección de SharePoint CVE-2026-45659 tiene que ver con el ritmo. Entre la publicación del parche y la confirmación de explotación pasaron semanas, y aun así muchas organizaciones siguen sin aplicarlo. El catálogo KEV existe precisamente para priorizar: si un CVE está ahí, deja de ser una tarea de mantenimiento y pasa a ser una urgencia. Puedes seguir el resto de avisos en nuestra sección de vulnerabilidades y en el repaso del Patch Tuesday de Microsoft.

Preguntas frecuentes sobre SharePoint CVE-2026-45659

Fuentes

• Microsoft MSRC — CVE-2026-45659
• Tenable — FAQ de explotación de SharePoint Server
• CISA — Catálogo de vulnerabilidades explotadas conocidas
• The Hacker News — SharePoint RCE añadido al catálogo KEV

Información contrastada el 6 de agosto de 2026. Artículo con finalidad informativa y defensiva; no incluye detalles de explotación.