Vulnerabilidad bajo explotación en Microsoft SharePoint
La Agencia de Ciberseguridad y Seguridad de Infraestructura de los Estados Unidos de America (CISA) agregó una vulnerabilidad de alta importancia existente en Microsoft SharePoint a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
La vulnerabilidad identificada como CVE-2026-20963 fue anunciada y corregida por Microsoft en su actualización de seguridad correspondiente al Patch Tuesday de enero de 2026, indicando que la probabilidad de explotación era baja. Aunque está registrada con un CVSS de 8.8, Microsoft la considera crítica con un CVSS de 9.8.
La explotación exitosa de esta vulnerabilidad podría permitir que un atacante remoto no autenticado inyecte y ejecute código en servidores afectados. Esto es posible debido a una deserialización insegura de datos, en la cual la información ingresada por el usuario es procesada sin ser validada. Su vector de ataque es la red y no requiere ningún tipo de interacción por parte del usuario.
Hasta el momento, la compañía no ha actualizado su aviso de seguridad para señalar que esté siendo explotada activamente. Sin embargo, la CISA la incluyó en su catálogo desde el 18 de marzo del presente año, aunque no dio detalles sobre los ataques.
Microsoft publicó actualizaciones para corregir esta vulnerabilidad en los productos SharePoint Enterprise Server 2016, SharePoint Server 2019 y SharePoint Server Subscription Edition desde enero 2026, por lo que los usuarios que aplicaron dichas actualizaciones, o tienen actualizaciones automáticas, ya se encuentran protegidos. Por otro lado, para SharePoint Server 2007, SharePoint Server 2010 y SharePoint Server 2013 ya no existen actualizaciones, por lo que se recomienda migrar a una versión corregida.
Versiones Afectadas
| Productos | Versiones afectadas | Versiones corregidas |
| SharePoint Enterprise Server 2016 | Versiones desde la 16.0.0 hasta antes de la versión 16.0.5535.1001 | Versión 16.0.5535.1001 |
| SharePoint Server 2019 | Versiones desde la 16.0.0 hasta antes de la versión 16.0.10417.20083 | Versión 16.0.10417.20083 |
| SharePoint Server Subscription Edition | Versiones desde la 16.0.0 hasta antes de la versión 16.0.19127.20442 | Versión 16.0.19127.20442 |
Recomendaciones
- Actualizar lo antes posible a nuevas versiones no vulnerables.
- Establecer controles de acceso SSH basados en la red para minimizar el riesgo de ataque
- Auditar herramientas de acceso remoto (NIST CSF, 2024).
- Revisar logs para de ejecución de software de acceso remoto (NIST CSF, 2024).
- Limitar estrictamente el uso de los protocolos SMB y RDP.
- Realizar auditorías de seguridad (NIST CSF, 2024).
- Deshabilitar los servicios y procesos no requeridos para reducir los vectores de ataque (NIST CSF, 2024).
- Tener filtros de correo electrónico y spam.
- Concientizar a los empleados sobre los métodos de Phishing e Ingeniería social.
- Realizar copias de seguridad, respaldos o back-ups constantemente.
- Mantener los respaldos desconectados de la red de la organización, verificando constantemente la confidencialidad, integridad y disponibilidad de estos.
- Revisar continuamente los privilegios de los usuarios.
- Tener una solución EDR robusta configurada adecuadamente basada en las mejores prácticas (de acuerdo con documentación de fabricante).
- Habilitar la autenticación multifactorial.
Referencias
- Microsoft. (2026, Junio 13). Microsoft SharePoint Remote Code Execution Vulnerability. Recuperado el 20 de marzo de 2026, en: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-20963
- Gatlan, S. (2026, Marzo 19). Critical Microsoft SharePoint flaw now exploited in attacks. Bleeping Computer. Recuperado el 20 de marzo de 2026, en: https://www.bleepingcomputer.com/news/microsoft/critical-microsoft-sharepoint-flaw-now-exploited-in-attacks/
- Lakshmanan, R. (2026, Marzo 19). CISA Warns of Zimbra, SharePoint Flaw Exploits; Cisco Zero-Day Hit in Ransomware Attacks. The Hacker News. Recuperado el 20 de marzo de 2026, en: https://thehackernews.com/2026/03/cisa-warns-of-zimbra-sharepoint-flaw.html
- Kovacs, E. (2026, Marzo 19). VulnerabilitiesCISA Warns of Attacks Exploiting Recent SharePoint Vulnerability. Security Week. Recuperado el 20 de marzo de 2026, en: https://www.securityweek.com/cisa-warns-of-attacks-exploiting-recent-sharepoint-vulnerability/
