Microsoft publicó un aviso sobre una vulnerabilidad en SharePoint Server que inicialmente se describió como un fallo de suplantación (spoofing) con puntuación CVSS de 6.5, pero un análisis técnico completo demuestra que en realidad puede permitir la ejecución remota de código por un atacante autenticado. La vulnerabilidad, registrada como CVE-2026-65660, afecta principalmente a SharePoint Server 2016, 2019 y Subscription Edition; la Base de Datos Nacional de Vulnerabilidades (NVD) le asigna un puntaje de 8.8.

Técnicamente, el fallo reside en la verificación de SafeControls de SharePoint, un filtro diseñado para evitar que clases peligrosas se carguen. Cuando el componente ToolPane procesa el marcado de un web-part, reconstruye directivas Register colocando valores de atributos entre comillas dobles sin escapar las comillas internas. Un atacante puede inyectar directivas adicionales mediante comillas no escapadas, provocando el registro de clases .NET arbitrarias después de que se realice la comprobación de tipo pero antes de cargarse el control. Con la posibilidad de registrar clases arbitrarias, el atacante invoca XamlServices.Parse() para disparar ejecución de código mediante deserialización. En la demostración del investigador se incluye una webshell en memoria que los evita fallos de permisos del registro que otras técnicas de deserialización encuentran.

El investigador Dinh Ho Anh Khoa, conocido por demostrar la cadena ToolShell en Pwn2Own Berlin 2025, también mostró que CVE-2026-65660 puede encadenarse con un bypass de autenticación corregido en junio para alcanzar ejecución remota previa a la autenticación en servidores que permiten acceso anónimo a páginas. Microsoft corrigió el bypass el 9 de junio y lanzó el parche que corrige CVE-2026-65660 en las actualizaciones del 11 de agosto; según el investigador, el parche desactiva por defecto la función vulnerable.

No se han reportado explotaciones registradas por CISA en su catálogo de vulnerabilidades explotadas, y Microsoft califica la explotación como poco probable, aunque el código de explotación ya es público y el investigador ha utilizado la prueba en ejercicios de pentesting. SharePoint 2013 no aparece en el aviso oficial de Microsoft, pero el investigador afirma que también es vulnerable; sin embargo, 2013 está fuera de soporte desde abril de 2023 y no recibe parches.