Microsoft corrigió en el Patch Tuesday de julio de 2026 una falla crítica de bypass de autenticación en SharePoint Server. Un mes después, con explotación pública disponible, se convirtió en una de las vulnerabilidades más atacadas del semestre.

Qué permite la falla

La CVE-2026-55040 recibió CVSS 9.1 y nace de una cadena de cuatro debilidades en la validación de tokens JWT. Un atacante remoto y no autenticado consigue falsificar un token válido y asumir la identidad de cualquier usuario del sitio, incluido un administrador. El único prerrequisito es saber de antemano a qué usuario quiere suplantar.

Según el aviso de Microsoft, la explotación exitosa permite la divulgación de archivos y la modificación de datos en toda la granja SharePoint. Encadenada con la CVE-2026-63520, la falla abre camino a la ejecución remota de código sin autenticación alguna.

Por qué se volvió urgente

El 11 de agosto de 2026 Rapid7 publicó el análisis técnico y un script de prueba de concepto. Los ataques contra servidores sin corregir comenzaron en cuestión de horas. El 18 de agosto la CISA incluyó la falla en el catálogo KEV, lo que en la práctica significa explotación confirmada en entornos reales.

Están afectados SharePoint Enterprise Server 2016, SharePoint Server 2019 y Subscription Edition.

Qué hacer ahora

• Aplicar el paquete acumulativo de julio de 2026 en todos los servidores SharePoint.

• Relevar qué instancias son accesibles desde internet y retirar del borde lo que no necesita estar expuesto.

• Rotar claves de máquina y credenciales de servicio después de la corrección: el parche cierra la puerta, pero no invalida los tokens ya falsificados.

• Cazar señales de suplantación: autenticaciones sin evento de inicio de sesión correspondiente, acceso administrativo fuera de horario, recolección masiva de bibliotecas de documentos.

• Revisar cuentas con privilegio elevado creadas o modificadas desde julio.