Vulnerabilidad crítica de SharePoint Server explotada activamente
Una deserialización de datos no confiables en SharePoint Server local permite ejecutar código en remoto; corregida en julio y explotada tras publicarse una prueba de concepto.
Qué ha pasado
La vulnerabilidad CVE-2026-50522 tiene una puntuación CVSS de 9,8 y consiste en una deserialización de datos no confiables que permite ejecutar código en remoto en SharePoint Server local: Subscription Edition, 2019 y 2016. Se corrigió en el Patch Tuesday de julio de 2026 y se empezó a explotar después de publicarse una prueba de concepto. Los atacantes roban las claves de máquina para mantener el acceso.
Por qué importa
Parchear no basta en este caso. Si el atacante ya entró y se llevó las claves de máquina, puede seguir emitiendo elementos válidos para el servidor aunque el fallo esté cerrado: el acceso sobrevive a la actualización. Y una granja de SharePoint no se actualiza en una tarde, así que el tiempo entre la prueba de concepto y el parche efectivo en todos los servidores es exactamente el tiempo en el que se puede entrar. El resultado es un fallo que se corrige en un día y se explota durante semanas allí donde el inventario de servidores no está al día.
Qué recomendamos
Aplicar el parche en todos los servidores de la granja, rotar las claves de máquina y buscar indicios de intrusión. Parchear sin rotar las claves deja la puerta que abrió el atacante tal como estaba, así que las dos cosas van juntas o no sirven de nada.
Servicio relacionado: Infraestructura y Cloud · Respuesta a incidentes
¿Quieres saber cómo te afecta?
Revisamos tu entorno y te decimos qué hay que priorizar, sin compromiso.