CISA advierte que la falla CVE-2026-45659 de SharePoint se usa en ransomware
CISA ha señalado que la vulnerabilidad de Microsoft SharePoint CVE-2026-45659 se está utilizando en ataques de ransomware, según la información de BleepingComputer publicada el 11 de agosto de 2026. La vulnerabilidad es un fallo de deserialización que permite a un atacante con pocos privilegios ejecutar código arbitrario en un servidor SharePoint sin parchear. CISA ya la había incorporado a su catálogo de vulnerabilidades explotadas conocidas en julio, por lo que existían pruebas de explotación activa antes de que se confirmara su uso en ransomware.
Para los equipos de infraestructura, el paso de "explotada activamente" a "utilizada en ransomware" cambia por completo el enfoque de recuperación. Aplicar los parches sigue siendo fundamental, pero una vez que un atacante accede al entorno, la contención y la restauración cobran la misma importancia. Además de completar las tareas de copia de seguridad con éxito, un entorno resiliente requiere pruebas de backup que demuestren que las cargas de trabajo se pueden restaurar tras un incidente destructivo.
Por qué es relevante el hallazgo en SharePoint
BleepingComputer informa de que CVE-2026-45659 afecta a SharePoint Enterprise Server 2016, SharePoint Server 2019 y SharePoint Server Subscription Edition, y Microsoft publicó actualizaciones de seguridad a principios de 2026. CISA ha instado a las organizaciones a aplicar los parches actuales, verificar que la instalación se completó con éxito, supervisar los sistemas afectados en busca de signos de explotación y utilizar las protecciones antimalware disponibles.
El riesgo resulta especialmente grave en sistemas empresariales expuestos a internet, ya que pueden brindar a los atacantes un punto de entrada inicial a redes que también albergan servicios de identidad, sistemas de archivos, servidores de aplicaciones, infraestructura de backup y herramientas administrativas. Los grupos de ransomware combinan con frecuencia la explotación con el robo de credenciales, el movimiento lateral, la exfiltración de datos y el cifrado. Solucionar la vulnerabilidad de entrada resuelve una parte del incidente, pero no elimina de forma automática la persistencia ni revierte las acciones realizadas antes de aplicar el parche.
La arquitectura de recuperación importa tras el acceso inicial
La lección práctica de la explotación por ransomware consiste en asumir que algunos controles preventivos pueden fallar tarde o temprano. El diseño de las copias de seguridad debe contemplar el escenario de un atacante con acceso administrativo que intenta destruir de forma activa las opciones de recuperación. Esto exige separar las credenciales de backup, limitar las rutas administrativas, conservar copias independientes y verificar que los datos de recuperación no hayan sido alterados ni eliminados sin dejar rastro.
Una referencia útil es la regla de backup 3-2-1-1-0, que añade una copia desconectada o inmutable y el requisito de cero errores de backup sin verificar al modelo tradicional 3-2-1. La regla mnemotécnica importa menos que la independencia ante fallos que promueve. Una copia de seguridad almacenada bajo el mismo sistema de identidad, relación de confianza de red o control administrativo que producción puede quedar expuesta en el mismo ataque.
Qué deben hacer los administradores ahora
Las organizaciones que ejecutan versiones afectadas de SharePoint deben confirmar el estado de los parches según las directrices de Microsoft y la información sobre vulnerabilidades explotadas de CISA, para después revisar los registros y la telemetría de seguridad en busca de indicios de accesos indebidos previos. Los sistemas que estuvieron expuestos antes de aplicar los parches requieren una investigación exhaustiva, ya que la actualización no neutraliza por sí sola un incidente que podría haberse iniciado con anterioridad.
Los equipos de recuperación también deberían aprovechar este evento como motivo para validar sus procedimientos de restauración. Conviene identificar qué contenido de SharePoint, configuraciones, bases de datos, dependencias de identidad y servicios conectados requeriría una reconstrucción completa, comprobar si esos componentes pueden restaurarse en un entorno limpio y medir cuánto tiempo toma el proceso.
El patrón resulta conocido. Se descubre una vulnerabilidad, le sigue su explotación activa y los operadores de ransomware terminan transformando esa misma debilidad en una fuente de ingresos. Las organizaciones que mejor gestionan esta progresión combinan parches rápidos con aislamiento de red, monitoreo, copias de seguridad independientes y simulacros de recuperación periódicos.
Publicado originalmente en el blog de Mr.PlanB.