Atacantes están explotando varias vulnerabilidades de Microsoft SharePoint Server instalado en servidores propios, entre ellas CVE-2026-50522 (CVSS 9.8), que permite ejecutar código de forma remota. Afecta a SharePoint Server Subscription Edition, 2019 y Enterprise Server 2016. Instala hoy las actualizaciones de Microsoft, rota las credenciales de los servidores expuestos y revisa si hubo un compromiso.
Qué está pasando
El 14 de julio de 2026, Microsoft publicó actualizaciones que corrigen vulnerabilidades críticas de ejecución remota de código en Microsoft SharePoint Server. El 20 de julio, la firma WatchTowr identificó código de prueba de concepto (PoC) y luego observó la explotación activa de CVE-2026-50522. Esta falla forma parte de una serie de vulnerabilidades explotadas activamente que afectan a SharePoint Server instalado on-premise.
CVE-2026-50522 (CVSS 9.8) es una falla de deserialización: el servidor procesa datos enviados por el atacante sin validarlos lo suficiente, y eso le permite ejecutar código arbitrario en el sistema. Microsoft indica que la explotación requiere algún nivel de autenticación, pero hallazgos recientes sugieren que podría no ser necesaria.
Junto a ella, Microsoft corrigió en los últimos meses otras fallas de SharePoint Server que también se están explotando. CVE-2026-32201 permite suplantación. CVE-2026-45659 permite ejecutar código con un usuario autenticado. CVE-2026-56164 permite escalar privilegios sin autenticación. CVE-2026-58644 permite ejecutar código sin autenticación. Un servidor al que le falte alguno de los parches de abril, mayo o julio de 2026 está en riesgo.
CERT-EU advierte que, por la cantidad de fallas críticas recientes en SharePoint, las organizaciones deberían reconsiderar si conviene exponer SharePoint Server directamente a Internet.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-50522 | 9.8 | Deserialización que permite a un atacante remoto ejecutar código arbitrario. Microsoft indica que requiere autenticación, pero hallazgos recientes sugieren que podría no ser así. Explotada activamente y con PoC. |
| CVE-2026-32201 | 6.5 | Validación de entrada incorrecta que permite ataques de suplantación por parte de un usuario no autorizado. Corregida en abril de 2026. Explotada activamente. |
| CVE-2026-45659 | 8.8 | Deserialización de datos no confiables que permite ejecutar código de forma remota con un usuario autenticado. Corregida en mayo de 2026. Explotada activamente. |
| CVE-2026-56164 | 9.8 | Falta de autenticación en una función crítica que permite escalar privilegios sin autenticarse. Corregida en julio de 2026. Explotada activamente. |
| CVE-2026-58644 | 9.8 | Deserialización que permite ejecutar código de forma remota sin autenticación. Corregida en julio de 2026. Explotada activamente. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Microsoft SharePoint Server Subscription Edition | Afectada por CVE-2026-50522 (ver avisos de Microsoft para las demás CVE) | — |
| Microsoft SharePoint Server 2019 | Afectada por CVE-2026-50522 (ver avisos de Microsoft para las demás CVE) | — |
| Microsoft SharePoint Enterprise Server 2016 | Afectada por CVE-2026-50522 (ver avisos de Microsoft para las demás CVE) | — |
Qué hacer ahora
- Instala de inmediato en todos tus servidores SharePoint on-premise las actualizaciones de seguridad de Microsoft del 14 de julio de 2026.
- Verifica que también estén aplicados los parches de abril y mayo de 2026, que corrigen CVE-2026-32201 y CVE-2026-45659.
- Rota las credenciales de todos los activos que pudieron estar vulnerables y expuestos a Internet.
- Realiza una evaluación de compromiso para identificar instancias de SharePoint que puedan haber sido atacadas.
- Revisa los avisos de Microsoft de cada CVE para confirmar la lista completa de productos afectados.
Si no puedes actualizar de inmediato
Medidas temporales: reducen la exposición, pero no reemplazan la actualización.
- Evalúa dejar de exponer SharePoint Server directamente a Internet, dada la cantidad de vulnerabilidades críticas recientes.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Parte por identificar todos los servidores SharePoint de tu empresa, incluidos los de prueba, los heredados o los que administra un proveedor, y revisa cuáles son accesibles desde Internet. Esos van primero. Hay explotación activa y algunas fallas no requieren autenticación, así que no basta con parchear: si un servidor estuvo expuesto sin los parches de los últimos meses, trátalo como posiblemente comprometido. Revisa registros, cuentas nuevas, archivos extraños en las carpetas web y tareas programadas antes de darlo por limpio.
Algo que suele pasarse por alto es la rotación de secretos: además de las contraseñas de las cuentas de servicio, conviene renovar las claves criptográficas de la aplicación que use la granja, porque un atacante que las obtuvo puede volver a entrar aunque el servidor ya esté parchado. A mediano plazo, piensa si SharePoint realmente necesita estar publicado en Internet o si basta con acceso por VPN o con una alternativa en la nube.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Redes e InfraestructuraImplementamos y administramos firewalls de próxima generación con IPS/IDS, VPN con autenticación multifactor y segmentación por VLAN, para limitar quién puede llegar a los equipos expuestos.
Conocer el servicio → Respaldo y MonitoreoLos respaldos inmutables (RPO desde 15 minutos) te dejan un punto de restauración limpio si la falla llega a ser explotada.
Conocer el servicio →Referencias
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50522
- https://www.linkedin.com/posts/watchtowr_exploitation-alert-watchtowr-is-observing-activity-7485278595850940416-LSP8/
- https://www.cisa.gov/news-events/alerts/2026/07/14/cisa-urges-sharepoint-hardening-after-new-exploitations
- https://x.com/DefusedCyber/status/2079128402855116858
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32201
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45659
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-58644