Dos administradores, un parche, un julio muy distinto

Imagine dos empresas con el mismo servidor SharePoint local. Una aplicó la actualización de seguridad de Microsoft de mayo de 2026 en la misma semana en que salió. La otra la archivó como rutina y siguió adelante, tranquilizada por la nota de la propia Microsoft de que la explotación era menos probable. El 1 de julio, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos añadió ese mismo fallo, CVE-2026-45659, a su catálogo de vulnerabilidades explotadas conocidas, citando pruebas de ataques activos en circulación. El primer administrador ya estaba a salvo. El segundo tiene ahora un problema urgente con un plazo público pegado a él.

CISA dio a las agencias federales estadounidenses hasta el 4 de julio para parchear. Esa fecha no es su obligación, pero la inclusión sí es su aviso: una vulnerabilidad a la que alguien restó importancia en mayo se está usando contra objetivos reales en julio.

El fallo en términos sencillos

CVE-2026-45659 es una vulnerabilidad de ejecución remota de código causada por una deserialización insegura de datos no confiables, con una puntuación de gravedad de 8.8 sobre 10. En la práctica significa que un atacante puede hacer que el servidor ejecute el código que quiera. Afecta a los productos locales, esto es SharePoint Server Subscription Edition, SharePoint Server 2019 y SharePoint Enterprise Server 2016, y no al SharePoint alojado en la nube de Microsoft 365.

El detalle que lo agrava es la baja barrera de entrada. Explotar el fallo no exige derechos de administrador, basta una sola cuenta con permisos corrientes de Miembro del sitio. La mayoría de las organizaciones concede ese nivel de acceso a contratistas, personal temporal y decenas de usuarios habituales. Una sola de esas credenciales, robada por phishing o reutilizada, es toda la llave.

La brecha entre improbable y explotado

Cuando Microsoft publicó la solución en mayo, etiquetó el fallo como de explotación menos probable, una previsión razonable que se demostró equivocada en cuestión de semanas. Esa brecha es la razón por la que las calificaciones de gravedad del proveedor deben marcar su orden de parcheo y no su decisión de parchear. Una calificación predice el comportamiento del atacante, una inclusión de CISA entre las vulnerabilidades explotadas lo registra. Cuando ambas discrepan, gana el registro, y acaba de ganar.

El patrón no es nuevo. Los servidores de colaboración locales, expuestos a internet y ricos en datos internos, están entre el software que con más fiabilidad recibe ataques en los parques empresariales. Una nota de gravedad rebajada es un pronóstico, y romper pronósticos es justo aquello por lo que se paga a los atacantes.

Por qué NIS2 cambia lo que está en juego, y qué hacer ahora

Para los operadores europeos la consecuencia es tan regulatoria como técnica. Bajo la directiva NIS2, las organizaciones incluidas en su ámbito deben gestionar las vulnerabilidades conocidas y pueden enfrentarse a inspecciones y sanciones si no lo hacen. Un fallo que figura en una lista pública de vulnerabilidades explotadas, con un parche disponible desde mayo, es casi la prueba más clara que cabe imaginar de que existía una solución y no se aplicó. Después de un incidente, ese es el primer documento que levantará un investigador.

La acción es concreta e inmediata. Confirme si opera alguna de las tres versiones locales afectadas de SharePoint. Si es así, aplique ya la actualización de mayo de 2026 y busque señales de compromiso en lugar de dar por hecho que la actualización cierra la puerta por sí sola. Después, tome el catálogo de CISA, y no la etiqueta de gravedad del proveedor, como su disparador para el próximo caso de este tipo, porque siempre hay uno más.

Leer a continuación: Once cargadores firmados burlan Secure Boot  |  570 parches de Windows en un día, dos ya explotados