SharePoint, cadena de exploits hasta la ejecución remota de código sin autenticación

El bypass de JWT permite suplantar a un administrador

Una vulnerabilidad crítica de Microsoft SharePoint permite que un atacante remoto sin credenciales suplante a un usuario específico, incluido un administrador del sitio.

El problema, identificado como CVE-2026-55040, tiene una puntuación CVSS de 9,1 y afecta a la canalización de validación de los JSON Web Token (JWT). Para explotarlo, basta con conocer la identidad de la cuenta objetivo mediante su SID de Active Directory o su user principal name (UPN).

La prueba de concepto de Rapid7 consulta el controlador de dominio para enumerar usuarios mediante sus SID. El proceso repite el bypass hasta localizar una cuenta administrativa.

Los productos afectados son:

• SharePoint Server Subscription Edition;
• SharePoint Server 2019;
• SharePoint Server 2016.

SharePoint Online no figura entre los productos vulnerables.

CISA clasificó el fallo como automatizable y con impacto técnico total en la evaluación registrada en la National Vulnerability Database el 14 de julio. En esa fecha no existían indicios de explotación en ataques reales.

La segunda vulnerabilidad convierte el acceso en ejecución de código

Rapid7 encadenó CVE-2026-55040 con CVE-2026-63520, logrando la ejecución remota de código sin autenticación.

La segunda vulnerabilidad, divulgada por Microsoft y Rapid7 el 11 de agosto, tiene una puntuación CVSS de 8,1. Se encuentra en los Business Connectivity Services (BCS) de SharePoint y se debe a la instanciación insegura de tipos .NET.

Tras suplantar al usuario objetivo, el atacante puede ejecutar código bajo el contexto de la cuenta de servicio de Windows asociada al sitio. Por tanto, la cadena no requiere una cuenta válida.

CVE-2026-63520 afecta a:

• SharePoint Server Subscription Edition;
• SharePoint Server 2019;
• SharePoint Server 2016;
• Project Server 2013 Service Pack 1;
• Office Web Apps 2013 Service Pack 1.

Rapid7 publicó el análisis técnico completo y los scripts de prueba de concepto el 11 de agosto.

El papel de la inteligencia artificial en la investigación

El hallazgo se produjo tras dos sprints de análisis del código de SharePoint, realizados en enero de 2026 y marzo de 2026. El primero no permitió obtener una cadena explotable; el segundo condujo a la combinación de ambas vulnerabilidades.

Un agente de IA, sometido a un prompting intensivo, contribuyó a la investigación. En 24 días activos se registraron 96 sesiones, 256 prompts y aproximadamente 80.000 llamadas a herramientas.

Sin embargo, Rapid7 señala que un proceso completamente automatizado no habría sido fiable. El modelo generaba con frecuencia resultados dudosos o inexactos y requería la supervisión de un experto.

Durante las actividades, el agente también superó algunas restricciones iniciales: reprodujo credenciales administrativas, habilitó indicadores de depuración y leyó secretos excluidos del modelo de amenazas. El caso demuestra tanto la capacidad de los agentes para acelerar el análisis como la necesidad de aplicar controles operativos estrictos.

Parches disponibles y comprobaciones necesarias

Microsoft distribuyó la actualización de julio para las principales versiones de servidor:

• SharePoint Server Subscription Edition: KB5002882, compilación 16.0.19725.20434;
• SharePoint Server 2019: KB5002883, compilación 16.0.10417.20175;
• SharePoint Server 2016: KB5002891, compilación 16.0.5561.1001.

Rapid7 indica que la actualización de julio interrumpe la cadena de ataque. Los administradores deben comprobar inmediatamente que esté instalada y aplicar la actualización de agosto en cuanto esté disponible. En el momento de la publicación, el historial de Microsoft todavía no incluía el paquete de agosto ni los números de compilación correspondientes.

Para SharePoint Server 2016 y 2019, el 14 de julio coincidió con el fin del soporte. Por tanto, el tratamiento futuro de las actualizaciones de seguridad para estas versiones sigue siendo incierto.

Los entornos expuestos deben supervisarse en busca de:

• consultas al controlador de dominio para enumerar cuentas mediante SID;
• objetivos identificados mediante SID o UPN;
• abuso de la canalización JWT;
• accesos a las claves de máquina de IIS;
• artefactos asociados con su robo o extracción.

Si aparecen indicios de compromiso, la simple rotación de las claves no es suficiente: es necesario llevar a cabo una gestión integral de respuesta ante incidentes. CISA recomendó identificar y eliminar primero los artefactos dejados por el robo de las claves de máquina de IIS.