- Explotación activa de fallos RCE como ToolShell y CVE-2025-53770 que permiten el control total del servidor sin autenticación.
- Ataques coordinados por grupos estatales chinos dirigidos a agencias gubernamentales y empresas globales.
- Riesgos elevados en configuraciones híbridas que pueden comprometer tanto el entorno local como el ecosistema de Microsoft 365.
Si gestionas infraestructuras corporativas, sabrás que mantener a raya los servidores de Microsoft no es precisamente un camino de rosas. Recientemente, hemos visto cómo SharePoint Server se ha convertido en el blanco preferido de diversos grupos de hacking, dejando claro que confiar ciegamente en la infraestructura local puede ser un deporte de riesgo si no se están al día con los parches.
Lo que empezó como algunos fallos aislados ha derivado en una auténtica gincana de vulnerabilidades, desde errores de deserialización de datos hasta fallos de suplantación de identidad. La cosa se pone fea porque muchos de estos agujeros han sido aprovechados por actores estatales, especialmente grupos vinculados a China, para colarse en la intranet de organismos gubernamentales y empresas de todo el mundo sin que nadie se diera cuenta.
El fenómeno ToolShell y las brechas de ejecución remota
Uno de los quebraderos de cabeza más gordos ha sido la vulnerabilidad conocida como ToolShell. Todo saltó por los aires durante el concurso Pwn2Own, donde se descubrió que SharePoint tenía un fallo grave de ejecución remota de código (RCE). Aunque Microsoft intentó poner un parche rápido, la solución no fue del todo efectiva, lo que permitió que surgieran variantes como la CVE-2025-53770.
Este fallo es especialmente peligroso porque permite que un atacante, incluso sin tener credenciales, pueda tomar el control total del servidor a través de la red. Lo más mosqueante es que, aunque se aplique la actualización posterior al ataque, los intrusos suelen dejar una puerta trasera utilizando la clave de máquina de ASP.NET, lo que les permite pasear por el sistema como si fueran los dueños.
- CVE-2025-53770: Un fallo crítico con un CVSS de 9.8 que permite RCE mediante deserialización de datos no confiables.
- CVE-2026-20963: Otra brecha de impacto crítico que facilita el compromiso total del servidor y el despliegue de ransomware.
- CVE-2026-45659: Una vulnerabilidad importante donde usuarios autenticados con permisos mínimos pueden ejecutar código arbitrario.
Ataques dirigidos y el papel de los actores estatales
No estamos hablando de chavales aburridos en su habitación, sino de grupos organizados como Linen Typhoon, Violet Typhoon y Storm-2603. Estos colectivos han aprovechado las debilidades de SharePoint para hacer espionaje industrial y robar direcciones IP. Incluso se ha llegado a instalar el ransomware Warlock aprovechando las directivas de grupo de Active Directory.
La lista de víctimas es para echarse a temblar, incluyendo al Departamento de Seguridad Nacional (DHS) y los Institutos Nacionales de Salud de EE. UU. Un detalle que ha dado mucho que hablar es la sospecha de que el programa MAPP de Microsoft pudo haber filtrado información sobre los parches antes de tiempo, dando a los hackers una ventaja competitiva para preparar sus ataques.
Suplantación de identidad y otros fallos críticos
No todo es ejecución de código; la CVE-2026-32201 ha demostrado que el spoofing o suplantación de identidad sigue siendo un problema. Esta vulnerabilidad, originada por una validación incorrecta de entradas, permite que alguien no autenticado acceda a información sensible y manipule datos. Aunque su impacto en la disponibilidad es bajo, es la puerta de entrada perfecta para realizar movimientos laterales dentro de la red corporativa.
Además, no podemos olvidar el historial de boletines como el MS11-074, que ya hace tiempo advertía sobre problemas de autenticación y errores en el Asistente de configuración de productos. Aquellos que todavía arrastran versiones antiguas de Windows SharePoint Services se enfrentan a riesgos que ya deberían estar solventados, pero que siguen vivos en entornos desactualizados.
El efecto dominó: SharePoint y Exchange Server
El caos no se ha quedado solo en SharePoint. Se ha detectado una relación estrecha con fallos en Exchange Server, especialmente en configuraciones híbridas. La vulnerabilidad CVE-2025-53786 permitió que atacantes con acceso de administrador en el servidor local pudieran saltar y controlar el entorno de Microsoft 365.
Mucha gente piensa que tener el servidor «en casa» es más seguro, pero la realidad es que la superficie de ataque es mucho mayor. Mientras que SharePoint Online está blindado por equipos de expertos en la nube, las versiones on-premises dependen totalmente de que el administrador de IT no se olvide de aplicar el parche el viernes por la tarde.
Cómo blindar la infraestructura y mitigar riesgos
Para no acabar en las noticias por un ciberataque, la prioridad absoluta es instalar las actualizaciones de seguridad en cuanto salgan. Si no puedes parchear inmediatamente, hay algunas triquiñas que pueden ayudar, como activar la integración con AMSI y ejecutar Microsoft Defender Antivirus en todos los nodos del servidor.
También es fundamental restringir el acceso a los servidores SharePoint, evitando que estén expuestos directamente a Internet. El uso de soluciones SASE o reverse proxies con inicio de sesión único (SSO) puede marcar la diferencia entre un día tranquilo y una crisis de seguridad. Asimismo, monitorizar las solicitudes POST sospechosas hacia archivos como /ToolPane.aspx es clave para detectar intentos de explotación de ToolShell.
La seguridad actual exige dejar de ver las ventanas de mantenimiento como algo sagrado y empezar a tratarlas como urgencias médicas. La migración a la nube parece la opción más sensata, ya que elimina la carga de gestionar parches críticos y reduce la exposición a ataques de deserialización y RCE que azotan a las versiones locales de SharePoint y Exchange.
